央行：非银行支付机构条码支付要有网络支付业务许可 不得变相用于理财等

　　(二)仅客户本人持有并特有的，不可复制或者不可重复利用的要素，如经过安全认证的数字证书、电子签名，以及通过安全渠道生成和传输的一次性密码等;

　　(三)客户本人生物特征要素，如指纹等。

　　银行、支付机构应当确保采用的要素相互独立，部分要素的损坏或者泄露不应导致其他要素损坏或者泄露。

　　第十一条 采用数字证书、电子签名作为验证要素的，数字证书及生成电子签名的过程应符合相关规定，应确保数字证书的唯一性、完整性及交易的不可抵赖性。

　　采用一次性密码作为验证要素的，应当切实防范一次性密码获取端与支付指令发起端为相同物理设备而带来的风险，并将一次性密码有效期严格限制在最短的必要时间内。

　　采用客户本人生物特征作为验证要素的，应当符合国家、金融行业标准和相关信息安全管理要求，防止被非法存储、复制或重放。

　　第十二条 银行、支付机构应根据《条码支付安全技术规范(试行)》(银办发〔2017〕242号)关于风险防范能力的分级，对个人客户的条码支付业务进行限额管理：

　　(一)风险防范能力达到A级，即采用包括数字证书或电子签名在内的两类(含)以上有效要素对交易进行验证的，可与客户通过协议自主约定单日累计限额;

　　(二)风险防范能力达到B级，即采用不包括数字证书、电子签名在内的两类(含)以上有效要素对交易进行验证的，同一客户单个银行账户或所有支付账户单日累计交易金额应不超过5000元;

　　(三)风险防范能力达到C级，即采用不足两类要素对交易进行验证的，同一客户单个银行账户或所有支付账户单日累计交易金额应不超过1000元;

　　(四)风险防范能力达到D级，即使用静态条码的，同一客户单个银行账户或所有支付账户单日累计交易金额应不超过500元。