El código que esperas y no llega no es un capricho de tu banco ni un fallo de la tienda: es una obligación legal que tiene tu entidad, y mientras no la cumpla el pago no está autorizado. El artículo 68 del Real Decreto-ley 19/2018, de servicios de pago, obliga a los proveedores de servicios de pago a aplicar la autenticación reforzada de clientes cuando el ordenante accede a su cuenta de pago en línea o inicia una operación de pago electrónico.
Eso tiene una consecuencia práctica que conviene saber antes de seguir intentándolo: si la operación no se ha autenticado, no se te puede cobrar. Un pago caído no es un pago a medias.
Qué es exactamente ese código y por qué te lo piden
La autenticación reforzada no es «mandar un SMS». Es un procedimiento que tiene que apoyarse en dos o más elementos independientes de categorías distintas: algo que solo tú conoces (una clave), algo que solo tú posees (tu móvil, tu tarjeta) y algo que eres (tu huella o tu cara). Que sean independientes significa que la caída de uno no debe comprometer a los demás.
Y para los pagos a distancia —comprar por internet, pagar en una app— el artículo 68 añade un requisito más: la autenticación tiene que incluir elementos que asocien dinámicamente la operación a un importe y a un beneficiario determinados. Por eso el mensaje que te llega dice cuánto y a quién: si cambiara cualquiera de las dos cosas, esa confirmación ya no valdría.
De ahí sale la respuesta a la pregunta de debajo de la consulta. No te piden el código porque desconfíen de ti; te lo piden porque sin él tu banco no puede demostrar que la operación la iniciaste tú, y esa carga es suya. Lo que se juega la entidad al saltárselo está en el régimen de operaciones no autorizadas: si el banco no exigió autenticación reforzada, el titular solo responde del perjuicio si actuó de forma fraudulenta. Cómo funciona ese régimen cuando el cargo sí se ha llegado a hacer está desarrollado entero en qué hacer con un cargo que no reconoces en la cuenta; aquí no hace falta, porque tu pago no ha llegado a ejecutarse.
Y aplica igual tengas la tarjeta que tengas: la autenticación reforzada no distingue entre débito y crédito, aunque las diferencias entre una tarjeta de débito y una de crédito sí cambian de dónde sale el dinero cuando el pago acaba pasando. Si lo que buscas es el cuadro completo de qué te protege la ley al pagar por internet y qué puedes hacer tú antes de que algo falle, está en ¿es seguro pagar con tarjeta por internet?.
Lo que hay que comprobar cuando no llega, en este orden
Casi todos los casos de «no me llega nada» se explican por una de estas cuatro cosas, y las cuatro se miran desde el sofá:
- ¿El canal sigue siendo el SMS? Es la causa más frecuente y la más invisible. Muchas entidades han movido la confirmación del mensaje de texto a su propia aplicación. Si estás esperando un SMS que tu banco ya no manda, puedes repetir el pago diez veces y va a fallar diez veces. Abre la app con el pago en marcha y mira si hay una notificación esperando.
- ¿El teléfono que tiene registrado tu banco es el que tienes ahora? Un cambio de número, una portabilidad o una segunda línea en el mismo móvil bastan para que el aviso salga hacia un sitio al que ya no llegas.
- ¿Están activas las notificaciones de la app? Si el aviso llega como notificación y el sistema la tiene silenciada, no hay ningún error que corregir: hay un permiso apagado.
- ¿La app está operativa y actualizada, y tienes cobertura de datos? La confirmación dentro de la aplicación necesita conexión; el SMS, no. No es lo mismo estar sin datos en un aparcamiento subterráneo que estar sin línea.
Y una comprobación que no es de arreglar el pago sino de proteger tu dinero: mira si el importe te ha quedado retenido. Si el pago no se autenticó, ese importe no está cobrado y tiene que volver a estar disponible. Cómo se distingue una retención de un cargo mirando tu propia aplicación, y a quién se le pide que la levante, está en qué es una retención de la tarjeta y cuándo tiene que devolverse.
Por qué otras veces no te piden nada, y no es un agujero de seguridad
Esta es la parte que casi nadie cuenta y la que convierte la consulta en algo útil: las veces que pagas sin confirmar nada no son un descuido de tu banco. El Reglamento Delegado (UE) 2018/389, que desarrolla las normas técnicas de la autenticación reforzada, permite no aplicarla en una lista tasada de casos. Cuatro de ellos explican prácticamente todo lo que vives cada día:
| Cuándo | Qué permite la norma | Dónde está |
|---|---|---|
| Pago sin contacto en una tienda | No pedir autenticación si la operación no pasa de 50 € y lo acumulado desde la última autenticación no pasa de 150 € | Artículo 11 |
| Compra a distancia de poco importe | No pedirla si la operación no pasa de 30 € y lo acumulado desde la última autenticación no pasa de 100 € | Artículo 16 |
| Un beneficiario que tú has marcado como de confianza | No pedirla en los pagos a ese beneficiario; sí se exige al crear o modificar esa lista | Artículo 13 |
| Una serie de pagos recurrentes del mismo importe al mismo beneficiario | Autenticar solo el primero de la serie; los siguientes pueden ir sin confirmación | Artículo 14 |
Hay dos lecturas prácticas de esta tabla, y las dos sirven cuando estás en la caja. La primera: los contadores acumulados explican por qué de pronto sí te lo piden después de varias compras pequeñas seguidas sin pedírtelo. No ha cambiado nada en tu tarjeta; se ha agotado el margen acumulado y toca volver a autenticarse. La segunda: cuando el pago es tuyo de siempre —el recibo mensual del mismo importe a la misma empresa— y deja de pedirte confirmación, estás en la cuarta fila, no en un fallo.
Si el pago falla una y otra vez: a quién se reclama
A tu banco, no a la tienda. Quien está obligado a aplicar la autenticación reforzada es el proveedor de servicios de pago que emite tu tarjeta, así que un sistema de confirmación que no funciona es un problema de tu entidad aunque te hayas quedado sin pagar en el comercio.
El orden es el mismo que para cualquier reclamación bancaria y no se puede saltar ningún escalón: primero el servicio de atención al cliente de tu entidad o su defensor del cliente, que tiene 15 días hábiles para contestarte cuando lo que reclamas es de una cuenta, una tarjeta, una transferencia o un recibo. Solo si ese plazo pasa sin respuesta, o con una respuesta que no te convence, puedes acudir al Banco de España, y para eso tienes un año desde que presentaste la primera reclamación. El procedimiento completo, con lo que tiene que contener el escrito y los motivos por los que una reclamación se inadmite, está en cómo reclamar una comisión al banco.
Pide siempre por escrito la fecha, la hora y el importe de los intentos fallidos, y qué canal de autenticación tiene tu entidad registrado para ti. Es lo que convierte «no me llega nunca el código» en una reclamación con hechos.
Y si al final decides que el problema no es puntual sino del banco con el que trabajas, la comparativa de cuentas bancarias verificadas una a una te deja ver con qué entidad abrirías la cuenta de la que cuelga la tarjeta, con lo que cobra cada una y con la fecha en la que lo comprobamos.
