Claves de acceso de pago: 4 modelos de integración

1. Introducción#

El panorama global de pagos se encuentra en un punto de inflexión crítico. Durante décadas, la industria ha lidiado con la tensión inherente entre la seguridad y la comodidad del usuario, un desafío que se siente de manera más aguda en el entorno digital de tarjeta no presente (CNP). El aumento del fraude sofisticado ha requerido medidas de autenticación más estrictas, mientras que las expectativas de los consumidores exigen experiencias de pago cada vez con menos fricción. Este informe proporciona un análisis exhaustivo de este ecosistema en evolución, con un enfoque específico en identificar los puntos de integración estratégicos para la tecnología de claves de acceso. Está diseñado para servir como una guía definitiva para los proveedores de tecnología, proveedores de servicios de pago, instituciones financieras y comerciantes que buscan navegar la transición hacia un futuro sin contraseñas.

2. Resumen ejecutivo#

El panorama de pagos está experimentando un cambio fundamental, impulsado por la necesidad de una seguridad más sólida como la Autenticación Reforzada de Clientes (SCA) y la demanda comercial de experiencias de usuario sin fricción. Las claves de acceso resistentes al phishing han surgido como la tecnología clave para resolver esta tensión. Nuestro análisis muestra que la industria está convergiendo en torno a cuatro modelos arquitectónicos distintos para la integración de claves de acceso, cada uno representando una visión competitiva para el futuro de la autenticación de pagos:

1. El modelo centrado en el emisor (por ejemplo, a través de SPC): Este modelo mantiene al emisor en control de la autenticación y puede implementarse hoy, incluso sin soporte de Secure Payment Confirmation (SPC), reemplazando las OTP en los desafíos 3DS con claves de acceso a través de WebAuthn estándar. SPC ofrece la mejor experiencia de usuario al evitar redireccionamientos, pero su falta de soporte en Safari limita la ubicuidad por ahora. Mientras tanto, los emisores pueden implementar WebAuthn en sus flujos del Servidor de Control de Acceso (ACS).
2. El modelo centrado en el comerciante (Autenticación delegada): Este poderoso modelo permite a los grandes comerciantes aprovechar sus relaciones directas con los clientes, moviendo la autenticación a una etapa anterior para crear un pago sin problemas, pero conlleva una gran responsabilidad y requiere confianza directa del emisor.
3. El modelo centrado en la red (Click to Pay): Una jugada estratégica importante por parte de redes de tarjetas como Visa y Mastercard para ser dueños de la experiencia de pago de invitados ofreciendo una clave de acceso portátil a nivel de red para los consumidores.
4. El modelo centrado en PSP (Billeteras): Un modelo dominante donde los grandes proveedores de servicios de pago como PayPal usan claves de acceso para asegurar y agilizar la experiencia dentro de sus vastos ecosistemas de billeteras establecidas.

Cada modelo presenta una respuesta diferente a la pregunta estratégica central: "¿Quién se convertirá en la Parte usuaria principal para los pagos?". Este informe disecciona estas arquitecturas competidoras, mapeándolas con los actores del ecosistema para proporcionar una hoja de ruta clara para navegar por el futuro de la autenticación de pagos.

El siguiente diagrama ilustra cómo estos cuatro modelos difieren en su enfoque sobre la cuestión central de la propiedad de la Parte usuaria.

3. El ecosistema moderno de pagos#

Para comprender dónde y cómo se pueden integrar las claves de acceso, primero es esencial establecer un mapa claro y detallado de los actores del ecosistema de pagos y sus distintos roles. El flujo de una sola transacción en línea implica una interacción compleja entre múltiples entidades, cada una realizando una función específica en el movimiento de datos y fondos.

3.1 Los participantes principales#

En el corazón de cada transacción se encuentran cinco participantes fundamentales que forman la base de la cadena de valor de pagos.

1. Cliente / Titular de la tarjeta:

   • Descripción: La persona u organización que inicia una compra. El titular de la tarjeta obtiene una tarjeta de pago (crédito o débito) de un banco emisor y es responsable de reembolsar los cargos incurridos.
   • Objetivo: Experiencia de pago rápida, sencilla y segura.
   • Ejemplos: Cualquier individuo con una cuenta bancaria y/o una tarjeta de pago.

2. Comerciante:

   • Descripción: El negocio que vende bienes o servicios y acepta pagos electrónicos. Para hacerlo, el comerciante debe tener la infraestructura necesaria, generalmente proporcionada por un banco adquirente o un proveedor de servicios de pago (PSP), para aceptar y procesar pagos con tarjeta.
   • Objetivo: Maximizar la conversión de ventas minimizando la fricción en el pago y mitigando el fraude.
   • Ejemplos: Un sitio web de comercio electrónico, una tienda minorista, un servicio de suscripción.

3. Banco emisor (Emisor):

   • Descripción: El banco o institución financiera del titular de la tarjeta. El emisor proporciona la tarjeta de pago al cliente, asume el riesgo de crédito asociado y es el responsable final de aprobar o rechazar una transacción en función del estado de la cuenta del titular de la tarjeta y una evaluación de riesgos.
   • Objetivo: Recibir la solicitud de autorización y devolver un código de respuesta a través de las redes de tarjetas.
   • Ejemplos: Bank of America, Chase, Barclays.

4. Banco adquirente (Adquirente):

   • Descripción: El banco del comerciante, también conocido como banco comercial. El adquirente mantiene la cuenta del comerciante y facilita el procesamiento de las transacciones con tarjeta en nombre del comerciante.
   • Objetivo: Recibir detalles de pago del comerciante, enrutarlos a través de la red de tarjetas al emisor y, tras la aprobación, liquidar los fondos en la cuenta del comerciante.
   • Ejemplos: Wells Fargo Merchant Services, Worldpay.

5. Redes de tarjetas (Esquemas):

   • Descripción: La columna vertebral tecnológica que conecta a todos los demás participantes. Empresas como Visa, Mastercard, American Express y Discover operan estas vastas redes. No emiten tarjetas ni abren cuentas de comerciantes, pero proporcionan la infraestructura crítica, reglas y estándares que rigen las transacciones.
   • Objetivo: Facilitar el enrutamiento de las solicitudes de autorización y la compensación y liquidación de fondos entre emisores y adquirentes.
   • Ejemplos: Visa, Mastercard, American Express.

3.2 Los intermediarios: Aclarando el panorama de los "proveedores"#

Entre los participantes principales se encuentra un ecosistema complejo y a menudo superpuesto de proveedores de tecnología y servicios. Comprender las distinciones entre estos intermediarios es crucial, ya que a menudo son los puntos de integración principales para nuevas tecnologías como las claves de acceso. Las líneas entre estos roles se han desdibujado significativamente en los últimos años, a medida que los proveedores modernos buscan ofrecer soluciones más completas y "todo en uno".

1. Pasarela de pago:

   • Descripción: Una pasarela de pago es la tecnología que actúa como el portal digital seguro para una transacción. Su función principal es capturar los datos de pago confidenciales del cliente desde el sitio web del comerciante o el sistema de punto de venta (POS), cifrarlos y transmitirlos de forma segura al procesador de pagos o banco adquirente. Es la "puerta de entrada" de la transacción, responsable de la transmisión segura de los datos, pero no del movimiento de fondos en sí.
   • Objetivo: Proporcionar a los comerciantes una forma segura y confiable de aceptar pagos en línea.
   • Ejemplos: Authorize.net (una solución de Visa), Braintree, Stripe Payment Gateway.

2. Procesador de pagos:

   • Descripción: Un procesador de pagos es la entidad que ejecuta los mensajes de transacción entre las distintas partes. Después de recibir los datos seguros de la pasarela de pago, el procesador se comunica con la red de tarjetas y, por extensión, con los bancos emisores y adquirentes para facilitar la autorización y liquidación de la transacción. Se puede pensar en el procesador como el motor operativo que maneja la comunicación técnica necesaria para que ocurra el pago, mientras que la pasarela es el canal seguro para esa comunicación.
   • Objetivo: Ejecutar de manera confiable y eficiente los mensajes de pago, gestionar la liquidación de transacciones y manejar la resolución de disputas entre los bancos emisores y adquirentes.
   • Ejemplos: First Data (ahora Fiserv), TSYS, Worldpay.

3. Proveedor de servicios de pago (PSP):

   • Descripción: Un proveedor de servicios de pago es una empresa que ofrece a los comerciantes una solución completa e integral para aceptar pagos electrónicos. Un PSP moderno generalmente combina las funciones de una pasarela de pago y un procesador de pagos, y a menudo también proporciona la cuenta de comerciante, todo bajo un solo contrato. Este modelo "todo en uno" simplifica enormemente el proceso para los comerciantes, que ya no necesitan establecer relaciones separadas con un proveedor de pasarela y un banco adquirente. En algunos contextos, los PSP que agregan varios métodos de pago para los comerciantes también se conocen como Agregadores de pago.
   • Objetivo: Ofrecer a los comerciantes una ventanilla única para todas sus necesidades de pago, abstrayendo la complejidad y simplificando la aceptación de pagos.
   • Ejemplos: Stripe, Adyen, PayPal, Mollie.

4. Proveedores de cuenta a cuenta (A2A) / Open Banking:

   • Descripción: Esta es una categoría de proveedores de pago de rápido crecimiento que elude por completo las redes de tarjetas tradicionales. Los pagos A2A mueven fondos directamente desde la cuenta bancaria de un consumidor a la cuenta bancaria de un comerciante. Esto a menudo está habilitado por las regulaciones de "Open Banking" (como PSD2 en Europa) que exigen que los bancos deben proporcionar acceso seguro a la API a los datos de la cuenta del cliente y a los servicios de iniciación de pagos para proveedores de terceros con licencia. Estos proveedores crean interfaces fáciles de usar sobre estas API, lo que permite a los consumidores autenticarse con su banco y aprobar un pago en un flujo continuo.
   • Objetivo: Ofrecer una alternativa de pago con tarjeta de menor costo y alta seguridad al eliminar las tarifas de intercambio y reducir el fraude mediante la autenticación a nivel bancario.
   • Ejemplos: Trustly, Plaid, Tink (desde 2022 parte de Visa), GoCardless, Fintecture.

Esta consolidación de roles tiene profundas implicaciones. Si bien académicamente distintos, en la práctica, el único punto de contacto de un comerciante suele ser un PSP que abstrae la complejidad de las relaciones subyacentes de pasarela, procesador y adquirente. Sin embargo, las capacidades de estos PSP pueden variar drásticamente. Un PSP que es meramente un revendedor de los servicios de pasarela de otra empresa tiene capacidades técnicas e intereses estratégicos muy diferentes a los de un PSP completo con su propia infraestructura de procesamiento y licencias de adquirente. Esta distinción es importante al evaluar las oportunidades de integración de métodos de autenticación avanzados.

3.3 Papel de la Parte usuaria (RP)#

Además, un análisis más profundo del flujo de pago revela un concepto fundamental que aclara las motivaciones estratégicas detrás de las nuevas tecnologías de autenticación: el papel de la Parte usuaria (RP). En el contexto de la autenticación FIDO y las claves de acceso, la Parte usuaria es la entidad que es, en última instancia, responsable de verificar la identidad de un usuario. En una transacción de pago estándar, el emisor asume el riesgo financiero de fraude y, por lo tanto, es la Parte usuaria predeterminada; es su decisión aprobar o rechazar el pago.

Los modelos arquitectónicos emergentes para la integración de claves de acceso pueden entenderse mejor como una negociación estratégica sobre quién actúa como la Parte usuaria. En el modelo de Confirmación de Pago Segura (SPC), el emisor sigue siendo el RP pero permite que el comerciante invoque la ceremonia de autenticación. En la Autenticación delegada (DA), el emisor delega explícitamente la función de RP al comerciante o su PSP. Y en el modelo centrado en la red, Visa y Mastercard se posicionan ellos mismos como una Parte usuaria federada para las transacciones de pago de invitados. Por lo tanto, la pregunta central para cualquier proveedor de pagos que considere la integración de claves de acceso se convierte en:

La respuesta apunta directamente a la oportunidad de integración, a quien toma la decisión clave y al objetivo estratégico subyacente.

3.4 Visualizando el ecosistema: Flujo de datos y valor#

Para proporcionar una representación visual clara de estas relaciones, es esencial un diagrama de flujo que ilustre el ciclo de vida del pago. Dicho diagrama representaría dos caminos distintos pero interconectados:

1. El flujo de datos (Autorización): Este camino rastrea el viaje de la solicitud de autorización. Comienza con el cliente enviando detalles de pago en el sitio del comerciante, fluyendo a través de la pasarela de pago al procesador/adquirente, luego a través de la red de tarjetas al emisor para una decisión de riesgo y, finalmente, la respuesta de aprobación o rechazo viaja de regreso al comerciante y al cliente. Todo este proceso ocurre en cuestión de segundos.

2. El flujo de valor (Liquidación): Este camino ilustra el movimiento de dinero, que ocurre después de la autorización. Muestra las transacciones agrupadas siendo compensadas, con fondos que fluyen desde el emisor, a través de la red, al adquirente (menos las tarifas de intercambio) y, finalmente, se depositan en la cuenta del comerciante, un proceso que generalmente toma unos pocos días hábiles.

Esta visualización permite a cualquier participante del ecosistema localizar inmediatamente su posición y comprender sus relaciones directas e indirectas con todas las demás partes, sentando las bases para un análisis detallado de dónde pueden ocurrir las intervenciones de autenticación.

3.5 Líderes regionales del mercado#

Si bien el ecosistema de pagos contiene actores de todos los tamaños, el mercado de procesamiento y adquisición se concentra en torno a varios actores grandes que varían según la región. Los gigantes globales a menudo compiten con fuertes campeones nacionales y regionales. La siguiente tabla proporciona una instantánea de los actores clave en diferentes geografías.

4. Anatomía de una transacción de tarjeta no presente (CNP) y la capa superpuesta 3-D Secure#

Cada compra en línea desencadena una secuencia compleja de eventos a alta velocidad que se pueden dividir en dos fases principales: autorización y liquidación. Superpuesto a este proceso hay un protocolo de seguridad crítico conocido como 3-D Secure, que es fundamental para comprender los desafíos modernos de la autenticación de pagos en línea.

4.1 El ciclo de vida de la transacción: De "Pagar" a "Pagado"#

El ciclo de vida de una sola transacción CNP implica un intercambio de datos casi instantáneo seguido de una transferencia de fondos más lenta.

4.1.1 Autorización#

La autorización es el proceso de verificar que el titular de la tarjeta tiene suficientes fondos o crédito para completar la compra y que la transacción es legítima. Esta fase ocurre en segundos y sigue un camino preciso de varios pasos:

1. Iniciación de la transacción: El cliente selecciona sus artículos, procede al pago e ingresa los detalles de su tarjeta de pago (número de tarjeta, fecha de vencimiento, CVV) en el formulario de pago en línea del comerciante.

2. Transmisión segura: El sitio web del comerciante transfiere de forma segura esta información a su pasarela de pago. La pasarela cifra los datos para protegerlos durante el tránsito.

3. Enrutamiento al Procesador/Adquirente: La pasarela reenvía los detalles de la transacción cifrados al procesador de pagos y/o al banco adquirente del comerciante.

4. Comunicación de red: El adquirente envía la solicitud de autorización a la red de tarjetas correspondiente (por ejemplo, Visa, Mastercard).

5. Verificación del emisor: La red de tarjetas enruta la solicitud al banco emisor del titular de la tarjeta. Los sistemas del emisor realizan una serie de comprobaciones: verifican la validez de la tarjeta, comprueban el saldo disponible o el límite de crédito y ejecutan la transacción a través de sus motores de detección de fraude.

6. Respuesta de autorización: Según estas comprobaciones, el emisor aprueba o rechaza la transacción. Esta decisión, en forma de código de respuesta, se envía de regreso por el mismo camino: desde el emisor a la red de tarjetas, al adquirente, al procesador/pasarela y, finalmente, al sitio web del comerciante.

7. Finalización: Si se aprueba, el comerciante completa la venta e informa al cliente. Si se rechaza, el comerciante solicita al cliente un método de pago alternativo.

4.1.2 Liquidación#

La liquidación es el proceso de mover realmente el dinero del emisor al comerciante. A diferencia de la autorización, esto no es instantáneo y generalmente ocurre en lotes.

1. Lotes: Al final del día hábil, el comerciante envía un archivo por lotes de todas sus autorizaciones aprobadas a su adquirente.
2. Compensación: El adquirente envía el lote a la red de tarjetas para su compensación. La red clasifica las transacciones y las reenvía a los respectivos bancos emisores.
3. Transferencia de fondos: Los bancos emisores transfieren los fondos para las transacciones aprobadas al banco adquirente, menos las tarifas de intercambio, que son tarifas que el adquirente paga al emisor por cada transacción.
4. Depósito al comerciante: El adquirente luego deposita los fondos en la cuenta del comerciante, menos sus propias tarifas de procesamiento. Todo este proceso de liquidación suele tardar entre 1 y 3 días hábiles.
5. Tarifas de esquemas: Cargos impuestos por los esquemas de tarjetas por el procesamiento de transacciones, que pueden variar según la región, el tipo de tarjeta y el nivel de servicio.

4.2 La capa de seguridad: EMV 3-D Secure (3DS)#

Superpuesto a cada transacción CNP hay un protocolo de seguridad crítico conocido como 3-D Secure (3DS). Administrado por EMVCo, su propósito es permitir que el emisor autentique al titular de la tarjeta, reduzca el fraude y transfiera la responsabilidad de las devoluciones de cargo del comerciante al emisor.

El 3DS moderno (también llamado 3DS2) funciona intercambiando un conjunto rico de datos entre el comerciante y el Servidor de control de acceso (ACS) del emisor. Estos datos permiten que el ACS realice una evaluación de riesgos, lo que conduce a dos resultados:

• Flujo sin fricción: Si la transacción se considera de bajo riesgo, se aprueba silenciosamente en segundo plano sin interacción del usuario. Este es el objetivo de la mayoría de las transacciones.
• Flujo de desafío: Si la transacción es de alto riesgo o está exigida por normativas como PSD2, se desafía activamente al usuario para que pruebe su identidad, generalmente con una OTP o una notificación de aplicación bancaria.

Este "desafío" es un punto importante de fricción y un campo de batalla clave para las tasas de conversión. El objetivo de la industria es maximizar los flujos sin fricción mientras hace que los desafíos sean lo más fluidos posible. Es este desafío de alta fricción lo que las claves de acceso están perfectamente posicionadas para resolver, convirtiendo un posible punto de fallo en un paso seguro y sin inconvenientes.

5. La revolución de las claves de acceso en los pagos: Arquitecturas principales de integración#

La llegada de las claves de acceso, basadas en el estándar resistente al phishing WebAuthn de la alianza FIDO, está catalizando un rediseño fundamental de la autenticación de pagos. Esto está sucediendo junto con una poderosa tendencia de la industria: los comerciantes ya están adoptando claves de acceso para la autenticación estándar de usuarios (registro e inicio de sesión) para combatir el fraude por apropiación de cuentas y mejorar la experiencia del usuario. Esta inversión existente crea una base natural sobre la cual se pueden construir modelos de claves de acceso específicos de pago.

5.1 El modelo centrado en el emisor#

En este modelo, el banco del usuario (el emisor) es la Parte usuaria (RP) final de la autenticación. La clave de acceso está vinculada al dominio del banco (por ejemplo, bank.com), y el usuario se autentica directamente con su banco para aprobar una transacción.

Este modelo tiene dos versiones principales, dependiendo de si el pago se realiza mediante las redes de tarjetas o a través de transferencias directas de cuenta a cuenta.

5.1.1 El enfoque basado en tarjetas: Confirmación de pago segura (SPC)#

En este modelo, el banco emisor mantiene el control de la autenticación, y la clave de acceso está criptográficamente vinculada al dominio del emisor (por ejemplo, bank.com). Si bien es posible un simple redireccionamiento al sitio web del banco, crea una mala experiencia de usuario.

¿Quién posee la clave de acceso? En el modelo centrado en el emisor, el Emisor es la Parte usuaria (RP).

Volante de adopción y efectos de red: La reutilización de la clave de acceso de un emisor crea un volante poderoso. Una vez que un usuario crea una clave de acceso para su banco, esa única clave de acceso puede usarse para aprobar transacciones desafiadas de manera perfecta en cualquier comerciante que utilice el protocolo 3DS. Esto mejora el valor de la tarjeta del emisor tanto para los consumidores (mejor UX) como para los comerciantes (mayor conversión).

La solución diseñada por la industria para esto es la Confirmación de pago segura (SPC), un estándar web que permite a un comerciante invocar la clave de acceso del banco directamente en la página de pago, evitando una redirección. Este proceso también utiliza vinculación dinámica para vincular la autenticación a los detalles de la transacción, lo cual es crucial para la SCA.

La consideración estratégica: La elegancia técnica de SPC radica en evitar redirecciones y permitir la vinculación dinámica directamente en la página de pago del comerciante. Sin embargo, la falta de soporte en Safari significa que hoy no puede ser una solución universal. Esto no hace que el modelo centrado en el emisor en sí sea poco práctico: los emisores pueden lograr muchos de los mismos beneficios de seguridad y UX ahora mismo mediante la implementación de claves de acceso basadas en WebAuthn en sus flujos de desafío de ACS. SPC debe verse como una eventual ruta de actualización en lugar de la única ruta hacia una estrategia centrada en el emisor.

5.1.2 El enfoque A2A / Open Banking#

Si bien los modelos anteriores se centran en el ecosistema de tarjetas, los pagos de cuenta a cuenta (A2A), impulsados por Open Banking, presentan un paradigma poderoso y distinto. Este modelo evita por completo las redes de tarjetas y su integración con claves de acceso es excepcionalmente sencilla y eficaz.

En este modelo, el usuario se autentica directamente con su propio banco para aprobar un pago. La fricción de este proceso, que a menudo implica una redirección torpe y un inicio de sesión con contraseña, ha sido una barrera importante para la adopción de A2A. Las claves de acceso resuelven este problema central directamente.

¿Quién posee la clave de acceso? El Banco es la Parte usuaria (RP). La clave de acceso es la que el usuario ya ha creado para su banca en línea diaria con mibanco.com.

Volante de adopción y efectos de red: El volante de inercia es inmenso y lo impulsan los propios bancos. A medida que los bancos alientan a sus usuarios a cambiar de contraseñas a claves de acceso para iniciar sesión en su aplicación bancaria principal o sitio web, esas claves de acceso están listas automáticamente para usarse en cualquier pago de Open Banking. El usuario no tiene que hacer nada más. Esto hace que el flujo de pago A2A sea tan simple como un escaneo biométrico, lo que aumenta drásticamente su atractivo y competitividad frente a las tarjetas.

Cómo funciona:

1. Al finalizar la compra, el usuario selecciona un proveedor de A2A (por ejemplo, Trustly, Plaid) o su propio banco.
2. Se solicita al usuario que autorice el pago con su banco.
3. El banco, como RP, desencadena un desafío de autenticación con clave de acceso.
4. El usuario se autentica con Face ID, huella dactilar o PIN.
5. El banco confirma el pago de forma segura y los fondos se transfieren directamente a la cuenta del comerciante.

Este modelo no encaja en los otros cuatro porque no involucra una red de tarjetas, 3DS o SPC. Es un flujo centrado en el banco donde el proveedor A2A actúa como la capa de orquestación entre el comerciante y el sistema de autenticación propio del banco, ahora habilitado para claves de acceso.

5.2 El modelo centrado en el comerciante: Autenticación delegada (DA)#

La Autenticación delegada representa una desviación más radical del modelo tradicional. Habilitado por la versión 2.2 de 3DS y respaldado por programas específicos de esquemas de tarjetas, DA es un marco en el que un emisor puede delegar formalmente la responsabilidad de realizar la SCA a un tercero de confianza, más comúnmente a un gran comerciante, PSP o proveedor de billetera digital.

¿Quién posee la clave de acceso? En este modelo, el Comerciante o su PSP es la Parte usuaria (RP). La clave de acceso se crea para el dominio del comerciante (por ejemplo, amazon.com) y se usa para iniciar sesión en la cuenta.

Para calificar para DA, la autenticación inicial realizada por el comerciante debe ser totalmente compatible con los requisitos de SCA. De acuerdo con las pautas de la Autoridad Bancaria Europea sobre la Autenticación Reforzada de Clientes, esto no es solo un simple inicio de sesión; debe tener la misma fuerza que una autenticación que realizaría el propio emisor. Las claves de acceso, con sus fuertes propiedades criptográficas, son una tecnología ideal para alcanzar este alto nivel. Sin embargo, sigue existiendo un punto crucial de incertidumbre regulatoria con respecto a las claves de acceso sincronizadas. Si bien las claves de acceso vinculadas a un dispositivo claramente cumplen con el elemento de "posesión" de SCA, los reguladores como la ABE aún no han emitido una opinión definitiva sobre si las claves de acceso sincronizadas, que son portables en la cuenta en la nube de un usuario, cumplen con el estricto requisito de estar vinculadas de manera única a un solo dispositivo. Esta es una consideración clave para cualquier estrategia de DA en Europa.

En este modelo, el evento de autenticación se mueve hacia arriba en el viaje del cliente. En lugar de ocurrir al final del proceso de pago como un desafío 3DS, ocurre al principio, cuando el cliente inicia sesión en su cuenta en el sitio web o la aplicación del comerciante. Si el comerciante utiliza una clave de acceso para iniciar sesión, puede transmitir evidencia de esta autenticación exitosa que cumple con SCA al emisor dentro del intercambio de datos 3DS. El emisor, habiendo preestablecido una relación de confianza con ese comerciante, puede luego utilizar esta información para otorgar una exención y eludir su propio flujo de desafío por completo. Esto puede resultar en un pago biométrico de un solo clic verdaderamente fluido para los usuarios que han iniciado sesión.

Volante de adopción y efectos de red: El volante aquí está impulsado por la relación directa que el comerciante tiene con el cliente. A medida que los comerciantes adoptan las claves de acceso para iniciar sesión y así reducir el fraude por apropiación de cuentas y mejorar la experiencia del usuario, construyen una base de usuarios habilitados para claves de acceso. Esto crea un camino natural para aprovechar estas claves de acceso para DA en pagos, desbloqueando una experiencia de pago superior. El efecto de red es más fuerte para los PSP que pueden actuar como el RP para múltiples comerciantes, lo que potencialmente permite que una sola clave de acceso se use en una red de tiendas, creando un poderoso incentivo para que otros comerciantes se unan al ecosistema de ese PSP.

Las redes de tarjetas están fomentando activamente este modelo mediante programas dedicados. El marco Guide Authentication de Visa, por ejemplo, está diseñado para ser utilizado con DA para capacitar a los comerciantes a fin de que realicen SCA en nombre del emisor. De manera similar, el programa Identity Check Express de Mastercard permite a los comerciantes autenticar al consumidor dentro del propio flujo del comerciante. Este modelo refleja la visión estratégica de los grandes comerciantes y PSP:

Sin embargo, este poder conlleva responsabilidad. Según las normativas europeas, el DA se trata como una "externalización", lo que significa que el comerciante o el PSP asume la responsabilidad de las transacciones fraudulentas y debe cumplir con estrictos requisitos de gestión de riesgos y cumplimiento.

5.3 El modelo centrado en la red: Click to Pay y Servicios de claves de acceso federadas#

Este modelo es una importante iniciativa estratégica impulsada por las redes de tarjetas (Visa, Mastercard) para poseer y estandarizar la experiencia de pago de invitados. Han creado sus propios servicios de claves de acceso basados en FIDO, como el Visa Payment Passkey Service, sobre el marco Click to Pay.

¿Quién posee la clave de acceso? En el modelo centrado en la red, la Red de tarjetas es la Parte usuaria. La clave de acceso se crea para el dominio de la red (por ejemplo, visa.com).

Volante de adopción y efectos de red: Este modelo posee el efecto de red más poderoso. Una sola clave de acceso creada para una red de tarjetas es reutilizable instantáneamente en todos los comerciantes que admiten Click to Pay, creando un valor inmenso para el consumidor e impulsando un mercado de dos lados clásico.

5.4 El modelo centrado en PSP: Autenticación basada en billetera#

Este modelo se centra en los grandes proveedores de servicios de pago (PSP) que operan sus propias billeteras orientadas al consumidor, como PayPal o Stripe (con Link). En este enfoque, el PSP es la Parte usuaria y ellos son los dueños de todo el proceso de autenticación y pago.

¿Quién posee la clave de acceso? En el modelo centrado en PSP, el PSP es la Parte usuaria (RP). La clave de acceso se crea para el dominio del PSP (por ejemplo, paypal.com) y asegura la cuenta del usuario dentro del ecosistema de ese PSP.

Volante de adopción y efectos de red: Este modelo también tiene un efecto de red extremadamente fuerte. Una clave de acceso creada para la billetera de un PSP importante es reutilizable en cada comerciante que acepta ese PSP, creando un poderoso incentivo para que los usuarios y los comerciantes se unan al ecosistema del PSP.

6. Desafíos generales con las claves de acceso en los pagos#

6.1 Comprensión de la portabilidad de la clave de acceso: El papel de la Parte usuaria#

Una pregunta común y crítica es si una clave de acceso creada para un modelo puede reutilizarse en otro. Por ejemplo, ¿puede usarse una clave de acceso que un usuario crea para su banco a fin de usarla con SPC para iniciar sesión en el sitio web de un comerciante en un flujo DA? La respuesta es no, y esto resalta el papel central de la Parte usuaria (RP).

Una clave de acceso es fundamentalmente una credencial criptográfica que vincula a un usuario con un RP específico. La clave pública se registra en los servidores del RP y la clave privada permanece en el dispositivo del usuario. La autenticación es el acto de probar la posesión de esa clave privada a ese RP específico.

• En el modelo Centrado en el emisor (SPC), el RP es el Emisor (por ejemplo, chase.com). La clave de acceso está registrada en el banco.
• En el modelo Centrado en el comerciante (DA), el RP es el Comerciante o su PSP (por ejemplo, amazon.com o stripe.com). La clave de acceso está registrada en el comerciante para el inicio de sesión.
• En el modelo Centrado en la red, el RP es la Red de tarjetas (por ejemplo, visa.com). La clave de acceso se registra con la red para Click to Pay.
• En el modelo Centrado en PSP, el RP es el Proveedor de servicios de pago (por ejemplo, paypal.com). La clave de acceso está registrada con la billetera o servicio del PSP.

Debido a que la clave de acceso está vinculada criptográficamente al dominio de la Parte usuaria, una clave de acceso registrada con chase.com no puede ser validada por amazon.com. Son identidades digitales distintas desde un punto de vista técnico. Un usuario deberá crear una clave de acceso separada para cada Parte usuaria con la que interactúe.

La "reusabilidad" y la "portabilidad" que hacen que las claves de acceso sean poderosas provienen de dos áreas:

1. Sincronización de claves de acceso: Servicios como iCloud Keychain y Google Password Manager sincronizan las claves de acceso a través de los dispositivos de un usuario. Por lo tanto, una clave de acceso creada para chase.com en un teléfono está disponible automáticamente en la computadora portátil del usuario, pero sigue siendo solo para chase.com.
2. Federación: Este es el modelo utilizado por Click to Pay. Un comerciante puede confiar en la Red (por ejemplo, Visa) para autenticar al usuario. El usuario se autentica ante Visa (la Parte usuaria), y luego Visa le indica al comerciante que el usuario es legítimo. Esto es análogo a "Iniciar sesión con Google", donde un sitio web confía en Google para manejar el inicio de sesión. El comerciante no reutiliza la clave de acceso; el que se reutiliza es el evento de autenticación.

Por lo tanto, los cuatro modelos no son solo rutas técnicas diferentes, sino estrategias de identidad que compiten. Cada uno propone a una entidad diferente como la Parte usuaria principal para la autenticación de pagos, y los usuarios probablemente terminarán con claves de acceso para sus emisores, comerciantes favoritos, billeteras PSP y redes de tarjetas.

6.2 Desafíos operativos: El problema de la recuperación#

Si bien estos modelos ofrecen nuevas y potentes formas de autenticarse, también introducen un desafío operativo crítico que a menudo se pasa por alto: restauración de la clave de acceso y recuperación de la cuenta. Las claves de acceso sincronizadas, administradas por plataformas como iCloud Keychain y Google Password Manager, mitigan el problema de la pérdida de un solo dispositivo. Sin embargo, no resuelven el problema de que un usuario pierda todos sus dispositivos o cambie entre ecosistemas (por ejemplo, de iOS a Android). En estos escenarios, un proceso seguro y fácil de usar para que el usuario demuestre su identidad a través de otros medios y registre una clave de acceso en un nuevo dispositivo es un requisito previo no negociable para cualquier implementación a gran escala. Como señala la propia documentación de Mastercard, un usuario que cambia de dispositivo deberá crear una nueva clave de acceso, un proceso que puede requerir la validación de identidad por parte de su banco. Esto resalta que una solución completa de claves de acceso debe abarcar no solo la ceremonia de autenticación en sí, sino también todo el ciclo de vida de la administración de claves de acceso, incluidos los sólidos flujos de recuperación.

7. Puntos estratégicos de integración y análisis comparativo#

Los cuatro modelos arquitectónicos (Centrado en el emisor (SPC), Centrado en el comerciante (DA), Centrado en la red (Click to Pay) y Centrado en PSP) se traducen en distintas oportunidades de integración para diferentes actores en el ecosistema de pagos. Cada enfoque presenta un conjunto único de ventajas y desventajas entre la experiencia del usuario, la complejidad de implementación, la responsabilidad y el control. Esta sección proporciona un análisis pragmático de estos puntos de integración para guiar la toma de decisiones estratégicas.

7.1 Integración en el Emisor / Proveedor de ACS#

• Oportunidad: La principal oportunidad para los emisores y los proveedores del Servidor de Control de Acceso (ACS) que los atienden es mejorar el "flujo de desafío" de 3DS al reemplazar métodos obsoletos como OTPs y contraseñas con la Confirmación de Pago Segura (SPC).
• Prospecto objetivo: Esta integración está dirigida a proveedores de ACS (por ejemplo, Netcetera, CA Technologies/Arcot), proveedores de tecnología que sirven al espacio de los emisores y grandes bancos emisores que operan sus propias plataformas ACS internas.
• Función del proveedor: Una plataforma de inteligencia de claves de acceso como Corbado ofrecería un servidor FIDO integrable o un módulo de software que sea totalmente compatible con la especificación SPC. Este módulo se integraría en la plataforma principal de ACS, permitiendo que el ACS desencadene un flujo SPC cuando su motor de riesgo determine que un desafío es necesario.
• Ventajas:
  • Alta seguridad y cumplimiento normativo: El uso de vinculación dinámica criptográfica de SPC proporciona una prueba sólida y auditable del consentimiento del usuario para los detalles específicos de la transacción, abordando directamente los requisitos clave de regulaciones como PSD2 SCA.
  • Mejor experiencia de usuario frente a las OTP: Autenticarse con un escaneo biométrico rápido es significativamente más rápido y menos propenso a errores que ingresar manualmente un código recibido a través de SMS, lo que puede conducir a un aumento medible en las tasas de conversión del desafío.
  • Modelo claro de responsabilidad: Este modelo encaja perfectamente dentro del marco 3DS existente. Cuando una transacción se autentica con éxito a través de SPC, la responsabilidad por devoluciones de cargo fraudulentas pasa del comerciante al emisor, al igual que con otros métodos de desafío 3DS.
  • Implementable hoy sin SPC: Incluso en ausencia del soporte completo del navegador SPC, los emisores pueden integrar WebAuthn en sus flujos de desafío de ACS para reemplazar las OTP con claves de acceso. Esto proporciona mejoras inmediatas en la seguridad y la experiencia del usuario mientras se preparan para la futura adopción de SPC.
• Desventajas:
  • Sigue siendo un flujo de "desafío": Si bien SPC mejora la experiencia del desafío, no lo elimina. El usuario todavía se ve interrumpido en la caja con un paso de autenticación. Esta experiencia, aunque mejor, es inherentemente más propensa a fricciones que un flujo "sin fricción" completamente pasivo o un flujo exitoso de Autenticación delegada.
  • Depende de la lógica de riesgo del emisor: La adopción y la frecuencia de uso de SPC dependen totalmente del ACS del emisor y de su motor RBA. El ACS aún decide si desencadena un desafío y cuándo.
  • Retraso en la preparación del ecosistema: El uso generalizado requiere que el ecosistema adopte EMV 3DS versión 2.3 o superior, y que los navegadores de los usuarios admitan la API web SPC. Como se analizó, la falta de soporte universal, especialmente en plataformas móviles como iOS, es un inhibidor importante.

7.2 Integración en el Comerciante / Proveedor de servicios de pago (PSP)#

• Oportunidad: Implementar la Autenticación delegada (DA), lo que permite que el comerciante o su PSP realice la SCA en el punto de inicio de sesión del cliente, creando así una experiencia de pago completamente libre de inconvenientes para los usuarios autenticados recurrentes.
• Prospecto objetivo: Esto es más relevante para los grandes comerciantes de comercio electrónico, los PSP de pila completa (como Stripe o Adyen) y los proveedores de billeteras digitales que tienen una relación directa con el consumidor y ya han invertido en un sistema seguro de cuentas e inicio de sesión.
• Función del proveedor: Un proveedor de claves de acceso proporcionaría la solución central de autenticación de claves de acceso para el flujo de inicio de sesión del comerciante. De manera crucial, la solución también debe proporcionar los resultados de datos necesarios y las pruebas criptográficas que se pueden empaquetar en la solicitud de autenticación 3DS para señalarle al emisor que ya se ha producido un SCA compatible.
• Ventajas:
  • Experiencia de usuario óptima: Este modelo ofrece el flujo de pago con menor fricción posible para usuarios autenticados. Mueve el paso de autenticación a una parte natural y familiar del recorrido del usuario (inicio de sesión de la cuenta) y puede eliminar el desafío 3DS por completo, permitiendo un pago verdadero de un clic.
  • Mayor potencial de conversión: Al eliminar el punto final de fricción en el momento del pago, el DA tiene el potencial de ofrecer el aumento más significativo en las tasas de conversión de pagos. Un piloto de Stripe con titulares de tarjetas Wise reportó un aumento de conversión del 7% para las transacciones que usan su solución DA.
  • Fortalece la relación entre comerciante y cliente: Toda la experiencia de autenticación y pago permanece dentro del entorno de marca del comerciante, reforzando su relación directa con el cliente.
• Desventajas:
  • Manejo comercial y responsabilidades complejos: El DA no es un simple cambio técnico. Requiere acuerdos explícitos, a menudo bilaterales, entre emisores y los comerciantes/PSP en los que eligen confiar. Además, la parte que realiza la autenticación delegada asume la responsabilidad del fraude y el acuerdo está sujeto a una estricta supervisión reglamentaria como una forma de "tercerización", lo que conlleva una importante carga de cumplimiento.
  • Depende de la confianza del emisor: Todo el modelo depende de la voluntad de un emisor para confiar en el proceso de autenticación del comerciante. Esta confianza probablemente solo se extenderá a los socios más grandes, más seguros y estratégicos al principio.
  • Adopción fragmentada: A diferencia de un estándar universal, el DA se adoptará por cada emisor, por cada comerciante, lo que conducirá a un panorama fragmentado donde la experiencia no es consistente para todos los titulares de tarjetas en todos los comerciantes.

7.3 Integración en la Red de tarjetas (a través de Click to Pay)#

• Oportunidad: Habilitar la experiencia de clave de acceso con la marca de la red para el volumen masivo de transacciones de pago de invitados.
• Prospecto objetivo: Pasarelas de pago y PSP que quieran ofrecer una solución moderna y estandarizada de pago de invitados a su base de clientes comerciales.
• Función del proveedor: El proveedor puede actuar como un socio de integración crucial. Dado que Visa y Mastercard han desarrollado servicios separados y propietarios de claves de acceso, un proveedor de claves de acceso puede ofrecer un SDK unificado o una "capa de orquestación" que abstraiga las complejidades de integrarse con las distintas API de cada red, proporcionando un punto de integración único y simplificado para el PSP.
• Ventajas:
  • Solución de pago de invitado estandarizada: Click to Pay con claves de acceso resuelve un gran problema en la industria: el pago de invitados con alta fricción y alto abandono. Ofrece una experiencia consistente, reconocible y confiable.
• Adopción impulsada por la red: Visa y Mastercard están poniendo todo su peso detrás de esta iniciativa, lo que impulsará una rápida adopción por parte de emisores, comerciantes y consumidores. Los PSP enfrentarán la presión competitiva de apoyarla.
• Carga de responsabilidad y seguridad simplificada: La red de tarjetas, actuando como Parte usuaria federada, asume la responsabilidad principal de construir y asegurar la infraestructura de autenticación FIDO, simplificando la postura de seguridad y responsabilidad del comerciante.
• Desventajas:
  • Pérdida de control y de marca: El principal inconveniente es que el comerciante y su PSP ceden el control sobre la experiencia del usuario al finalizar la compra a la red de tarjetas. El proceso de pago se convierte en un "pago con Visa" o un "pago con Mastercard", presentando su marca y su interfaz de usuario.
  • Potencial de desintermediación: Al convertirse en el proveedor de identidad central para el comercio electrónico, las redes podrían debilitar la relación directa de datos y marcas entre el comerciante y el cliente con el tiempo.
  • Implementación de "Caja Negra": El funcionamiento interno del servidor FIDO de la red, los motores de riesgo y la lógica de autenticación son opacos para el comerciante y el PSP. Se están integrando con un servicio cuyas reglas y experiencia de usuario no controlan.

8. El panorama competitivo y las perspectivas a futuro#

La transición a la autenticación de pagos basada en claves de acceso no es un ejercicio teórico; está siendo impulsada activamente por los actores más importantes de la industria. Sus estrategias, programas piloto y declaraciones públicas brindan una visión clara de la dinámica competitiva y la probable trayectoria de adopción.

8.1 Estudios de casos: Los pioneros de las claves de acceso de pago#

El siguiente volante muestra cómo la adopción de claves de acceso crea valor compuesto en todo el ecosistema de pago, con métricas reales de los primeros usuarios.

• PayPal: Como miembro fundador de FIDO Alliance y proveedor de pagos nativo digital, PayPal ha sido uno de los primeros en adoptar las claves de acceso con mayor agresividad. Comenzaron un lanzamiento global por fases a finales de 2022, empezando en los EE. UU. y expandiéndose a Europa y otras regiones. Su implementación es un estudio de caso sobre las mejores prácticas, aprovechando funciones como Conditional UI para crear una experiencia de inicio de sesión de un toque que solicita automáticamente una clave de acceso cuando el usuario interactúa con el campo de inicio de sesión. PayPal ha reportado un éxito inicial significativo, que incluye mayores tasas de éxito en el inicio de sesión y una reducción sustancial en el fraude por apropiación de cuentas (ATO). Su estrategia también incluye abogar activamente por la evolución regulatoria en Europa, impulsando un enfoque basado en los resultados para la SCA que reconozca la seguridad inherente de las claves de acceso sincronizadas.

• Visa: La estrategia de Visa se centra en su Visa Payment Passkey Service, una plataforma integral basada en su propia infraestructura de servidor FIDO. Este servicio está diseñado como un modelo federado, donde Visa maneja la complejidad de la autenticación en nombre de sus socios emisores. El principal vehículo para este servicio es Click to Pay, posicionando a Visa como el propietario de la experiencia de pago de invitados. El mensaje de Visa va más allá de los simples pagos, enmarcando su servicio de clave de acceso como un elemento fundamental de una solución de identidad digital más amplia que puede usarse en todo el ecosistema comercial. Están probando activamente la tecnología, incluida la SPC, y reportan que la autenticación biométrica puede reducir las tasas de fraude en un 50% en comparación con los SMS OTP.

• Mastercard: Mastercard ha reflejado el enfoque estratégico de Visa en un servicio a nivel de red, lanzando su propio Payment Passkey Service construido sobre su Token Authentication Service (TAS) existente. Su estrategia de comercialización se ha caracterizado por una serie de programas piloto globales de alto perfil. En agosto de 2024, anunciaron un piloto importante en la India, asociándose con los agregadores de pago más grandes del país (Juspay, Razorpay, PayU), un comerciante importante en línea (bigbasket) y un banco líder (Axis Bank). A esto le siguieron lanzamientos en otros mercados clave, incluyendo América Latina con los socios Sympla y Yuno y los Emiratos Árabes Unidos con Tap Payments. Este enfoque revela una estrategia clara: asociarse con agregadores de ecosistemas (PSP, pasarelas) para lograr escala rápidamente. Mastercard ha asumido el compromiso público audaz de eliminar gradualmente la entrada manual de tarjetas en Europa para 2030, pasando por completo a transacciones autenticadas por claves de acceso tokenizadas.

Las estrategias de estos pioneros revelan una dinámica crítica. La experiencia de pago de invitado, históricamente un área fragmentada y de alta fricción, se ha convertido en la cabeza de playa estratégica para las redes de tarjetas. Al crear una solución superior, habilitada por claves de acceso, para usuarios invitados a través de Click to Pay, las redes pueden establecer una relación de identidad directa con los consumidores. Una vez que un consumidor crea una clave de acceso de nivel de red durante un pago de invitado, esa identidad se vuelve portátil a cualquier otro comerciante que admita Click to Pay. Esto permite que las redes efectivamente "adquieran" identidades de usuarios y ofrezcan una experiencia perfecta en toda la web, un movimiento poderoso para capturar el papel central del proveedor de identidad para el comercio digital.

8.2 Trayectoria futura e implicaciones más amplias#

Los esfuerzos concertados de estos actores importantes, combinados con las tendencias tecnológicas y regulatorias más amplias, apuntan a un cambio acelerado e inevitable en la autenticación de pagos.

• La desaparición inevitable de las OTP: El impulso de toda la industria para las claves de acceso señala el principio del fin para las contraseñas de un solo uso basadas en SMS como método de autenticación principal. Las OTP se consideran cada vez más como un pasivo debido tanto a su experiencia de usuario de alta fricción como a su creciente vulnerabilidad a ataques como el intercambio de SIM y las sofisticadas campañas de phishing. A medida que las claves de acceso se vuelven más generalizadas, la dependencia de las OTP quedará relegada a un mecanismo alternativo o de recuperación, en lugar de un método de desafío principal.

• Vientos a favor de la regulación: Si bien las regulaciones actuales como la PSD2 crearon el mandato inicial para la SCA, sus definiciones rígidas y basadas en categorías han creado cierta incertidumbre sobre las nuevas tecnologías como las claves de acceso sincronizadas. Se espera que las próximas actualizaciones regulatorias, como la PSD3 en Europa, adopten un enfoque más neutral desde el punto de vista tecnológico y centrado en los resultados. Es probable que esto favorezca los métodos de autenticación que son demostrablemente resistentes al phishing, lo que proporciona una vía reguladora más clara para la adopción generalizada de claves de acceso como método SCA compatible.

• El aumento de la identidad de pago federada: Los movimientos estratégicos de Visa y Mastercard tienen que ver con algo más que simplemente asegurar los pagos; se trata de establecer un nuevo paradigma para la identidad digital. Al crear servicios federados de claves de acceso, se están posicionando como los proveedores de identidad confiables y centrales para todo el ecosistema de comercio digital. Esto puede verse como una respuesta estratégica directa a las poderosas plataformas de identidad controladas por las grandes tecnológicas (por ejemplo, Apple ID, Google Account). El futuro de los pagos en línea está indisolublemente ligado a esta batalla más amplia sobre quién será el propietario y administrará la identidad del consumidor en la web.

8.3 Aplicaciones emergentes para claves de acceso#

Si bien la transacción de pago principal es el enfoque principal, la tecnología de las claves de acceso está lista para eliminar la fricción y mejorar la seguridad en una amplia gama de servicios financieros adyacentes. Muchos procesos que aún dependen de contraseñas u OTPs torpes son candidatos ideales para una actualización a claves de acceso.

8.3.1 Más allá del pago: Nuevas fronteras para las claves de acceso#

• Aprovisionamiento de billeteras digitales: El proceso de agregar una tarjeta de crédito o débito a una billetera digital como Apple Pay o Google Pay a menudo requiere un paso de verificación, como una OTP por SMS enviada por el emisor. Este es un punto de fricción que puede reemplazarse por un flujo de claves de acceso.
• Open Banking y vinculación de cuentas: La base del open banking es permitir que las aplicaciones de terceros (como las aplicaciones de presupuestos u otros servicios fintech) accedan a los datos de la cuenta bancaria de un usuario. Esto requiere que el usuario se autentique con su banco, un proceso que suele ser engorroso. Las claves de acceso ofrecen una forma mucho más sencilla y segura de otorgar este consentimiento, reemplazando las redirecciones incómodas y el ingreso manual de contraseñas con una simple autenticación biométrica.
• Aseguramiento de tokens de tarjeta archivada (CoF): Más allá de simplemente asegurar el inicio de sesión para una cuenta con una tarjeta guardada, las claves de acceso se pueden utilizar para asegurar el acto inicial de guardar la tarjeta. Un desafío en el momento en que un usuario agrega su tarjeta proporciona evidencia sólida de que el titular legítimo de la tarjeta está presente, lo que reduce el fraude proveniente de números de tarjetas de crédito robados que se utilizan para crear perfiles CoF para un uso indebido posterior.
• Compra ahora, paga después (BNPL) y préstamos instantáneos: Los servicios "Compre ahora, pague después" y otras formas de crédito instantáneo implican tanto una incorporación inicial como evaluaciones de riesgo por transacción. Pioneros como Klarna ya utilizan claves de acceso para reemplazar contraseñas para el inicio de sesión. También se pueden utilizar como un método de autenticación escalonado para compras de alto valor o cuando un usuario solicita una nueva línea de crédito, proporcionando una señal de la intención del usuario más fuerte y de menor fricción que los métodos tradicionales.

8.3.2 Revolucionando las criptomonedas: Claves de acceso para billeteras de Stablecoins#

El aumento de las stablecoins (como USDC o EURC) presenta un nuevo medio de pago basado en la cadena de bloques. Sin embargo, una barrera importante para la adopción general ha sido la mala experiencia del usuario y la seguridad de las billeteras de criptomonedas. Tradicionalmente, estas billeteras están protegidas por una "frase semilla" (una lista de 12 a 24 palabras) que el usuario debe escribir y proteger. Esto es increíblemente poco amigable para el usuario y hace que la recuperación de la cuenta sea una pesadilla.

Las claves de acceso están preparadas para transformar completamente esta experiencia. La industria se está moviendo hacia un modelo donde la clave privada que controla los activos en cadena está asegurada por la clave de acceso del dispositivo.

• Eliminación de las frases semilla: En lugar de escribir una frase semilla, la billetera de un usuario se crea y protege mediante la seguridad incorporada en su dispositivo. Para autorizar una transacción, como enviar stablecoins a un comerciante, el usuario simplemente se autentica con Face ID o un escaneo de huellas dactilares. Esto hace que el pago con criptomonedas se sienta tan perfecto y seguro como el uso de Apple Pay.
• Habilitación de la recuperación de la cuenta: Al utilizar arquitecturas de billetera como "cuentas inteligentes" (o "abstracción de cuentas"), se pueden incorporar mecanismos de recuperación. Un usuario podría designar a amigos, familiares o instituciones de confianza como "tutores" que puedan ayudarle a recuperar su cuenta si pierde todos sus dispositivos, una gran mejora con respecto a la naturaleza del todo o nada de las frases semilla.

Esta evolución podría reducir significativamente la fricción y el riesgo asociados con el uso de stablecoins para pagos, lo que podría convertirlos en una alternativa más viable y convencional a los canales de pago tradicionales.

9. Candidatos principales para una solución de adopción de claves de acceso#

Este análisis destaca un factor de éxito crítico para cualquier estrategia basada en claves de acceso: la adopción del usuario. Una solución que puede aumentar de manera demostrable la creación y el uso de claves de acceso desde una línea de base de ~10% a más del 50% aborda el desafío principal que enfrenta la implementación de estos nuevos modelos de autenticación. Según el ecosistema y los objetivos estratégicos de sus actores, las siguientes organizaciones y sectores son los principales candidatos para una solución de este tipo.

9.1 Bancos emisores y Proveedores de ACS (para mejorar la SPC)#

• Problema central: La alta fricción en el flujo de desafío 3DS conduce al abandono del carrito y a la pérdida de ingresos para los comerciantes, lo que hace que la tarjeta del emisor sea menos competitiva.
• Cómo ayuda la adopción: Una mayor adopción de claves de acceso se traduce directamente en desafíos exitosos y de baja fricción. Esto mejora las tasas de conversión, aumenta la seguridad y hace que las credenciales de pago del emisor sean más valiosas tanto para los comerciantes como para los consumidores.
• Candidatos principales: Principales bancos emisores (Bank of America, Chase, Barclays), y los proveedores de ACS que suministran su tecnología 3DS (Netcetera, CA Technologies).

9.2 Grandes comerciantes y PSP (para Autenticación delegada)#

• Problema central: El deseo de ser el dueño del viaje del cliente y eliminar la fricción del pago a menudo se ve bloqueado por la necesidad de un desafío 3DS.
• Cómo ayuda la adopción: Todo el modelo de Autenticación delegada (DA) se basa en que el comerciante pueda autenticar fuertemente al usuario al iniciar sesión. La alta adopción de las claves de acceso no es solo una mejora, sino un prerrequisito para una estrategia DA exitosa. Habilitar la DA para la mayoría de los usuarios es un poderoso diferenciador competitivo.
• Candidatos principales: Líderes mundiales del comercio electrónico (Amazon, Walmart), servicios de suscripción digital (Netflix, Spotify) y los PSP de pila completa que los atienden (Stripe, Adyen, Checkout.com).

9.3 Redes de tarjetas (Visa, Mastercard, American Express)#

• Problema central: El éxito de los servicios de identidad estratégicos a nivel de red, como Click to Pay, depende directamente del registro generalizado de los consumidores.
• Cómo ayuda la adopción: Una experiencia de creación de claves de acceso fácil y atractiva es esencial para el crecimiento de estas redes de identidad federada. Las redes podrían incorporar una solución centrada en la adopción en los SDK que proporcionan a los comerciantes y PSP, acelerando el despliegue y la adopción de sus servicios de claves de acceso propietarios.
• Candidatos principales: Visa (por su Visa Payment Passkey Service) y Mastercard (por su Token Authentication Service).

9.4 PSP con Billeteras de consumo (PayPal, Stripe Link, Klarna)#

• Problema central: El valor de la billetera (por ejemplo, PayPal, Stripe Link, Klarna) está directamente relacionado con el número de usuarios activos y comprometidos. La fricción en el inicio de sesión o al finalizar la compra debilita el ecosistema.
• Cómo ayuda la adopción: Impulsar la adopción masiva de claves de acceso para el propio dominio de la billetera (paypal.com, etc.) es un objetivo estratégico central. Reduce el fraude, mejora la experiencia del usuario y fortalece el efecto de red, haciendo que la billetera sea más atractiva tanto para los consumidores como para los comerciantes.
• Candidatos principales: PSP globales con ofertas de billetera (PayPal, Stripe Link, Klarna), y actores regionales importantes (Mercado Pago, Block).

9.5 Redes de pagos e identidad nacionales#

• Problema central: Los esquemas de pago nacionales se enfrentan a la presión de modernizar su infraestructura y proporcionar soluciones de identidad digital para seguir siendo competitivos frente a las empresas de tecnología globales.
• Cómo ayuda la adopción: Estas redes deben garantizar que sus nuevos servicios de pago digital y de identidad se utilicen de forma generalizada. Para un actor como Australian Payments Plus (AP+), impulsar la adopción de servicios como PayTo (para pagos en tiempo real) y ConnectID (para identidad digital) es un objetivo estratégico fundamental. Una solución que impulsa el registro de claves de acceso es un facilitador directo de esta estrategia.
• Candidatos principales: Australian Payments Plus (AP+) y otros organismos nacionales de infraestructura de pagos.

10. El papel de las billeteras de las grandes tecnológicas (Apple, Google, Amazon, Meta)#

Las grandes empresas tecnológicas operan billeteras digitales sofisticadas que juegan un papel único y poderoso en el ecosistema de pagos. Se ubican en la intersección del dispositivo del usuario, su identidad de plataforma y los canales de pago tradicionales, lo que les brinda una posición y estrategia distintas con respecto a la adopción de claves de acceso.

10.1 Apple Pay y Google Pay: La capa de autenticación de la plataforma#

Apple Pay y Google Pay se entienden mejor como una capa de tecnología y autenticación que se encuentra por encima de la infraestructura de tarjetas de pago existente. No emiten tarjetas ni procesan transacciones ellos mismos, sino que almacenan y transmiten de forma segura versiones tokenizadas de las tarjetas de pago existentes de un usuario.

• Posición en el ecosistema: Actúan como un "contenedor" seguro para las tarjetas de un usuario. Cuando un usuario paga en línea, en lugar de ingresar los detalles de su tarjeta, selecciona Apple Pay o Google Pay. Luego, la billetera pasa un token seguro de un solo uso a la pasarela de pago del comerciante. La transacción fluye a través del adquirente, la red y el emisor como de costumbre.
• Cómo aprovechan las claves de acceso: Autentican al usuario con un escaneo facial o de huellas dactilares hacia la billetera, autorizándola para liberar el token de pago. Este es un evento de autenticación poderoso y de baja fricción, pero es distinto de la autenticación 3DS/SCA del cual es responsable el emisor de la tarjeta. Técnicamente, un emisor aún puede desencadenar un desafío 3DS en una transacción iniciada a través de Apple Pay, aunque la sólida autenticación a nivel de dispositivo hace que esto sea menos probable.
• Oportunidades y cómo se benefician de la adopción:
  • Optimización del aprovisionamiento de la billetera: El proceso de agregar una tarjeta a una billetera a menudo requiere una OTP por parte del emisor. Este es un punto de fricción clave. Apple y Google podrían trabajar con los emisores para reemplazar esto con un flujo de claves de acceso en la aplicación, usando una clave de acceso para verificar al usuario de inmediato. Una solución de adopción para sus socios emisores haría que sus billeteras fueran más fáciles de cargar y usar.
  • Convertirse en una autoridad delegada: Su objetivo estratégico final es aprovechar su potente autenticación de plataforma para convertirse en el autenticador definitivo y confiable para los pagos. Si los emisores reconocen formalmente que la autenticación de Apple Pay o Google Pay cumple con los requisitos de SCA, podrían convertirse en Autoridades delegadas, eliminando por completo el desafío 3DS. La alta adopción de sus propias claves de acceso de plataforma es fundamental para hacer de esta una propuesta convincente para los emisores.

10.2 Amazon Pay y Meta Pay: El modelo de billetera de tarjeta archivada (CoF)#

Amazon Pay y Meta Pay operan más como un comerciante tradicional con una billetera de tarjeta archivada (CoF) muy grande que se puede usar en sitios de terceros y dentro de sus propios ecosistemas (por ejemplo, para el comercio social en Instagram).

• Posición en el ecosistema: Son un ejemplo clásico del Modelo centrado en el comerciante. Los usuarios almacenan sus tarjetas de pago directamente en su cuenta de Amazon o Meta. Cuando usan Amazon Pay o Meta Pay para pagar, se están autenticando a su cuenta principal, y esa plataforma procesa el pago en su nombre.
• Cómo aprovechan las claves de acceso: Su uso principal de las claves de acceso es asegurar el inicio de sesión de la cuenta principal del usuario (por ejemplo, la clave de acceso para Amazon.com). Al migrar a sus vastas bases de usuarios del uso de contraseñas al uso de claves de acceso para iniciar sesión en la cuenta, reducen drásticamente el riesgo de fraude de apropiación de cuentas y protegen las valiosas credenciales de pago almacenadas.
• Oportunidades y cómo se benefician de la adopción: Su beneficio es directo e inmediato. Una solución que impulse la adopción de claves de acceso para sus cuentas de usuario principales:
  1. Reduce el fraude: Disminuye masivamente la superficie de ataque para la apropiación de cuentas, una fuente importante de pérdida financiera e insatisfacción del cliente.
  2. Reduce la fricción: Crea una experiencia segura y sin problemas al iniciar sesión y finalizar la compra, lo cual se ha demostrado que aumenta las tasas de conversión. Para estos participantes, una solución que aumenta la adopción de claves de acceso es una inversión directa en la seguridad y el rendimiento de su principal negocio comercial. Por lo tanto, son los principales candidatos para una solución de este tipo.

11. Cómo Corbado puede ayudar#

Cada modelo en este informe se basa en el mismo requisito previo. El que quiera ser la Parte usuaria tiene que entregar claves de acceso a los usuarios reales e impulsar la adopción lo suficientemente alta como para que la SPC, la Autenticación delegada o Click to Pay realmente cambien el proceso de pago. La sección 9 le pone un número a eso, moviendo el uso de claves de acceso de alrededor del 10% a más del 50%. Corbado Connect es la capa de integración para ese trabajo. Agrega inicio de sesión con clave de acceso, inscripción y administración sobre una pila de autenticación existente, con controles de implementación gradual y análisis de adopción para que cada participante pueda impulsar el consumo para su propio dominio.

See Login Funnel in Corbado Observe →

11.1 Emisores y proveedores de ACS#

El objetivo es reemplazar los OTP de alta fricción en el desafío 3DS con una clave de acceso, mejorando la conversión y cumpliendo con las directivas SCA de PSD2/PSD3. Corbado Connect suministra el inicio de sesión y la inscripción con claves de acceso que un emisor puede ejecutar dentro de su flujo de desafío del Servidor de Control de Acceso, por lo que los bancos y sus proveedores de ACS ofrecen un desafío biométrico en lugar de un código SMS. Debido a que el módulo se inserta en un ACS existente, una integración llega a cada banco y comerciante en esa plataforma, y los análisis de Corbado Observe muestran qué parte de la base de tarjetahabientes ya se puede desafiar con una clave de acceso en lugar de una OTP.

11.2 Comerciantes y PSP (Autenticación delegada)#

La DA depende de que el comerciante autentique fuertemente al usuario al iniciar sesión para que el emisor pueda omitir su propio desafío. Para un comerciante o PSP, eso significa ser dueño de todo el proceso de pago y eliminar la redirección 3DS para los usuarios que han iniciado sesión. Corbado Connect incluye los flujos de administración, adición e inicio de sesión con clave de acceso de nivel SCA que hacen que esto sea posible, superponiéndose al sistema de cuentas que el comerciante ya ejecuta. Las herramientas de activación y los análisis de adopción luego logran que suficientes usuarios con sesión iniciada adquieran claves de acceso para que la DA cambie los números en la caja en lugar de cubrir una pequeña porción del tráfico.

11.3 Pago de invitados en red#

Las plataformas quieren ofrecer funciones requeridas por la red, como Click to Pay, al tiempo que mantienen su propia opción de claves de acceso en juego. Corbado Connect agrega el inicio de sesión y administración con claves de acceso junto a esas rutas de pago de invitados, con controles de implementación gradual para que un PSP o pasarela pueda activar claves de acceso por comerciante. Eso permite que una pasarela ejecute un proceso de pago con clave de acceso de marca en toda su base de comerciantes sin reconstruir el trabajo de WebAuthn para cada red o cada marca.

11.4 Ecosistemas de PSP y billeteras#

El valor de una billetera rastrea su número de usuarios activos, por lo que la fricción al iniciar sesión debilita todo el ecosistema. Corbado Connect permite que un PSP o proveedor de billetera se convierta en la Parte usuaria para su propio dominio y reemplace la contraseña en el inicio de sesión de la billetera. Esa es la misma posición que ocupan las billeteras en este informe, y protege a la cuenta contra la apropiación mientras convierte la autorización de pago en un paso biométrico de un clic que es portátil a través de la red de comerciantes del proveedor. La administración de las claves de acceso y los análisis de implementación mantienen en aumento la cobertura de claves de acceso de la billetera a medida que ingresan nuevos usuarios y dispositivos.

12. Conclusión#

La industria de pagos está en el amanecer de una nueva era de autenticación. El compromiso de larga data entre la seguridad y la comodidad finalmente se está resolviendo gracias a la maduración y adopción de la tecnología de claves de acceso. El análisis presentado en este informe demuestra que este no es un cambio monolítico, sino una transición compleja con múltiples visiones encontradas sobre el futuro. Los emisores buscan mejorar el marco 3DS existente con la SPC; los grandes comerciantes y los PSP apuntan a tomar el control de la experiencia a través de la Autenticación delegada o mediante la creación de sus propios ecosistemas de billeteras; y las redes de tarjetas están creando una nueva capa de identidad federada con Click to Pay. Cada modelo compite por convertirse en el nuevo estándar para la confianza y la conveniencia del usuario.

Agradecemos a Jeroen van der Hoeven de Innopay y a Jason Rosenbaum de Australian Payments Plus por sus comentarios sobre este artículo.

Acerca de Corbado

Corbado es la Passkey Intelligence Platform para equipos de CIAM que gestionan autenticación de consumidores a gran escala. Te ayudamos a ver lo que los logs de tu IDP y las herramientas de analytics genéricas no muestran: qué dispositivos, versiones de SO, navegadores y gestores de credenciales soportan passkeys, por qué los registros no se convierten en inicios de sesión, dónde falla el flujo de WebAuthn y cuándo una actualización de SO o navegador rompe el login en silencio, todo sin reemplazar Okta, Auth0, Ping, Cognito o tu IDP propio. Dos productos: Corbado Observe aporta observabilidad para passkeys y cualquier otro método de login. Corbado Connect añade passkeys gestionados con analytics integrado (junto a tu IDP). VicRoads ejecuta passkeys para más de 5M de usuarios con Corbado (+80 % de activación de passkey). Habla con un experto en Passkeys →

Preguntas frecuentes#

¿Cuál es la diferencia entre la Confirmación de pago segura y la Autenticación delegada en los flujos de claves de acceso de pago?#

La Confirmación de pago segura mantiene al emisor como la Parte usuaria, permitiendo a un comerciante invocar la clave de acceso del banco directamente en la página de pago para satisfacer un desafío 3DS sin una redirección. La Autenticación delegada mueve la SCA aguas arriba hasta el paso de inicio de sesión, eliminando el desafío 3DS por completo para los usuarios autenticados. La SPC actualmente carece de compatibilidad con Safari, lo que hace que WebAuthn en flujos de desafío de ACS sea el camino práctico a corto plazo para los emisores.

¿Se puede reutilizar una clave de acceso creada para un banco en el sitio web de un comerciante o para Click to Pay?#

No. Una clave de acceso está vinculada criptográficamente al dominio de su Parte usuaria, por lo que una clave de acceso registrada en un banco no puede autenticar a un usuario en el sitio de un comerciante o en una red de tarjetas. Los usuarios requieren una clave de acceso separada para cada Parte usuaria: su emisor, cuentas de comerciantes, red de tarjetas y billeteras PSP. Las claves de acceso sincronizadas resuelven la portabilidad entre dispositivos, pero no la reutilización entre diferentes RP.

¿Por qué las redes de tarjetas están creando sus propios servicios de claves de acceso en lugar de dejar la autenticación a los emisores o comerciantes?#

Visa y Mastercard están creando servicios de claves de acceso a nivel de red para poseer la experiencia de pago de invitados y posicionarse como proveedores de identidad federada para el comercio digital. Una clave de acceso creada en un comerciante de Click to Pay es reutilizable al instante en cada comerciante compatible, creando un volante de inercia de mercado de dos lados. Esto posiciona a las redes como un contrapeso estratégico frente a las plataformas de identidad controladas por Apple y Google.

¿Cumplen las claves de acceso sincronizadas con la Autenticación Reforzada de Clientes (SCA) de la PSD2 para la Autenticación delegada en Europa?#

Los reguladores, incluida la Autoridad Bancaria Europea, no han emitido una opinión definitiva sobre si las claves de acceso sincronizadas satisfacen el requisito SCA de la PSD2 de estar vinculadas de forma exclusiva a un solo dispositivo. Las claves de acceso vinculadas al dispositivo cumplen claramente con el elemento de "posesión", pero las claves de acceso sincronizadas permanecen en una zona gris regulatoria. Esta incertidumbre es un riesgo clave de cumplimiento para cualquier estrategia de Autenticación delegada dirigida a los titulares de tarjetas europeos.

¿Qué sucede con una clave de acceso de pago cuando un usuario pierde todos sus dispositivos o cambia de iOS a Android?#

Las claves de acceso sincronizadas a través de iCloud Keychain o Google Password Manager protegen contra la pérdida de un solo dispositivo, pero fallan si un usuario pierde todos los dispositivos o cambia de ecosistema. La documentación de Mastercard confirma que un usuario que cambia de dispositivo debe crear una nueva clave de acceso, lo que posiblemente requiere validación de identidad por parte de su banco. Una solución completa de claves de acceso de pago debe incluir flujos robustos de recuperación de cuenta como un prerrequisito no negociable.