In breve
- Il contactless è un pagamento a distanza ravvicinata tra la carta (o il telefono) e il POS, tramite NFC, con un codice unico per ogni transazione.
- In Italia si paga senza PIN fino a 50 € per operazione; le regole europee impongono il PIN dopo un cumulato di 150 € o cinque operazioni senza autenticazione.
- Con Apple Pay e Google Pay l'autenticazione avviene sul telefono e il limite dei 50 € in genere non si applica.
- Il rischio di addebiti «al volo» è remoto e comunque tracciabile; il rischio reale è la carta smarrita usata sotto soglia, per cui il blocco immediato dall'app è la difesa principale.
- I controlli dall'app (disattivazione, limiti, notifiche) e le regole di legge sul rimborso rendono il contactless uno dei modi più sicuri di pagare in negozio.
Come funziona un pagamento contactless
Un pagamento contactless è una transazione in cui la carta, o il telefono che la emula, comunica con il POS via radio a distanza di pochi centimetri, senza inserimento del chip né lettura della banda magnetica. La tecnologia è la NFC (Near Field Communication), la stessa dei badge di accesso, e il protocollo è definito dai circuiti (Visa, Mastercard, Amex, Bancomat) secondo lo standard EMV, lo stesso del chip.
La sequenza dura meno di un secondo:
- il POS genera una richiesta con l'importo;
- la carta risponde con i dati necessari e un crittogramma, un codice calcolato dal chip per quella sola transazione;
- il POS invia la richiesta di autorizzazione all'emittente, che verifica il crittogramma, il plafond o il saldo e i limiti;
- l'emittente autorizza o rifiuta; il POS stampa o mostra l'esito.
Il crittogramma è ciò che rende il contactless diverso dalla banda magnetica: i dati intercettati in una transazione non servono a farne un'altra, perché il codice non si ripete. È lo stesso principio che rende Apple Pay e Google Pay più sicuri della carta fisica, con in più la tokenizzazione, cioè l'uso di un numero di carta virtuale al posto di quello stampato.
Tutti i tipi di carta possono essere contactless: la guida carta di credito o carta di debito spiega le differenze tra i prodotti, ma il gesto e i limiti in negozio sono gli stessi. Il simbolo delle quattro onde sulla carta e sul POS indica la compatibilità.
I limiti: 50 € per operazione e 150 € cumulativi
I limiti del contactless senza PIN sono due, e capirli spiega perché a volte il POS chiede il PIN anche per un caffè. Il primo è il limite per singola operazione, fissato dai circuiti Paese per Paese: in Italia è 50 €, adottato dal 2021 (prima era 25 €). Sopra quella cifra il POS chiede sempre il PIN, anche se avvicini la carta.
Il secondo è il tetto cumulativo previsto dalle norme tecniche europee sull'autenticazione forte del cliente (SCA), che esentano il contactless dall'autenticazione solo entro limiti precisi: importo singolo fino a 50 €, e cumulato delle operazioni senza autenticazione fino a 150 € oppure cinque operazioni consecutive. Superata una delle due soglie, la transazione successiva richiede il PIN, che azzera il contatore. È il motivo per cui, dopo una serie di piccoli pagamenti, un acquisto da 8 € chiede il PIN.
| Situazione | Cosa succede | Perché |
|---|---|---|
| Pagamento di 30 € con carta, contatore basso | Nessun PIN | Sotto il limite singolo e cumulativo |
| Pagamento di 70 € con carta | PIN richiesto | Sopra il limite singolo di 50 € |
| Pagamento di 8 € dopo 145 € di contactless senza PIN | PIN richiesto | Superato il cumulato di 150 € |
| Sesto pagamento consecutivo senza PIN | PIN richiesto | Superate le cinque operazioni |
| Pagamento di 120 € con Apple Pay o Google Pay | In genere nessun PIN sul POS | Autenticazione già avvenuta sul telefono |
| Stessa carta all'estero | Limite del Paese (es. 100 £ nel Regno Unito) | Il limite singolo è nazionale |
Il limite singolo cambia da Paese a Paese: nel Regno Unito è 100 £, negli Stati Uniti spesso non esiste un limite senza PIN perché il PIN sulle carte di credito è poco diffuso. Le differenze pratiche sono descritte nelle guide sulla carta per il Regno Unito e la Svizzera e sulla carta per gli Stati Uniti. Se una carta smette di funzionare in contactless all'estero, o chiede il PIN a ogni operazione, quasi sempre è il contatore cumulativo o un limite locale: la guida sulla carta bloccata all'estero elenca le altre cause.
Contactless con lo smartphone: cosa cambia
Con lo smartphone o l'orologio il contactless funziona con la stessa NFC, ma l'autenticazione avviene prima, sul dispositivo, e questo cambia i limiti. Quando avvicini il telefono al POS, Apple Pay o Google Pay ti chiedono impronta, volto o codice: è un'autenticazione forte, con due fattori (il possesso del telefono e la tua biometria), che soddisfa la SCA senza bisogno del PIN sul terminale. Per questo un pagamento da 120 € con il telefono di solito non chiede il PIN, mentre lo stesso importo con la carta fisica sì.
Il telefono aggiunge due protezioni che la carta non ha:
- Tokenizzazione. Il POS non riceve mai il numero della tua carta, ma un numero sostitutivo legato al dispositivo. Se un negoziante subisce una violazione dei dati, il tuo numero reale non c'è.
- Blocco a distanza. Un telefono smarrito si blocca o si cancella da remoto, e comunque non paga senza biometria.
I dettagli, le differenze tra i due sistemi e cosa succede se perdi il telefono sono nella guida su Apple Pay e Google Pay.
Quanto è sicuro davvero
Il contactless è, nei fatti, tra i modi più sicuri di pagare in negozio, perché elimina i due rischi storici delle carte: la lettura della banda magnetica e l'osservazione del PIN. Restano tre timori ricorrenti, che vale la pena valutare uno per uno.
Il furto «sfiorando» la carta
Un lettore NFC può leggere la carta a pochi centimetri, in tasca o nella borsa. Per trasformare la lettura in un addebito, però, serve un POS registrato presso una banca acquirer, intestato a un'attività identificata con documenti e conto bancario: ogni addebito lascia una traccia che porta al titolare del POS, è visibile nella tua app entro pochi secondi ed è contestabile con chargeback e rimborso di legge. Per questo i casi documentati sono rarissimi. I portafogli schermati non sono necessari, anche se non fanno danno.
La carta smarrita o rubata
È il rischio reale: chi trova la carta può fare acquisti sotto i 50 € senza PIN. Le difese sono tre e si sommano. Il tetto cumulativo di 150 € limita il danno massimo prima che scatti il PIN. La legge limita la tua responsabilità per gli utilizzi prima della segnalazione a una franchigia massima di 50 €, e la azzera dopo il blocco. E il blocco dall'app richiede pochi secondi: la guida su come bloccare la carta smarrita o rubata spiega la sequenza e cosa fare per la sostituzione.
La clonazione
Il contactless non si clona con lo skimming classico: il crittogramma è unico per transazione e la banda magnetica non viene letta. Lo skimming resta un rischio per i prelievi al bancomat e per i POS manomessi con lettura del chip in Paesi che usano ancora la banda, come spiega la guida sulla clonazione della carta e lo skimming. Pagare in contactless, anziché inserire la carta, riduce l'esposizione.
Come impostarlo bene
Impostare bene il contactless significa usare i controlli che l'app della carta mette a disposizione, che nelle banche online sono in genere più ricchi. Le impostazioni utili:
- Notifiche istantanee per ogni pagamento: sono il modo più rapido per accorgersi di un uso non autorizzato.
- Limite giornaliero di spesa proporzionato alle tue abitudini: vale anche per i pagamenti contactless.
- Disattivazione del contactless se non lo usi, o della carta fisica se paghi solo con il telefono.
- Blocco temporaneo (freeze) quando non trovi la carta: si sblocca in un tocco se ricompare.
- Carta virtuale per gli acquisti online, così i dati della carta fisica non circolano in rete: la guida sulle carte virtuali usa e getta spiega come usarle.
Per le carte dei ragazzi il discorso è lo stesso, con limiti più bassi e notifiche al genitore: la guida sulla carta per minorenni e ragazzi descrive le opzioni disponibili.
Contactless e diritti in caso di problemi
In caso di addebito non autorizzato in contactless, i tuoi diritti sono quelli previsti dalla PSD2 per qualsiasi operazione con carta: rimborso entro il giorno lavorativo successivo alla segnalazione, franchigia massima di 50 € per gli utilizzi prima del blocco in caso di carta smarrita o rubata, nessuna responsabilità dopo il blocco e nessuna responsabilità se l'emittente non ha applicato l'autenticazione forte dove era dovuta. La procedura è descritta nella guida sulla frode con la carta di credito, e il rapporto tra esenzioni contactless e autenticazione forte è approfondito nella guida su 3D Secure e SCA.
Conclusione
Il pagamento contactless è veloce e, contrariamente all'intuizione, più sicuro dell'inserimento del chip e della banda magnetica: ogni transazione ha un codice unico, i limiti senza PIN (50 € per operazione, 150 € o cinque operazioni cumulate) contengono il danno di una carta smarrita, e la legge limita la tua responsabilità a una franchigia massima di 50 € prima del blocco. Con lo smartphone l'autenticazione avviene sul dispositivo e la protezione aumenta ancora, grazie alla tokenizzazione. Le poche regole da seguire sono attivare le notifiche, impostare limiti sensati, bloccare subito la carta se non la trovi e usare carte virtuali online. Tutte le carte del nostro confronto sono contactless e offrono questi controlli dall'app: la differenza la fanno canoni, prelievi e cambio valuta, non la sicurezza del gesto.