强客户认证

一句话解释：强客户认证（Strong Customer Authentication，简称 SCA）是欧盟 PSD2 法规强制要求的多因素身份验证机制，要求欧洲经济区（EEA）的在线支付必须同时验证消费者的「知识、持有、生物特征」三类要素中的至少两类，否则交易将被银行拒绝。

生活化类比

想象你去银行金库取一件贵重物品。只出示身份证（你知道的信息）不够，只刷门禁卡（你持有的物品）也不够——银行要求你同时刷指纹（你是谁）和输入密码（你知道什么）**，两道关卡都过了才放行。SCA 就是这个逻辑：单靠密码太容易被盗，单靠短信验证码也可能被拦截，所以欧盟强制要求「两把不同种类的钥匙」同时使用，才能完成一笔线上支付。

核心概念/公式

SCA 的判定可以用一个简化的逻辑公式表达：

SCA 通过 = (知识要素 + 持有要素) 
        或 (知识要素 + 生物要素) 
        或 (持有要素 + 生物要素)

三类要素定义如下：

要素类别	英文	典型形式	关键特征
知识要素	Knowledge	密码、PIN 码、安全问题	只有用户知道
持有要素	Possession	手机、硬件令牌、短信 OTP	只有用户持有
生物要素	Inherence	指纹、面容、声纹	用户本身固有

关键点：两类要素必须来自不同类别。用密码 + 安全问题不算 SCA，因为两者都属于「知识」；用指纹 + 面容也不算，因为两者都属于「生物」。

此外，SCA 还要求验证过程具备动态链接（Dynamic Linking）：验证码必须与具体交易金额和收款方绑定，防止黑客篡改金额后复用验证码。

与相关术语对比

术语	全称	核心区别	与 SCA 的关系
SCA	Strong Customer Authentication	多因素验证的规则框架	本体
2FA	Two-Factor Authentication	两因素验证，不限定要素类别	SCA 是 2FA 的严格子集
MFA	Multi-Factor Authentication	多因素验证，通用安全概念	SCA 是 MFA 在支付场景的法规化
3DS2	3D Secure 2.0	卡组织实现的技术协议	是落地 SCA 的主要技术手段
PSD2	支付服务指令第二版	欧盟法规	SCA 是 PSD2 的核心条款之一

简言之：PSD2 是法律，SCA 是法律要求，3DS2 是满足该要求的技术工具，2FA/MFA 是更宽泛的安全概念。

应用场景与数据

场景一：欧洲独立站信用卡收款

当一位德国消费者在你的 Shopify 独立站用信用卡结账时，发卡行会触发 3DS2 验证流程。如果未通过 SCA，交易会被直接拒绝，显示「支付未授权」。

场景二：订阅制扣款

对于循环订阅，首次扣款需完整 SCA，后续「商户发起交易（MIT）」可豁免，但豁免资格需银行批准。

关键数据：

1. 据 Stripe 2023 年数据，SCA 全面实施后，未做优化的欧洲商户支付成功率平均下降 25%，而做好豁免策略的商户仅下降 5%–8%。

2. 欧盟银行业管理局（EBA）统计，SCA 实施首年，欧洲电商欺诈率下降约 40%，但误拒率（False Decline）上升至 12%。

3. 据 Adyen 报告，采用 3DS2 智能豁免（Exemption）的商户，SCA 挑战率可从 100% 降至 30% 以下，显著提升转化。

豁免机制（Exemptions）是降低摩擦的关键，常见类型包括：

- 低价值豁免：单笔低于 30 欧元，累计不超过 100 欧元或 5 笔

- TRA 豁免：交易风险分析（Transaction Risk Analysis）评分低风险

- 白名单豁免：用户将商户加入可信受益人名单

- MIT 豁免：商户发起的后续订阅扣款

常见误区

误区一：SCA 等于短信验证码

短信 OTP 只是「持有要素」的一种。如果只用短信验证，没有第二类要素，仍不满足 SCA。且短信易被 SIM 卡劫持，3DS2 更推荐 App 推送或生物识别。

误区二：所有欧洲交易都必须 SCA

并非如此。低价值、TRA 低风险、白名单、MIT 等场景可豁免。关键在于商户是否主动申请豁免并优化风控数据。

误区三：SCA 只影响欧洲商户

只要发卡行在欧洲经济区，无论商户注册地在哪里，交易都可能触发 SCA。中国跨境卖家卖给欧洲消费者，同样受影响。

误区四：上了 3DS2 就万事大吉

3DS2 只是技术通道，若未配置豁免逻辑、未传递准确的交易数据（如商品描述、物流信息），银行仍会频繁发起挑战，导致弃单率上升。

生活化类比

核心概念/公式

与相关术语对比

应用场景与数据

常见误区

相关术语

🔗 相关术语