PSD2 y autenticación reforzada (SCA) en los pagos de apuestas

Todavía recuerdo la primera vez que un usuario me escribió furioso porque su depósito «se había quedado colgado» mientras esperaba un código en el móvil. Cuando revisamos juntos qué había pasado, resultó que su banco simplemente estaba haciendo su trabajo: pedirle una segunda confirmación antes de mover el dinero. En medios de pago para apuestas y banca abierta, sigo pensando que la SCA es la pieza de seguridad menos entendida y más útil de todo el proceso de pago, precisamente porque su función se nota más cuando falla que cuando funciona bien.

Qué es la PSD2

La PSD2 es la segunda directiva europea de servicios de pago, una norma que rediseñó por completo cómo se autorizan y protegen los pagos electrónicos dentro de la Unión Europea. Entró en vigor en noviembre de 2018 y trajo dos cambios fundamentales que siguen marcando cómo funciona hoy el pago por banco: obligó a las entidades a abrir sus sistemas mediante interfaces de programación para que proveedores autorizados pudieran iniciar pagos con el consentimiento del usuario, y estableció un estándar de seguridad más exigente para autenticar cada operación.

Ese segundo punto es el que nos interesa aquí. Antes de la PSD2, bastaba con un número de tarjeta, una fecha de caducidad y un código de tres dígitos para completar buena parte de las compras online, un nivel de seguridad que dejaba mucho margen al fraude. La directiva cambió esa base y exigió un sistema de verificación más robusto para las operaciones que superan ciertos umbrales o que presentan determinado nivel de riesgo, algo que sentó las bases regulatorias sobre las que hoy crece la banca abierta en toda Europa, incluida España, donde ese crecimiento ronda el 40 por ciento interanual según el análisis de inbestme sobre la situación real del open banking y la PSD2 en España.

Esa apertura obligatoria de los sistemas bancarios no fue una decisión que tomaran los propios bancos por iniciativa propia, conviene recordarlo. Durante años, las entidades tradicionales mantuvieron sus sistemas cerrados, y fue la propia Comisión Europea la que impulsó esta directiva para fomentar la competencia y dar entrada a proveedores especializados como Trustly, que de otro modo no habrían podido construir un negocio de banca abierta a esta escala sin un acceso legal y estandarizado a las cuentas bancarias de los usuarios.

Qué es la autenticación reforzada (SCA)

La autenticación reforzada del cliente, conocida por sus siglas en inglés SCA, es el mecanismo concreto que la PSD2 impone para confirmar que quien autoriza un pago es realmente el titular de la cuenta. Su lógica se basa en combinar al menos dos de tres factores distintos: algo que el usuario sabe, como una contraseña o un PIN; algo que el usuario posee, como el propio móvil donde recibe un código o una notificación; y algo que el usuario es, como una huella dactilar o el reconocimiento facial que usan muchas aplicaciones bancarias hoy en día.

En la práctica, cuando pagas un depósito con un proveedor de banca abierta, tu banco no se limita a comprobar que la cuenta tiene fondos suficientes. Te pide, además, esa segunda capa de confirmación, casi siempre a través de la propia app bancaria o de un código enviado por SMS, antes de dar el visto bueno final a la operación. Es un paso que añade unos segundos al proceso, pero que reduce de forma drástica la posibilidad de que alguien mueva tu dinero sin tu conocimiento, aunque hubiera conseguido de algún modo tus credenciales de acceso a la banca online.

Existen algunas excepciones dentro del propio marco de la PSD2 que permiten a los bancos saltarse la SCA en operaciones muy concretas, de importe reducido o consideradas de bajo riesgo tras un análisis automático del propio banco, pero esas excepciones dependen enteramente del criterio de cada entidad, no del operador de apuestas ni del proveedor de pagos. En la práctica, para el grueso de los depósitos de apuestas, la verificación reforzada se aplica casi siempre, porque los sistemas antifraude de los bancos suelen clasificar este tipo de operación como merecedora de esa capa extra de confirmación.

Cómo te afecta al pagar

Para el usuario que deposita en una casa de apuestas, la SCA se traduce en un paso adicional dentro del flujo de pago que ya conocemos: seleccionas el banco, inicias sesión, confirmas el importe, y justo antes de que la operación se complete, tu entidad te pide esa verificación extra. Puede ser una notificación push que aceptas desde el móvil, un código temporal que introduces manualmente, o una confirmación biométrica si tu banco lo tiene habilitado. Sin completar ese paso, el pago sencillamente no se ejecuta, por mucho que el resto de los datos fueran correctos.

Esta capa de seguridad explica en parte por qué proveedores de banca abierta como Trustly han conseguido una adopción tan amplia en tan poco tiempo: a octubre de 2024, más de 112 millones de consumidores ya habían usado sus productos, según recoge este comunicado sobre el liderazgo de Trustly en el auge del pago por banco. Esa cifra de adopción masiva no se explica solo por la comodidad del método, sino también por la confianza que genera saber que cada operación pasa por un filtro de seguridad bancario real, no solo por el sistema del comercio o del operador de apuestas.

Cuando la notificación de verificación no llega a tiempo, o el usuario tarda demasiado en confirmarla desde el móvil, lo habitual es que la sesión de pago caduque y haya que reiniciar todo el proceso desde el principio, sin que eso implique ningún cargo indebido ni ninguna penalización. Es una situación molesta, sobre todo si se repite, pero suele deberse a problemas de cobertura, notificaciones desactivadas en el teléfono o simplemente a que la app del banco tardó en abrirse, no a un fallo del sistema de pago en sí.

El equilibrio entre seguridad y fricción

Aquí es donde entra el debate que más me interesa como profesional del sector: cada capa de seguridad añadida introduce, inevitablemente, algo de fricción en la experiencia del usuario. Un depósito con SCA nunca va a ser tan instantáneo, sobre el papel, como uno sin ninguna verificación adicional, y eso genera cierta tensión con la expectativa de inmediatez que tienen muchos jugadores, sobre todo cuando quieren apostar antes de que empiece un evento concreto.

Mi visión, después de haber visto ambos lados de esta ecuación durante años, es que esa fricción está bien calibrada en la inmensa mayoría de los casos. Los operadores y proveedores de pago han ido optimizando el proceso para que la verificación reforzada se resuelva en segundos, normalmente con una simple notificación que aceptas desde el móvil sin necesidad de teclear nada. El coste real, esos pocos segundos de espera, es mínimo comparado con el beneficio de saber que nadie puede mover tu dinero sin tu autorización expresa y verificada por tu propio banco, algo especialmente relevante cuando hablamos de cuentas de juego donde ya circula dinero real desde el primer depósito, tal y como exige la normativa de verificación de identidad que rige en España.

Esta fricción, además, no distingue entre proveedores de pago ni depende de si usas Trustly, una transferencia bancaria clásica o cualquier otro sistema que se apoye en banca abierta: la exige el banco emisor de la cuenta, no el comercio ni el operador de apuestas. Por eso no tiene ningún sentido buscar un método de pago que prometa «sin verificación extra» para librarte de la SCA, porque esa capa de seguridad no depende de la elección del usuario, sino de la normativa europea que protege a todos los titulares de cuentas bancarias por igual.

La seguridad que no se ve pero que sostiene todo el sistema

Si algo defino cuando alguien me pregunta por qué el pago de un depósito nunca es tan directo como pagar en efectivo, es esto: la SCA es la parte del sistema que menos se nota cuando funciona bien y la que más se echa en falta cuando no existe. La PSD2 obligó a construir un estándar de seguridad común en toda Europa precisamente para que el crecimiento del pago por banco, que ya suma más de cien millones de usuarios solo en el caso de un proveedor como Trustly, se apoyara sobre una base sólida y no sobre la confianza ciega. Esa base es, en última instancia, la que hace posible que puedas depositar con tranquilidad sabiendo que el sistema completo está diseñado para que solo tú puedas autorizar el movimiento de tu propio dinero. Y ese mismo principio de control y trazabilidad es el que está llevando al sector hacia modelos todavía más directos, como explico en este análisis sobre los pagos cuenta a cuenta y su papel en el futuro del pago en apuestas.