PSD2 простыми словами: что реально делает Директива о платёжных услугах
PSD2 — регулирование, благодаря которому необанки существуют в том виде, в каком вы их знаете. Разбираемся, зачем она была написана и что она значит для вашей выписки, логинов и 2FA.
PSD2 — Вторая директива о платёжных услугах — вступила в силу в Европейской экономической зоне в январе 2018 года. Это самое значимое финансовое регулирование ЕС за последнее десятилетие. Без неё каждый необанк, о котором вы слышали, либо не существовал бы, либо выглядел совершенно иначе.
Что PSD2 заставила банки сделать
До PSD2 ваш банковский счёт был огороженным садом. Только сам банк видел ваши транзакции, инициировал платежи и строил приложения поверх ваших финансовых данных. PSD2 разрушила эту стену. Банки теперь обязаны открывать через регулируемые API две вещи: информацию по счёту (чтобы авторизованные третьи лица могли с вашего согласия читать историю транзакций) и инициацию платежей (чтобы третьи лица с вашего согласия могли запускать платежи с вашего счёта).
Что это дало
Приложения-агрегаторы, собирающие балансы из пяти банков на один экран. Сервисы buy-now-pay-later, инициирующие сам платёж с вашего счёта. Бухгалтерский софт, автоматически читающий транзакции. И сами необанки: конкурент может стартовать с долей исторической инфраструктурной стоимости, потому что регулируемая API-поверхность уже есть.
Strong Customer Authentication (SCA)
Другой столп PSD2 — SCA. Каждый онлайн-платёж свыше €30, каждый вход с нового устройства и каждое изменение платёжного лимита должны аутентифицироваться двумя из трёх факторов: то, что вы знаете (PIN или пароль), то, что у вас есть (телефон или аппаратный токен), то, чем вы являетесь (биометрия). Раздражающий 3DS-попап при онлайн-покупке — это SCA в действии.
Кого это защищает
SCA сократила мошенничество без карты в Европе примерно на 40% за два года после полного внедрения. Трение реально, но снижение фрода — больше. Для банк-банк переводов через API PSD2 SCA значит, что мошенник, укравший логин, всё равно не сможет перевести деньги без вашего подтверждения в телефоне.
Где PSD2 недотягивает
Качество API у разных банков очень разное. Некоторые легаси-банки до сих пор возвращают ошибки или по умолчанию требуют реаутентификации каждые 90 дней. Готовящаяся PSD3 / PSR, которую ждут финализированной в 2026 году, должна поднять планку по аптайму API, полноте данных и ответственности третьих лиц за фрод.