Strong Customer Authentication

Định nghĩa

Strong Customer Authentication (SCA) — hay còn gọi là Xác thực khách hàng mạnh — là bộ quy tắc bảo mật bắt buộc theo Chỉ thị Dịch vụ Thanh toán thứ hai (PSD2) của Liên minh Châu Âu. Kể từ ngày 14/09/2019, mọi giao dịch thanh toán điện tử tại Khu vực Kinh tế Châu Âu (EEA) đều phải được xác thực bằng ít nhất hai trong ba yếu tố sau:

1. Kiến thức — thứ chỉ bạn biết (mật khẩu, mã PIN, câu hỏi bảo mật)

2. Sở hữu — thứ chỉ bạn có (điện thoại, token, thẻ cứng)

3. Sinh trắc học — thứ thuộc về bạn (vân tay, Face ID, giọng nói)

Điểm mấu chốt: hai yếu tố phải thuộc hai nhóm khác nhau. Nhập mật khẩu rồi nhập mã PIN không tính là SCA — vì cả hai đều là "kiến thức".

Với anh chị em làm DTC bán hàng vào thị trường EU, SCA không phải câu chuyện kỹ thuật thuần túy. Nó ảnh hưởng trực tiếp đến tỷ lệ chuyển đổi thanh toán — và do đó ảnh hưởng đến doanh thu.

Ví dụ dễ hiểu

Hãy tưởng tượng bạn gửi hàng giá trị cao cho khách. Bạn không chỉ giao cho shipper — bạn yêu cầu hai lớp xác nhận: shipper phải có mã đơn hàng (kiến thức) và khách phải ký nhận bằng CMND (sở hữu). Một lớp thôi thì rủi ro; hai lớp khác loại thì an toàn.

SCA vận hành y hệt: ngân hàng phát hành (issuer) muốn chắc chắn người đang bấm "Thanh toán" đúng là chủ thẻ — chứ không phải kẻ gian có được số thẻ.

(Công thức)

Điều kiện để một giao dịch được coi là đã xác thực SCA hợp lệ:

SCA = (Yếu tố 1 ∈ {Kiến thức, Sở hữu, Sinh trắc}) 
 ∧ (Yếu tố 2 ∈ {Kiến thức, Sở hữu, Sinh trắc}) 
 ∧ (Nhóm(Yếu tố 1) ≠ Nhóm(Yếu tố 2))

Và điều kiện để giao dịch được miễn SCA (Exemption):

Miễn SCA = (Giá trị giao dịch ≤ 30 EUR) 
 ∨ (Tổng giao dịch 24h ≤ 100 EUR) 
 ∨ (Số giao dịch liên tiếp ≤ 5) 
 ∨ (Rủi ro thấp theo đánh giá của PSP)

Nếu không thỏa mãn bất kỳ điều kiện miễn nào → bắt buộc SCA.

: SCA vs. Không SCA (3DS2 vs. Non-3DS)

Điểm đáng lưu ý: Nhiều merchant DTC chọn "tắt 3DS" để tăng conversion — nhưng điều này vi phạm PSD2 và khiến họ gánh toàn bộ rủi ro chargeback. Với đơn hàng giá trị cao (trên 100 EUR), đây là canh bạc rất đắt.

(Ứng dụng thực tế trong DTC)

1. Thanh toán thẻ tín dụng tại EU

Khách Đức, Pháp, Tây Ban Nha thanh toán đơn hàng 150 EUR → bắt buộc SCA. Merchant cần tích hợp 3DS2 qua PSP (Stripe, Adyen, Mollie).

2. Subscription (đăng ký định kỳ)

Giao dịch đầu tiên cần SCA. Các giao dịch gia hạn sau có thể dùng MIT (Merchant Initiated Transaction) — miễn SCA nếu có thỏa thuận trước.

3. Ví điện tử & BNPL

Klarna, PayPal, Apple Pay có cơ chế SCA riêng. Apple Pay dùng sinh trắc học + token thiết bị → tự động thỏa SCA.

4. Thị trường không thuộc EU

Khách Việt Nam, Mỹ, Nhật không bị ảnh hưởng SCA. Tuy nhiên nếu merchant dùng PSP EU xử lý giao dịch EU → vẫn phải tuân thủ.

(Hiểu sai phổ biến)

❌ "SCA chỉ áp dụng cho thẻ tín dụng"

→ Sai. SCA áp dụng cho mọi phương thức thanh toán điện tử trong EEA: thẻ, chuyển khoản, ví điện tử.

❌ "Cứ bật 3DS là tự động tuân thủ SCA"

→ Sai. 3DS1 không đủ. Phải là 3DS2 với dữ liệu xác thực đúng chuẩn.

❌ "Giao dịch dưới 30 EUR luôn được miễn"

→ Không hoàn toàn. Miễn 30 EUR chỉ áp dụng khi tổng 24h ≤ 100 EUR và số giao dịch liên tiếp ≤ 5. Vượt ngưỡng → SCA bắt buộc.

❌ "SCA làm giảm conversion không thể tránh"

→ Sai. Với exemption hợp lý (low-value, TRA — Transaction Risk Analysis), merchant có thể giữ conversion ở mức 90–94% thay vì 78–82% nếu làm sai.

❌ "Khách quen thì không cần SCA"

→ Không đúng. Whitelisting chỉ áp dụng khi khách tự nguyện đăng ký và merchant duy trì danh sách.

(Thuật ngữ liên quan)

- PSD2 — Chỉ thị Dịch vụ Thanh toán thứ hai của EU

- 3DS2 (3-D Secure 2) — Giao thức xác thực do EMVCo phát triển

- Exemption — Các trường hợp được miễn SCA

- TRA (Transaction Risk Analysis) — Phân tích rủi ro giao dịch để miễn SCA

- MIT (Merchant Initiated Transaction) — Giao dịch do merchant khởi tạo

- SCA Delegation — Ủy quyền xác thực cho PSP

- Dynamic Linking — Liên kết động số tiền + người nhận trong xác thực

- PSP (Payment Service Provider) — Đơn vị cung cấp dịch vụ thanh toán

- Issuer / Acquirer — Ngân hàng phát hành / ngân hàng thanh toán

Tóm tắt cho merchant DTC

SCA là rào chắn pháp lý không thể bỏ qua khi bán vào EU. Nhưng nó không nhất thiết phải giết conversion. Ba việc cần làm ngay:

1. Tích hợp 3DS2 qua PSP uy tín (Stripe, Adyen, Checkout.com)

2. Cấu hình exemption thông minh — đặc biệt TRA cho khách quen

3. Theo dõi 2 chỉ số: tỷ lệ SCA challenge và tỷ lệ authorization success — mục tiêu ≥ 90%

Xử lý đúng, SCA trở thành lợi thế cạnh tranh: ít chargeback hơn, uy tín cao hơn, và khách EU an tâm mua hàng giá trị lớn hơn.