أدلة
3D Secure 2 والمصادقة القوية SCA وفق PSD2: الاستثناءات ونقل المسؤولية والتحويل
3D Secure 2 (EMV 3DS) هو بروتوكول شبكات البطاقات الذي يتيح للبنك المُصدِر مصادقة دفعة البطاقة عبر الإنترنت، وبه يستوفي التجار في الاتحاد الأوروبي والمملكة المتحدة متطلب المصادقة القوية للعميل (SCA) بموجب PSD2. يوافق المُصدِر على الدفعات منخفضة المخاطر دون احتكاك اعتمادًا على البيانات المشتركة ويطلب تحققًا إضافيًا في غيرها. وتنقل الدفعات المصادَق عليها مسؤولية نزاعات الاحتيال إلى المُصدِر، وتقلّل الاستثناءات مثل المبالغ الصغيرة وTRA عدد حالات التحقق.
باختصار
| الأساس القانوني لـ SCA | المادة 97 من PSD2 (التوجيه (EU) 2015/2366) والمعايير التقنية في اللائحة المفوّضة (EU) 2018/389، وتُطبَّق على التجارة الإلكترونية بالبطاقات في المنطقة الاقتصادية الأوروبية منذ 31 ديسمبر 2020 |
|---|---|
| عوامل المصادقة | عاملان من ثلاثة: المعرفة (رمز PIN، كلمة المرور) والحيازة (الهاتف، البطاقة) والسمة الذاتية (بصمة الإصبع، الوجه) |
| استثناء المبالغ الصغيرة | حتى 30 يورو للدفعة الواحدة؛ وتعود SCA بعد 100 يورو تراكميًا أو بعد 5 دفعات متتالية مُعفاة |
| شرائح استثناء TRA | حتى 100 أو 250 أو 500 يورو إذا بقي معدل الاحتيال في بطاقات الدفع عن بُعد لدى PSP عند 0.13% أو 0.06% أو 0.01% أو أقل |
| إصدارات البروتوكول الحالية | EMV 3DS 2.2.0 و2.3.1؛ وسحبت شبكات البطاقات الإصدار 2.1.0 في عام 2024 |
| احتيال البطاقات خارج المنطقة الاقتصادية الأوروبية | أعلى بـ 17 مرة عندما يكون المستفيد خارج المنطقة، حيث لا تُطبَّق SCA غالبًا (EBA وECB، ديسمبر 2025) |
ما هو 3D Secure 2 وما علاقته بـ SCA؟
المصادقة القوية للعميل متطلب قانوني: بموجب PSD2 يجب تأكيد الدفعة التي يبدأها الدافع عبر الإنترنت بعاملين مستقلين، ويجب أن يرتبط رمز المصادقة ديناميكيًا بالمبلغ والمستفيد. أما 3D Secure 2 فهو المعيار التقني الذي تضعه EMVCo وتعتمد عليه شبكات البطاقات لتحقيق ذلك. ويراه المتسوقون تحت علامات الشبكات مثل Visa Secure وMastercard Identity Check وAmerican Express SafeKey وCartes Bancaires FAST'R.
كان الإصدار الأول من 3D Secure يحوّل كل متسوق إلى صفحة كلمة مرور لدى البنك. أما الإصدار الثاني فيتبادل أكثر من 100 عنصر بيانات عن الجهاز والطلب والحساب، فيستطيع المُصدِر الموافقة على معظم الدفعات دون إظهار أي شيء، ويحتفظ بخطوة التحقق، وغالبًا تأكيد عبر تطبيق البنك، للدفعات المحفوفة بمخاطر. كما يدعم مسارات التطبيقات الأصلية التي لم يكن البروتوكول القديم يدعمها.
متى تكون SCA مطلوبة، وما المدفوعات الواقعة خارج النطاق؟
تنطبق SCA على المدفوعات الإلكترونية التي يبدأها الدافع عندما يكون المُصدِر وجهة الاستحواذ كلاهما في المنطقة الاقتصادية الأوروبية؛ وتطبّق المملكة المتحدة القواعد نفسها عبر نسختها الخاصة من المعايير التقنية. وبالنسبة إلى متجر إلكتروني أوروبي، يشمل ذلك تقريبًا كل أول دفعة بالبطاقة وكل عملية دفع لمرة واحدة وكل تغيير في تفويض بطاقة محفوظة.
تقع أنواع عدة من المعاملات خارج الالتزام تمامًا، وهذا يختلف عن الاستثناء: لا يوجد التزام قانوني بالمصادقة، لكن المُصدِر يظل قادرًا على الرفض. ضع العلامات الصحيحة لهذه المعاملات في رسالة التفويض، فالعلامة الخاطئة سبب شائع للرفض المرن «SCA مطلوبة».
- المعاملات التي يبدأها التاجر (MIT): الاشتراكات ذات المبالغ المتغيرة والرسوم المؤجلة وعدم الحضور، بشرط أن يكون التفويض قد أُنشئ مع SCA
- الطلبات البريدية والهاتفية (MOTO)، حيث لا يُدخل المتسوق بيانات البطاقة عبر الإنترنت
- المدفوعات ذات الطرف الواحد خارج المنطقة، أي حين يكون المُصدِر أو جهة الاستحواذ خارج المنطقة الاقتصادية الأوروبية؛ وتُطبَّق SCA على أساس بذل أفضل جهد
- المدفوعات التي يبدأها المستفيد من تفويض خصم مباشر، مثل SEPA Direct Debit
ما استثناءات SCA التي يمكن للتجار استخدامها؟
الاستثناءات اختيارية: يجوز لجهة الاستحواذ أو المُصدِر تطبيقها، وللمُصدِر دائمًا الكلمة الأخيرة. فإذا رفض الاستثناء أعاد رفضًا مرنًا (رمز الاستجابة 1A لدى Visa و65 لدى Mastercard) ويجب إعادة المحاولة مع المصادقة. يلخص الجدول الاستثناءات الواردة في اللائحة المفوّضة (EU) 2018/389 والمهمة للبيع عبر الإنترنت.
يُعدّ تحليل مخاطر المعاملة أثمن استثناء للتجار ذوي الاحتيال المنخفض لأنه يغطي سلالًا تصل إلى 500 يورو. والمعدل المعتمد هو معدل الاحتيال لدى PSP الذي يطبّق الاستثناء، محسوبًا على 90 يومًا، فيستطيع المستحوذ ذو المحفظة النظيفة طلبه نيابةً عنك.
| الاستثناء | مادة RTS | الشرط | من يطبّقه | مسؤولية الاحتيال |
|---|---|---|---|---|
| المبلغ الصغير | المادة 16 | حتى 30 يورو؛ وSCA بعد 100 يورو تراكميًا أو 5 دفعات منذ آخر SCA | جهة الاستحواذ أو المُصدِر؛ ويحتفظ المُصدِر بالعدّاد | الطرف الذي طبّق الاستثناء |
| تحليل مخاطر المعاملة (TRA) | المادة 18 | حتى 100 أو 250 أو 500 يورو عند معدل احتيال 0.13% أو 0.06% أو 0.01% | جهة الاستحواذ أو المُصدِر بحسب معدل الاحتيال الخاص به | الطرف الذي طبّق الاستثناء |
| المستفيد الموثوق | المادة 13 | يضيف المتسوق التاجر إلى قائمة السماح لدى المُصدِر، مع SCA | المُصدِر | المُصدِر |
| دفعات متكررة بالمبلغ نفسه | المادة 14 | سلسلة دفعات متساوية للمستفيد نفسه؛ وSCA عند الأولى | المُصدِر | المُصدِر |
| الدفع المؤسسي الآمن | المادة 17 | عمليات مؤسسية مخصصة مثل بطاقات السفر المركزية أو الافتراضية | المُصدِر، بقبول من سلطته الرقابية | المُصدِر |
| يبدأها التاجر (خارج النطاق) | ليس استثناءً | تفويض متفق عليه مع SCA؛ والرسوم اللاحقة يبدؤها التاجر | يضع التاجر العلامة عبر جهة الاستحواذ | جانب التاجر |
كيف يعمل التدفق دون احتكاك وتدفق التحقق؟
يرسل خادم 3DS الخاص بالتاجر، وغالبًا ما يديره PSP، طلب مصادقة عبر خادم الدليل التابع لشبكة البطاقات إلى خادم التحكم في الوصول لدى المُصدِر. ويقيّم المُصدِر الطلب بناءً على بيانات الجهاز والطلب والحساب ويجيب خلال نحو ثانية.
إذا كانت المخاطر منخفضة تتم المصادقة دون احتكاك ولا يرى المتسوق شيئًا. وإلا يفتح المُصدِر خطوة تحقق: إشعار تأكيد في تطبيق البنك أو فحص بيومتري أو رمز لمرة واحدة. وفي الحالتين تُمرَّر النتيجة والتشفير (cryptogram) إلى التفويض، فيرى المُصدِر أن SCA قد أُجريت.
- جمع البيانات تجمع صفحة الدفع بيانات المتصفح أو التطبيق وتفاصيل الفوترة والشحن وسجل حساب المتسوق.
- المصادقة يرسل خادم 3DS الطلب، ويردّ المُصدِر بدون احتكاك أو تحقق أو رفض.
- التفويض تنتقل نتيجة المصادقة والتشفير مع طلب التفويض إلى المُصدِر.
ما هو نقل المسؤولية في 3D Secure؟
عند نجاح مصادقة الدفعة بـ 3D Secure، تنتقل مسؤولية نزاعات الاحتيال، مثل رمز Visa 10.4 أو Mastercard 4837، من التاجر إلى المُصدِر. وفي معظم الحالات ينطبق ذلك أيضًا إذا حاول التاجر المصادقة ولم يكن المُصدِر متاحًا.
لا يشمل النقل النزاعات غير المتعلقة بالاحتيال مثل عدم استلام البضاعة أو عدم مطابقتها للوصف، ويضيع عند تطبيق استثناء من جهة الاستحواذ: تكسب في التحويل لكنك تحتفظ بمخاطر الاحتيال. ولهذا يطبّق التجار TRA بانتقائية، مثلًا على العملاء العائدين والسلال منخفضة المخاطر، ويمرّرون الباقي عبر المصادقة.
كيف يؤثر 3D Secure 2 في تحويل صفحة الدفع؟
كل خطوة تحقق تضيف مرحلة قد يتخلى فيها المتسوق عن الدفع أو يفشل، خاصة إذا كان تطبيق البنك على جهاز آخر. وذكر EBA وECB في ديسمبر 2025 أن مدفوعات البطاقات المصادَق عليها بـ SCA تبقى أقل عرضة للاحتيال، لذا فالهدف ليس تجنب SCA بل طلب التحقق حيث يفيد فقط.
يتحسن التحويل ببيانات كاملة في طلب المصادقة، وعلامات صحيحة لنوع المعاملة، وSDK أصلي للتطبيق بدل عرض ويب، وطلب الاستثناءات عبر جهة استحواذ ذات معدل احتيال منخفض، وإعادة محاولة فورية مع المصادقة بعد الرفض المرن. قس معدل التدفق دون احتكاك ونجاح التحقق ومعدل التفويض لكل دولة مُصدِر على حدة؛ فرقم موافقة مجمّع واحد يخفي مواضع تخلي المتسوقين.
كيف تضيف 3D Secure 2 عبر OrsunPay؟
OrsunPay خدمة تقنية فوق حسابات PSP وجهات الاستحواذ الخاصة بالتاجر. ومع صفحة الدفع المستضافة، تعمل بيانات البطاقة ومسار 3D Secure داخل واجهة PSP نفسه، لذا فإن المصادقة وطلبات الاستثناء وقواعد المسؤولية هي تلك الواردة في عقدك مع ذلك PSP. التوجيه المبني على المخاطر وتكامل RiskCogs ضمن خارطة الطريق وغير متاحين اليوم.
الأسئلة الشائعة
ماذا يعني «SCA مطلوبة» في دفعة مرفوضة؟
رفض المُصدِر الدفعة لأنه توقع مصادقة قوية للعميل ووصلت الدفعة دونها، أو مع استثناء لم يقبله. هذا رفض مرن: وإعادة المحاولة للدفعة نفسها مع مصادقة 3D Secure تنجح عادةً.
ما متطلبات SCA بموجب PSD2؟
يجب مصادقة الدفعة الإلكترونية التي يبدأها الدافع بعاملين مستقلين من ثلاثة: شيء يعرفه العميل أو يملكه أو هو عليه. وبالنسبة إلى المدفوعات عن بُعد، يجب أن يرتبط رمز المصادقة أيضًا بالمبلغ والمستفيد بدقة.
ما هي PSD2؟
PSD2 هي التوجيه (EU) 2015/2366، أي توجيه خدمات الدفع الثاني. أدخلت المصادقة القوية للعميل، وفتحت الحسابات المصرفية أمام مزودين مرخصين من أطراف ثالثة عبر الخدمات المصرفية المفتوحة، ووضعت قواعد لمؤسسات الدفع في المنطقة الاقتصادية الأوروبية.
هل 3D Secure 2 إلزامي خارج أوروبا؟
لا يوجد تفويض قانوني عام في الولايات المتحدة، لكن توجد قواعد شبيهة بـ SCA في أسواق مثل الهند، وتشجع شبكات البطاقات استخدام 3DS في كل مكان. وخارج المنطقة الاقتصادية الأوروبية يستخدمه التجار عادةً بانتقائية للحصول على نقل مسؤولية الاحتيال.
هل تحتاج الاشتراكات إلى SCA في كل دفعة؟
لا. الدفعة الأولى، حيث يوافق المتسوق على التفويض، تحتاج إلى SCA. أما الرسوم اللاحقة بالمبلغ نفسه فيمكن أن تستخدم استثناء الدفعات المتكررة، والرسوم المتغيرة التي يبدؤها التاجر خارج النطاق بوصفها معاملات يبدؤها التاجر.
هل تنطبق SCA على مدفوعات الخدمات المصرفية المفتوحة؟
نعم. الدفعة التي تُبدأ عبر خدمة بدء الدفع يصادق عليها بنك المتسوق بـ SCA، عادةً في تطبيقه المصرفي. ولهذا لا تتضمن صفحات الدفع عبر البنك خطوة 3D Secure منفصلة.