PSD2, 3D Secure y PCI DSS: guía de seguridad en pagos para empresas en 2026

Si aceptas pagos con tarjeta online o en tienda física, estas tres normativas te afectan directamente. Esta guía explica qué son, qué exigen a tu negocio, cómo se relacionan entre sí y cómo cumplir sin perjudicar tu tasa de conversión.

TL;DR: Resumen rápido

• PSD2 es la directiva europea de pagos en vigor en España desde el 14 de septiembre de 2019; obliga a autenticar al cliente con dos factores en pagos online (SCA).
• SCA (Autenticación Reforzada) se implementa técnicamente mediante 3D Secure 2.0: el primer pago exige verificación; los pagos recurrentes posteriores están exentos como MIT (transacciones iniciadas por el comercio).
• PCI DSS es la norma de seguridad de datos de tarjetas: la mayoría de ecommerce medianos solo necesitan el cuestionario de autoevaluación (SAQ A o A-EP), no una auditoría externa.
• Chargeback es la devolución forzada del banco del cliente: el negocio pierde la venta y paga entre 15 y 100 € de penalización por caso; activar 3DS2 transfiere esa responsabilidad al banco emisor.
• CVV: código de 3–4 dígitos que no se puede almacenar tras la transacción (PCI DSS); es el segundo factor básico en pagos online.
• Tokenización: los datos reales de la tarjeta se sustituyen por un token. El comercio nunca almacena datos sensibles y puede cobrar recurrentemente sin que el cliente vuelva a introducirlos.
• El riesgo de no cumplir: sanciones administrativas del Banco de España por incumplimiento de PSD2, programas de monitorización (VAMP de Visa, ECP de Mastercard) y posible cancelación del servicio de cobro con tarjeta si se superan sus umbrales de chargebacks/fraude, y responsabilidad civil directa por fraude si no hay 3DS2 activo.

En España, el fraude en pagos con tarjeta superó los 141 millones de euros en 2024, según el informe conjunto del Banco Central Europeo y la Autoridad Bancaria Europea publicado en diciembre de 2025. La mayor parte de ese fraude (y de los costes asociados) es evitable con una implementación correcta de los tres estándares que cubre esta guía: PSD2, PCI DSS y el protocolo 3D Secure.

El mapa de la seguridad en pagos: cómo se relacionan PSD2, SCA, 3DS y PCI DSS

Antes de entrar en cada estándar por separado, es fundamental entender que PSD2, SCA, 3D Secure y PCI DSS son capas distintas del mismo sistema de seguridad, no alternativas entre sí.

La analogía más clara: PSD2 es la ley, SCA es el requisito que impone esa ley, 3DS2 es la herramienta técnica para cumplirlo y PCI DSS es el estándar de seguridad para todo lo que rodea a esa cadena.

PSD2: qué es y qué obliga a hacer

PSD2 (Payment Services Directive 2, Directiva UE 2015/2366) es la normativa europea que regula los servicios de pago electrónico en la Unión Europea y obliga a aplicar autenticación reforzada del cliente en los pagos online.

Es obligatoria en España desde el 14 de septiembre de 2019, fecha en la que empezaron a aplicarse los requisitos técnicos de autenticación reforzada y las condiciones de exención.

Qué obliga PSD2 a los negocios que cobran online

PSD2 impone tres obligaciones principales a cualquier negocio que acepte pagos electrónicos en España y la UE:

1. Aplicar SCA (Autenticación Reforzada) en los pagos online iniciados por el cliente
Cada vez que un cliente paga por internet, el banco debe verificar su identidad con al menos dos de estos tres factores:

• Algo que sabe: contraseña, PIN, pregunta de seguridad
• Algo que tiene: móvil (código SMS, app bancaria), tarjeta física, token hardware
• Algo que es: huella dactilar, Face ID, reconocimiento de voz

2. Garantizar la salvaguarda de los fondos de clientes
PSD2 obliga a los proveedores de servicios de pago (PSP) a mantener los fondos de los clientes en cuentas separadas del patrimonio propio de la entidad, blindados ante una posible insolvencia. En España, el Banco de España autoriza y supervisa a las entidades de pago y vigila el cumplimiento de esta obligación (artículo 21 del RDL 19/2018). Es especialmente relevante para marketplaces, plataformas y agregadores que gestionan fondos de terceros. Las entidades de pago autorizadas por el Banco de España, como Paymático, están obligadas a mantener los fondos de sus clientes en cuentas separadas y bajo la supervisión continua del regulador.

3. Acceso a cuentas bancarias vía APIs abiertas (Open Banking)
PSD2 obliga a los bancos a abrir sus APIs para que proveedores de servicios de pago autorizados puedan iniciar pagos y consultar saldos en nombre del cliente, con su consentimiento. Es la base del ecosistema de Open Banking en Europa.

Las exenciones de SCA: cuándo no es obligatoria la autenticación

No todos los pagos online requieren SCA. Las normas técnicas de regulación (RTS) sobre SCA establecen seis exenciones que permiten procesar un pago sin autenticación adicional:

La exención MIT es la más relevante para negocios con modelo de suscripción: el primer pago de un ciclo recurrente exige SCA completa; los pagos siguientes se procesan automáticamente como MIT sin autenticación adicional, siempre que la pasarela los declare correctamente como tal.

SCA: qué significa y cómo funciona en la práctica

SCA (Strong Customer Authentication; Autenticación Reforzada del Cliente) es el mecanismo de verificación de identidad que exige PSD2 para los pagos online. Requiere que el cliente demuestre su identidad usando al menos dos de los tres factores mencionados (saber, tener, ser), de forma que comprometer uno solo no sea suficiente para completar el pago.

Qué ve el cliente cuando se aplica SCA

Desde la perspectiva del cliente, la SCA se manifiesta como una interrupción en el flujo de pago:

1. El cliente introduce los datos de su tarjeta en el checkout.
2. El banco emisor decide si exige autenticación adicional (según riesgo de la transacción y aplicación de exenciones).
3. Si exige SCA: el cliente recibe un código SMS, una notificación push en su app bancaria o se le pide que use Face ID/huella.
4. El cliente completa la verificación y el pago se aprueba.

El impacto en la conversión depende de cómo se implemente. Con 3DS básico (la versión anterior), la SCA interrumpía el 100% de los pagos con una pantalla adicional, lo que la Autoridad Bancaria Europea (EBA) reconoció como un riesgo significativo para la conversión durante la migración a PSD2.

Con 3DS2 y autenticación basada en riesgo, Visa y Mastercard reportan que el 85–95% de las transacciones se procesan por el flujo frictionless, de modo que la interrupción solo ocurre cuando hay indicios de fraude (habitualmente el 5–15% de las transacciones), minimizando el impacto en conversión.

3D Secure 2.0: el protocolo técnico que implementa PSD2

3D Secure 2.0 (3DS2) es el protocolo de autenticación de pagos online desarrollado por EMVCo que implementa técnicamente los requisitos de SCA de PSD2, sustituyendo al 3DS original (también llamado Verified by Visa o Mastercard SecureCode).

La diferencia fundamental entre 3DS básico y 3DS2 es la autenticación basada en riesgo (risk-based authentication o RBA):

El liability shift: por qué 3DS2 te protege de los chargebacks

El liability shift es el mecanismo por el que la responsabilidad de un pago fraudulento se transfiere del comercio al banco emisor cuando se ha aplicado 3DS2 correctamente.

Sin 3DS2: si un cliente afirma que no autorizó un pago, el comercio pierde el dinero y paga la penalización del chargeback.

Con 3DS2 activo: si el banco aprobó el pago después de que el cliente completara la autenticación, la responsabilidad del fraude es del banco emisor. El comercio no asume la pérdida en las disputas por fraude cuando la autenticación se completó correctamente.

Esta es la razón más importante para activar 3DS2: no es solo cumplimiento normativo, es protección financiera directa contra el fraude.

Cómo implementar 3DS2 en tu ecommerce

En los dos primeros casos (hosted page e iframe), el proveedor de pagos gestiona toda la lógica de 3DS2, incluyendo la decisión de cuándo eximir y cuándo autenticar. El comercio solo necesita confirmar que su proveedor tiene 3DS2 correctamente implementado con RBA.

PCI DSS: qué es y qué nivel te corresponde

PCI DSS (Payment Card Industry Data Security Standard) es el estándar de seguridad de datos desarrollado por el PCI Security Standards Council y adoptado por Visa, Mastercard, Amex, Discover y JCB para proteger los datos de las tarjetas de pago.

No es una ley en sentido estricto, es un requisito contractual que los negocios aceptan al firmar con su banco adquirente o proveedor de pagos. Sin embargo, su incumplimiento puede resultar en multas significativas, cancelación del servicio de cobro con tarjeta y responsabilidad civil en caso de brecha de datos.

Los 4 niveles de PCI DSS: cuál te corresponde

La mayoría de ecommerce medianos en España están en Nivel 3 o 4, lo que significa que solo necesitan completar un SAQ (Self-Assessment Questionnaire) anual, no una auditoría externa cara.

El SAQ: qué es y cuál necesitas

El SAQ (Self-Assessment Questionnaire) es un cuestionario de autoevaluación que el comercio completa para certificar su cumplimiento PCI DSS sin necesidad de auditor externo. Existen varios tipos según cómo se procesen los datos de tarjeta:

Para la mayoría de ecommerce que usan el iframe o la hosted page del proveedor: SAQ A, 31 preguntas, sin auditoría. Esta es la razón por la que la integración por iframe es la más recomendable desde el punto de vista del cumplimiento PCI.

Los 12 requisitos de PCI DSS v4.0.1

Aplican a cualquier negocio que procese, almacene o transmita datos de tarjeta, desde un ecommerce pequeño hasta una cadena con TPV en tienda física. La versión vigente es la v4.0.1 (en vigor desde enero de 2025) y agrupa 12 requisitos en 6 objetivos:

El requisito más crítico para ecommerce es el 3: no almacenar datos sensibles de tarjeta (especialmente el CVV) después de completar la autorización. Un comercio que almacena CVVs está violando PCI DSS independientemente de cualquier otro control de seguridad que tenga.

CVV: qué es y por qué no se puede almacenar

El CVV (Card Verification Value) es el código de seguridad de 3 o 4 dígitos impreso en la tarjeta de pago, diseñado para verificar que quien paga online tiene la tarjeta física en su posesión (o la ha memorizado).

• Visa y Mastercard: 3 dígitos en el reverso de la tarjeta
• American Express: 4 dígitos en el anverso de la tarjeta
• Nombres alternativos: CVV2, CVC, CVC2, CSC; todos se refieren al mismo código

Por qué el CVV no está en el chip ni en la banda magnética

El CVV está deliberadamente excluido del chip EMV y de la banda magnética de la tarjeta. Esto significa que alguien que clona la banda magnética de una tarjeta o roba los datos del chip no obtiene el CVV. Solo quien tiene la tarjeta física puede leerlo.

Es el segundo factor de autenticación básico en pagos online (el primero es el número de tarjeta y la fecha de vencimiento): sin CVV, un número de tarjeta robado no es suficiente para completar la mayoría de los pagos por internet.

PCI DSS y el CVV: prohibición expresa de almacenamiento

PCI DSS prohíbe explícitamente almacenar el CVV después de la autorización de la transacción, incluso cifrado. Es uno de los pocos casos donde el estándar no admite ninguna excepción ni control compensatorio: el CVV nunca puede persistir en ningún sistema del comercio, ni en bases de datos, ni en logs, ni en archivos de texto.

¿Qué hacer para los pagos recurrentes sin pedir el CVV al cliente en cada ciclo? La respuesta es la tokenización.

Tokenización: cómo proteger los datos de pago y habilitar los recurrentes

La tokenización de pagos es el proceso por el que los datos sensibles de la tarjeta (número PAN, fecha de vencimiento, CVV) se sustituyen por un identificador cifrado único llamado token, almacenado de forma segura en los servidores del proveedor de pagos, nunca en los del comercio.

Cómo funciona la tokenización

Chargeback: qué es y cómo evitarlo

Un chargeback es una devolución forzada de un pago iniciada por el banco del cliente, que revierte directamente el cargo en la cuenta bancaria del cliente sin necesidad del consentimiento del negocio.

A diferencia de una devolución normal (que el negocio procesa voluntariamente), el chargeback es una acción unilateral del banco del cliente que deja al negocio sin el dinero y, en muchos casos, también sin el producto o servicio entregado.

El coste real de un chargeback

El coste de un chargeback no se limita al importe de la venta. Al dinero de la transacción se suman la penalización que aplica el proveedor o la red de tarjetas (habitualmente entre 15 y 100 € por caso), el tiempo interno dedicado a gestionar y disputar el caso y, cuando el producto ya se ha entregado, la pérdida de esa mercancía o servicio. Por eso el impacto real de un chargeback suele superar con holgura el importe original de la venta.

Los umbrales de chargeback que no debes superar

Mantenerse de forma sostenida en la zona crítica de Visa o Mastercard puede acabar en multas crecientes, restricciones por parte del proveedor de pagos e incluso la cancelación del servicio de cobro con tarjeta, lo que equivale a perder la capacidad de operar como negocio digital.

Las causas más frecuentes de chargeback en España

Las 5 medidas más efectivas contra los chargebacks

Medida 1: Activar 3D Secure 2.0: transfiere la responsabilidad del fraude al banco emisor mediante el liability shift. Es la medida más efectiva para los chargebacks por fraude, una de las causas más frecuentes de disputa.

Medida 2: Usar un descriptor de pago claro: el nombre que aparece en el extracto bancario del cliente debe ser el nombre de la tienda o marca que el cliente reconoce. Si la empresa se llama "Tech Solutions SL" pero la tienda es "EcoShop", el descriptor debe mostrar "EcoShop", no la razón social.

Medida 3: Política de devoluciones accesible: una parte relevante de los chargebacks se inician porque el cliente no encontró cómo solicitar una devolución directamente al comercio. Una política clara, un email de atención visible y tiempos de respuesta rápidos reducen esta categoría.

Medida 4: Conservar evidencia de cada entrega: para disputas de "producto no recibido", el comercio necesita proporcionar al banco: número de seguimiento, fecha de entrega, firma del receptor (si aplica) o confirmación de descarga (para productos digitales). Sin esta evidencia, el chargeback se resuelve automáticamente a favor del cliente.

Medida 5: Responder todos los chargebacks en plazo: el plazo para presentar evidencias y disputar un chargeback es habitualmente de 20 días hábiles desde la notificación. No responder equivale a aceptar la devolución. Muchos comercios no responden por desconocimiento y pierden disputas que habrían ganado con documentación.

ROI de implementar correctamente la seguridad en pagos

El coste de implementar PSD2, 3DS2 y PCI DSS correctamente es inferior al coste de no hacerlo, incluso antes de contar las multas regulatorias.

El coste de implementar 3DS2 suele estar ya incluido en la pasarela de pago, sin desarrollo adicional, y el SAQ A para PCI DSS es un cuestionario de autoevaluación que el propio comercio completa, sin auditoría externa. El retorno llega por la vía de menos fraude, menos chargebacks y una conversión que no se resiente.

Errores frecuentes en seguridad de pagos

Error 1: Usar 3DS básico en lugar de 3DS2

Problema: el comercio tiene "3D Secure activado" pero usa la versión antigua, que interrumpe el 100% de los pagos con una pantalla adicional de baja conversión. La tasa de abandono en ese paso adicional puede ser muy alta.

Solución: confirmar con tu proveedor que su 3DS aplica autenticación basada en riesgo en lugar de autenticar el 100% de las transacciones. La pregunta concreta: "¿Vuestro 3DS aplica autenticación basada en riesgo o autentica el 100% de las transacciones?"

Error 2: No declarar los pagos recurrentes como MIT

Problema: la pasarela procesa los cobros recurrentes (suscripciones, cuotas) como si fueran nuevas transacciones iniciadas por el cliente, lo que activa SCA en cada ciclo. El resultado: tasas de rechazo elevadas en cada cobro recurrente porque el cliente no completa la autenticación.

Solución: verificar que el proveedor declara explícitamente los cobros recurrentes posteriores al primero como MIT (Merchant-Initiated Transaction) con la referencia al mandato original. Esta declaración es la que activa la exención de SCA para esos cobros.

Error 3: Almacenar el CVV en la base de datos

Problema: el sistema de gestión del comercio guarda el CVV junto con los datos de la tarjeta "para facilitar futuros cobros". Esto viola PCI DSS de forma absoluta y expone al comercio a multas y responsabilidad civil directa en caso de brecha.

Solución: nunca almacenar el CVV. Para cobros recurrentes, usar tokenización: el proveedor de pagos guarda el token, no los datos de la tarjeta. El CVV solo se usa en la primera transacción para verificar que el cliente tiene la tarjeta física; una vez autorizada, debe eliminarse.

Error 4: No responder a los chargebacks recibidos

Problema: el comercio recibe la notificación de un chargeback y no responde porque "es un cliente difícil" o porque no sabe el proceso. El resultado: la disputa se resuelve automáticamente a favor del cliente, el comercio pierde el importe y paga la penalización.

Solución: responder todos los chargebacks dentro del plazo (habitualmente 20 días hábiles) con evidencia documentada: confirmación del pedido, tracking del envío, historial de comunicaciones con el cliente, política de devoluciones visible en el checkout. Con 3DS2 activo y documentación, una parte importante de las disputas se resuelve a favor del comercio.

Error 5: Confundir el nivel de PCI DSS necesario

Problema: el comercio asume que necesita una auditoría externa cara (Nivel 1) porque "acepta tarjetas". En realidad, la mayoría de ecommerce que usan el iframe del proveedor solo necesitan el SAQ A (31 preguntas, sin auditoría) porque el proveedor es quien procesa los datos.

Solución: verificar con el adquirente qué SAQ corresponde según el método de integración. En general: hosted page o iframe = SAQ A; API directa con datos en servidores propios = SAQ D. Elegir la integración por iframe simplifica el cumplimiento PCI drásticamente.

Preguntas frecuentes sobre seguridad en pagos

¿Qué es PSD2 y cómo afecta a mi negocio?

PSD2 es la directiva europea de pagos en vigor en España desde el 14 de septiembre de 2019 que obliga a aplicar autenticación reforzada (SCA) en los pagos online. Su principal impacto práctico es la obligación de implementar 3D Secure 2.0 en el checkout. Sin SCA, los pagos pueden ser rechazados por el banco del cliente y el comercio asume la responsabilidad de cualquier fraude.

¿Cuál es la diferencia entre PSD2, SCA y 3D Secure?

Son tres capas del mismo sistema: PSD2 es la ley europea que exige autenticación reforzada. SCA es el requisito concreto (dos factores de verificación). 3D Secure 2.0 es el protocolo técnico que implementa ese requisito en pagos con tarjeta online. Sin 3DS2 no hay forma de cumplir SCA en ecommerce.

¿Qué es PCI DSS y qué nivel le corresponde a mi ecommerce?

PCI DSS es el estándar de seguridad de datos de tarjetas. La mayoría de ecommerce que usan el iframe o la hosted page del proveedor están en Nivel 3 o 4, lo que solo requiere completar el SAQ A (31 preguntas) anualmente, sin auditoría externa. La auditoría externa (Nivel 1) solo es obligatoria a partir de 6 millones de transacciones/año o después de una brecha de seguridad.

¿Qué es un chargeback y cómo se evita?

Un chargeback es una devolución forzada del banco del cliente que revierte el cargo sin consentimiento del comercio. El comercio pierde la venta, el producto o servicio entregado y paga entre 15 y 100 € de penalización. Las medidas más efectivas: activar 3DS2 (transfiere la responsabilidad al banco en casos de fraude), usar descriptores de pago reconocibles, tener política de devoluciones accesible y conservar evidencia de cada entrega.

¿Qué es la SCA y cuándo es obligatoria?

SCA es la Autenticación Reforzada del Cliente: verificar la identidad del pagador con dos factores (algo que sabe, algo que tiene, algo que es). Es obligatoria en España desde el 14 de septiembre de 2019 para pagos online iniciados por el cliente. No es obligatoria en: pagos hasta 30 €, pagos recurrentes posteriores al primero (MIT), y otras exenciones del RTS sobre SCA.

¿Qué es el CVV de una tarjeta?

El CVV es el código de seguridad de 3 o 4 dígitos impreso en la tarjeta, que verifica que quien paga online tiene la tarjeta física. Visa y Mastercard usan 3 dígitos en el reverso; Amex usa 4 dígitos en el anverso. PCI DSS prohíbe almacenarlo después de la autorización. Para pagos recurrentes sin pedir el CVV repetidamente, la solución es la tokenización.

¿Cómo protege la tokenización los datos de pago?

La tokenización sustituye los datos de la tarjeta por un token cifrado almacenado solo en los servidores del proveedor. El comercio guarda el token, no los datos sensibles. Si hay una brecha, los atacantes solo obtienen tokens inútiles. Los network tokens de Visa y Mastercard van un paso más allá: actualizan automáticamente el token cuando la tarjeta caduca, sin intervención del cliente.

¿Qué pasa si supero el 1% de chargebacks?

Desde abril de 2025, Visa sustituyó sus antiguos programas (VDMP y VFMP) por VAMP (Visa Acquirer Monitoring Program), que combina chargebacks y disputas de fraude en una sola métrica. Superar el umbral "Above Standard" (0,50% a nivel adquirente) activa monitorización y posibles penalizaciones; el umbral "Excessive" puede llevar a sanciones más graves. Mastercard mantiene el ECP (Excessive Chargeback Program) con umbrales propios (Excessive a partir del 1,5%, High Excessive a partir del 3,0%). En casos extremos, el comercio puede acabar en el programa MATCH (Member Alert to Control High-Risk Merchants), que impide contratar con cualquier adquirente durante 5 años.

Glosario de seguridad en pagos

Fuentes

• Banco Central Europeo y Autoridad Bancaria Europea, Informe conjunto sobre fraude en pagos, diciembre de 2025, El fraude en pagos con tarjeta en España superó los 141 millones de euros en 2024 según datos oficiales BCE/EBA.
• Directiva PSD2 (UE 2015/2366), en vigor en España desde el 14 de septiembre de 2019, Marco regulatorio de autenticación reforzada y servicios de pago en Europa.
• Reglamento Delegado (UE) 2018/389, RTS sobre SCA y comunicación segura, Especificaciones técnicas de SCA, exenciones y requisitos MIT.
• PCI Security Standards Council, PCI DSS v4.0.1, vigente desde el 1 de enero de 2025; requisitos con fecha futura obligatorios desde el 31 de marzo de 2025, Norma de seguridad de datos de tarjetas: 12 requisitos y 4 niveles de cumplimiento.
• EMVCo, 3D Secure 2.0 Specification, Especificación técnica del protocolo 3DS2 y autenticación basada en riesgo.
• Autoridad Bancaria Europea (EBA), Opinion on the deadline for the migration to SCA for e-commerce card-based payments, octubre de 2019, Reconocimiento oficial del impacto en conversión durante la migración a SCA y plazos de adopción.
• Visa, Perspectivas oficiales sobre 3D Secure 2.0 y autenticación basada en riesgo, Datos sobre tasas de flujo frictionless en transacciones 3DS2.
• Mastercard Identity Check, Implementación de 3DS2 con autenticación basada en riesgo y datos de fricción reducida.

Posts relacionados

• Qué es una pasarela de pago y cómo elegir la mejor para tu negocio, Guía completa sobre infraestructura de pagos para empresas en España, incluyendo tasa de aceptación y 3DS2.
• Qué es el escrow y cómo funciona en marketplaces y plataformas digitales, Depósito en garantía para transacciones entre partes desconocidas: marco legal PSD2 y requisitos de licencia.
• Pago recurrente: qué es, tipos y cómo evitar el churn involuntario, SCA en el primer pago, exenciones MIT para recurrentes y smart retry para pagos fallidos.
• Qué es la tokenización de pagos y por qué es imprescindible en cobros recurrentes, Cómo funcionan los tokens y los network tokens de Visa y Mastercard.
• TPV para franquicias: guía completa para la central, Seguridad y cumplimiento normativo en redes de franquicia con múltiples puntos de venta.

En resumen

• PSD2, SCA y 3D Secure 2.0 son tres capas del mismo sistema: la directiva europea (PSD2, en vigor en España desde el 14 de septiembre de 2019), el requisito de autenticación que impone (SCA) y el protocolo técnico que lo implementa (3DS2); sin los tres activos, el comercio asume la responsabilidad de cualquier fraude y no puede aplicar el liability shift.
• PCI DSS v4.0.1 exige a los comercios proteger los datos de tarjeta; la mayoría de ecommerce que usan el iframe del proveedor solo necesitan el SAQ A (31 preguntas, sin auditoría), no una auditoría externa. Elegir la integración por iframe simplifica el cumplimiento PCI drásticamente.
• El CVV no se puede almacenar nunca después de la autorización (PCI DSS requisito 3); para pagos recurrentes sin pedir el CVV repetidamente, la solución es la tokenización. El token permite cobrar al cliente sin que tenga que volver a introducir sus datos.
• Un chargeback cuesta al comercio el importe de la venta + 15–100 € de penalización + el valor del producto entregado; desde abril de 2025 Visa monitoriza mediante el programa VAMP (umbral Above Standard del 0,50% y Excessive del 0,70% a nivel adquirente, con umbrales a nivel comercio que bajan al 0,90% en 2026) y Mastercard mediante el ECP (Excessive a partir del 1,5%); superar los umbrales sostenidamente puede resultar en multas crecientes y cancelación del servicio; activar 3DS2 transfiere la responsabilidad del fraude al banco emisor mediante el liability shift.
• El coste de implementar bien la seguridad en pagos suele estar ya incluido en la propia pasarela; el retorno llega por menos fraude, menos chargebacks y una conversión que no se resiente, además de las multas regulatorias que se evitan.
• Las exenciones de SCA son clave para no perder conversión: los pagos recurrentes posteriores al primero están exentos como MIT; los pagos de bajo importe (hasta 30 €) pueden estar exentos; los pagos de bajo riesgo con TRA pueden evitar la interrupción. Una pasarela que no aplica estas exenciones puede reducir la conversión de forma significativa.
• Paymático es una entidad de pago autorizada por el Banco de España desde 2013, certificada PCI DSS Nivel 1, con 3DS2 con risk-based authentication integrado, exenciones MIT automáticas y multiprocesamiento.

¿Quieres comprobar cómo tienes montados los cobros con tarjeta?

Si tienes dudas sobre si tu pasarela aplica bien 3DS2, declara correctamente los pagos recurrentes como MIT o te está dejando expuesto a chargebacks que se podrían evitar, en Paymático lo revisamos contigo sin compromiso y te decimos qué cambiarías.

Cuéntanos tu caso en paymatico.com/contacto