Il Qualified website authentication certificate e la direttiva PSD2

Con la PSD2, ovvero la Payment Services Directive 2, l’Unione Europea si è espressa sul sempre più centrale tema dei pagamenti elettronici. L’obiettivo della direttiva è quello di creare un mercato unico integrato dei servizi di pagamento, uniformando le regole per gli istituti bancari e i nuovi PSP (Prestatori Servi di Pagamento). I soggetti a cui si rivolge la direttiva sono tutti i fornitori di servizi di pagamento, le banche e le istituzioni finanziarie, chiedendo loro di concedere ai TPP (Provider Terza Parte) un accesso sicuro ai conti dei clienti e alle informazioni sui pagamenti.
Il concetto di comunicazione sicura all’interno della direttiva prevede che le transazioni siano protette con certificati digitali emessi da Trust Service Provider qualificati, controllati ai sensi del regolamento per l’identificazione elettronica, l’autenticazione e i  servizi fiduciari (eIDAS). I player che operano tra la banca e il cliente devono quindi attrezzarsi con servizi che consentano di garantire l’identità, l’autenticità e la riservatezza dei dati che vengono scambiati.
Nel contesto normativo della direttiva PSD2 sono stati sviluppati due strumenti innovativi a protezione dell’integrità e della sicurezza delle informazioni. Il primo è il certificato qualificato per sigilli elettronici (QSealC), utilizzato per firmare digitalmente e salvaguardare dati e documenti. Il secondo, invece, è il Qualified website authentication certificate (QWAC), usato per la verifica delle parti e le loro comunicazioni sicure tramite cifratura del canale di comunicazione.

Il Qualified website authentication certificate (QWAC) è un particolare tipo di certificato SSL necessario per garantire un canale sicuro tra le terze parti e le istituzioni finanziarie nell’ambito dei servizi di pagamento. Il Qualified website authentication certificate (QWAC) come il certificato EV, è emesso attraverso procedure di convalida estese e dunque ad elevata garanzia dell’identità, sulla base del regolamento stabilito dal CA/Browser Forum.
Infatti, gli obiettivi principali di un certificato con extended validation (EV) sono:
1. Identificare la persona giuridica proprietaria del sito Web, garantendo all’utente che il sito è controllato da una specifica Azienda, verificabile nei dettagli del lucchetto.
2. Permettere la comunicazione cifrata tra utente e sito Web, attraverso lo scambio delle chiavi di crittografia con protocollo TLS, che consente un flusso sicuro di informazioni.

Per conformarsi, i PSP devono ottenere i certificati da Trust Service Provider qualificati eIDAS (CA), che verificheranno le informazioni del richiedente secondo specifiche policies stabilite. In questo contesto è fondamentale poter contare su un partner di fiducia.
Scopri i nostri servizi per la fornitura di un Qualified website authentication certificate (QWAC).