# 强客户身份认证（SCA）：SaaS 实用指南

> 强客户身份认证（SCA）是 PSD2 的一项规则，要求许多支付完成双因素验证。了解 SCA 的运作方式、相关豁免，以及如何在不损害转化率的情况下保持合规。
- **Author**: Ayush Agarwal
- **Published**: 2026-07-22
- **Category**: Payments, Compliance, Security
- **URL**: https://dodopayments.com/blogs/zh/strong-customer-authentication

---

如果你向欧洲客户销售产品，而结账转化率在没有明显原因的情况下下降，强客户身份认证通常就是原因所在。SCA 是一项监管规则，要求许多银行卡支付增加额外的验证步骤。如果实施不当，合法客户会卡在验证页面并放弃支付；如果实施得当，这一过程几乎不会被客户察觉，同时还能将欺诈责任从你转移出去。

强客户身份认证是 PSD2 的要求。PSD2 是欧盟的第二版《支付服务指令》，要求欧洲经济区和英国境内的许多电子支付通过多因素验证。在实际支付中，它通常以 3D Secure 验证的形式出现：一次性验证码、银行应用确认，或结账时的生物识别提示。本指南将介绍 SCA 的要求、帮助优质客户顺利完成支付的豁免措施，以及如何在不让结账流程变成障碍赛道的情况下实现合规。

## 强客户身份认证有哪些要求

从本质上说，SCA 要求支付至少使用三类独立因素中的两类进行身份验证。其理念是：即使风控人员窃取了其中一个因素（例如银行卡号），如果没有第二个无关因素，仍然无法完成支付。

这三类因素包括：

- **客户知道的信息**，例如密码或 PIN。
- **客户拥有的物品**，例如手机或硬件令牌。
- **客户本人的特征**，例如指纹或面部扫描。

符合要求的身份验证必须结合两个不同类别中的因素。密码加上发送到已登记手机的一次性验证码，就符合要求。两个密码则不符合，因为它们属于同一类别。正因如此，手机上的银行应用确认已经成为最顺畅的常见方式：它结合了设备持有证明和生物识别验证。

这项规则适用于由客户发起的电子支付，前提是客户的银行和商家的银行都位于欧洲经济区或英国境内。规则由发卡行执行；对于本应进行身份验证却未完成验证的交易，发卡行可以拒绝付款。

## SCA 在实际支付中的体现：3D Secure

对于银行卡支付，SCA 通过 3D Secure 实现，而且几乎总是使用其现代版本 3D Secure 2。当支付需要身份验证时，客户会被短暂转交给其银行，在支付完成前验证这笔交易。

```mermaid
flowchart LR
    A[客户结账] --> B[支付请求]
    B --> C{需要 SCA？}
    C -->|适用豁免| D[无感验证通过]
    C -->|需要验证| E[3D Secure 验证]
    E --> F[银行验证客户身份]
    F --> G[支付完成]
    D --> G
```

3D Secure 2 的关键之处在于，并非每笔支付都会触发可见的验证页面。该协议会将丰富的交易背景信息传递给发卡行，包括设备和行为信号；银行可以静默批准低风险支付。这称为无感流程，也是 SCA 悄然保护你与严重影响转化率的 SCA 之间的区别。我们的专题文章 [3D Secure 与 3DS 支付身份验证](https://dodopayments.com/blogs/3d-secure-3ds-payment-authentication) 将详细解析其协议机制。

配置良好的系统会尽可能让更多支付进入无感通道，仅在风险或监管规则确实要求时才显示验证页面。

## 保护转化率的豁免措施

SCA 包含一系列豁免措施。正确使用这些豁免，是保持结账流程顺畅的最大抓手。当某项豁免适用，并且商家或其服务提供商提出申请时，客户无需经过验证页面即可完成支付。

| 豁免措施       | 适用情形                                   |
| -------------- | ------------------------------------------ |
| 小额交易       | 低于监管小额标准的支付，但受计数器限制     |
| 交易风险分析   | 收单机构的风控率低于规定限值的低风险支付   |
| 定期交易       | 首次完成身份验证后的固定金额订阅扣款       |
| 商户发起的交易 | 客户未主动参与时发起的扣款，例如按用量计费 |
| 受信任的受益人 | 客户已在其银行添加到允许名单中的商家       |

对于订阅产品和按用量计费的产品，有两项豁免尤其重要。首先，客户完成首次支付的 SCA 验证并同意未来扣款后，后续固定金额的定期扣款通常可以无需再次验证。其次，商户发起的交易通常是在客户不在场的情况下，从已保存的银行卡中扣取费用，例如事后收取按用量计费的费用。由于客户无法在实时结账时进行身份验证，这类交易通常不属于实时结账 SCA 的要求范围。

这就是首次支付的设置如此重要的原因。提前完成正确的身份验证并获取客户同意，才能为之后的无感定期扣款解锁条件。[订阅计费文档](https://docs.dodopayments.com/features/subscription)介绍了如何处理保存的支付凭据授权。

## SCA 不只是成本

你可能会倾向于把 SCA 完全视为需要尽量减少的阻力，但它也带来一个切实的好处：责任转移。当支付通过 3D Secure 完成身份验证后，这笔交易的风控责任通常会从商家转移到发卡行。如果经过身份验证的支付后来被证实存在欺诈，且客户提出争议，商家通常可以免受这笔拒付的影响。

这会改变成本收益计算。验证页面可能只增加几秒钟，却能让你免于承担某类欺诈拒付的风险；而处理这类拒付既昂贵又耗时。对于面临显著欺诈风险的企业，即使不考虑合规要求，有策略地启用身份验证也可能带来净收益。我们的 [拒付保护](https://dodopayments.com/blogs/chargeback-protection) 指南解释了责任转移如何融入更广泛的风控策略，[银行卡测试欺诈](https://dodopayments.com/blogs/card-testing-fraud) 文章则介绍了 SCA 有助于遏制的相关攻击方式。

目标是保持平衡：在身份验证能够保护你或监管规则要求时进行验证；当支付风险较低、验证页面只会损失转化时，则利用豁免措施。

## 无需自行搭建底层支付流程，也能实现 SCA

正确实施 SCA 需要协调许多环节：识别何时需要身份验证，决定是否申请豁免，使用正确的交易数据运行 3D Secure 2 以尽可能提高无感通过率，处理验证结果，并针对数十家发卡行采用不同的处理方式。此外，你还需要持续跟进监管机构和支付网络对限额与要求的调整。

对于大多数团队来说，自行搭建这些能力并不值得。能够处理 SCA 编排的支付服务商可以：

- 按笔交易判断是否可以申请豁免，并传递申请豁免所需的正确数据。
- 携带丰富的背景信息运行 3D Secure 2，让低风险支付保持无感。
- 仅在必要时切换到验证页面，然后完成支付。
- 应用定期交易和商户发起交易豁免，让订阅和按用量计费在首次支付后保持顺畅。

Dodo Payments 将 SCA 和 3D Secure 作为其结账与[风控保护](https://dodopayments.com/payments/fraud-protection)层的一部分进行处理，因此欧洲和英国的支付可以正确完成身份验证，你无需自行接入 3D Secure。由于 Dodo 作为 [MoR（名义商户）](https://dodopayments.com/payments/merchant-of-record)运营，它还承担这些交易的合规责任；其[无代码结账](https://dodopayments.com/payments/no-code-checkout)也旨在让尽可能多的支付进入无感通道。你可以在[集成指南](https://docs.dodopayments.com/developer-resources/integration-guide)中查看开发者视角的相关内容。

## 应避免的常见 SCA 错误

在 SCA 方面遇到困难的团队，通常会犯以下几类本可避免的错误：

- **对每笔支付都发起验证。** 不申请可用的豁免，会让优质客户遭遇本可避免的阻力，进而损害转化率。
- **首次支付设置不完善。** 未能提前完成正确的身份验证并获取客户同意，就无法在之后使用定期交易豁免，导致每次续费都可能触发验证。
- **忽略无感流程所需的数据。** 向 3D Secure 2 传递的信息过少，银行就没有足够依据静默批准支付，从而被迫触发不必要的验证。
- **把 SCA 当成全球性要求。** SCA 适用于欧洲经济区和英国的交易。对适用范围之外的客户施加同样的支付阻力，只会增加成本，却不会带来合规收益。如果你面向全球销售，我们的[跨境支付指南](https://dodopayments.com/blogs/cross-border-payments-guide)介绍了不同地区的要求差异。

解决这些问题，主要是让有能力的服务商按笔交易做出判断，而不是对整个客户群采用简单粗暴的统一规则。

## 总结

对于欧洲经济区和英国的银行卡支付，强客户身份认证并非可选项，但它不必损害转化率。处理得当的企业会积极申请豁免，通过正确设置首次支付来解锁无感定期扣款，向 3D Secure 2 传递丰富数据以让大多数支付静默完成，并将责任转移视为一项优势，而不是单纯的阻力。这样一来，SCA 就会成为一层悄然发挥作用的保护机制，而不是转化率税。想了解 Dodo Payments 如何让全球结账流程保持合规与顺畅，可以查看[支付概览](https://dodopayments.com/payments)。

## 常见问题

### 什么是强客户身份认证（SCA）？

强客户身份认证是欧洲经济区和英国根据 PSD2 实施的一项要求，规定许多电子支付必须至少使用三类独立因素中的两类进行验证：客户知道的信息、客户拥有的物品，以及客户本人的特征。对于银行卡支付，它通常通过 3D Secure 验证实现，例如一次性验证码或银行应用确认。

### SCA 适用于每笔支付吗？

不适用。SCA 适用于由客户发起的电子支付，且客户的银行和商家的银行都位于欧洲经济区或英国境内。包括小额支付、低风险交易、首次完成身份验证后的固定金额定期扣款，以及商户发起的交易在内的多项豁免，可以让许多支付无需显示验证页面即可完成。

### SCA 如何影响订阅计费？

客户完成首次支付的身份验证并同意未来扣款后，后续固定金额的定期扣款通常可以使用定期交易豁免，无需再次发起验证。正确设置首次完成身份验证的支付，是让后续续费保持无感的关键。

### 3D Secure 总会显示验证页面吗？

不会。现代 3D Secure 2 会将交易和设备背景信息传递给发卡行，发卡行可以在无感流程中静默批准低风险支付。只有在风险或监管规则要求时，才会显示验证页面。因此，配置良好的系统可以让大多数支付无需经过验证页面。

### 除了合规要求，SCA 还有其他好处吗？

有。当支付通过 3D Secure 完成身份验证后，这笔交易的风控责任通常会从商家转移到发卡行。这可以保护你免受某些欺诈拒付的影响，因此，即使不考虑监管要求，有策略地进行身份验证也可能值得。
---
- [More Payments articles](https://dodopayments.com/blogs/category/payments)
- [All articles](https://dodopayments.com/blogs)