3D Secure 2 и SCA по PSD2: изключения, прехвърляне на отговорността и конверсия

Какво е 3D Secure 2 и каква е връзката му със SCA?

Строгата автентикация на клиента е законово изискване: по PSD2 плащане, инициирано онлайн от платеца, трябва да бъде потвърдено с два независими фактора, а кодът за автентикация трябва да е динамично свързан със сумата и получателя. 3D Secure 2 е техническият стандарт, поддържан от EMVCo, с който картовите мрежи изпълняват това изискване. Клиентите го виждат под марки на схемите като Visa Secure, Mastercard Identity Check, American Express SafeKey и Cartes Bancaires FAST'R.

Първата версия на 3D Secure пренасочваше всеки клиент към страница на банката с парола. Версия 2 обменя над 100 елемента данни за устройството, поръчката и акаунта, така че издателят може да одобри повечето плащания, без да показва нищо, и да запази предизвикателството, обикновено потвърждение в банковото приложение, за рисковите. Поддържа и native потоци в мобилни приложения, което старият протокол не можеше.

Кога се изисква SCA и кои плащания са извън обхвата?

SCA се прилага за електронни плащания, инициирани от платеца, когато и издателят, и акцептантът (acquirer) са в ЕИП; Обединеното кралство прилага същите правила чрез своя собствена версия на регулаторните технически стандарти. За уебмагазин в ЕС това обхваща почти всяко първо плащане с карта, всяко еднократно плащане и всяка промяна на мандат за запазена карта.

Някои видове транзакции са изцяло извън задължението, което е различно от изключение: автентикацията не се изисква по закон, но издателят пак може да откаже. Отбелязвайте ги правилно в съобщението за авторизация, защото грешен флаг е честа причина за мекия отказ „SCA required“.

• Транзакции, инициирани от търговеца (MIT): абонаменти с променлива сума, отложени такси и неявявания, при условие че мандатът е настроен със SCA
• Плащания по пощенска и телефонна поръчка (MOTO), при които данните на картата не се въвеждат от клиента онлайн
• Плащания с една страна извън ЕИП (one-leg-out), при които издателят или акцептантът е извън ЕИП; SCA се прилага по възможност
• Плащания, инициирани от получателя въз основа на мандат за директен дебит, например SEPA директен дебит

Кои изключения от SCA могат да използват търговците?

Изключенията са по избор: могат да бъдат приложени от акцептанта или от издателя, а последната дума винаги е на издателя. Ако откаже изключение, той връща мек отказ (код на отговор 1A при Visa, 65 при Mastercard) и плащането трябва да се повтори с автентикация. Таблицата обобщава изключенията от Делегиран регламент (ЕС) 2018/389, които са важни за онлайн продажбите.

Анализът на риска на транзакцията е най-ценното изключение за търговци с малко измами, защото покрива кошници до 500 €. Значение има процентът измами на PSP, който прилага изключението, изчислен за 90 дни, така че акцептант с чисто портфолио може да го поиска от ваше име.

Как работят потокът без триене и потокът с предизвикателство?

3DS сървърът на търговеца, който обикновено се управлява от PSP, изпраща заявка за автентикация през директорийния сървър на картовата схема до сървъра за контрол на достъпа на издателя. Издателят оценява заявката по данните за устройството, поръчката и акаунта и отговаря за около секунда.

При нисък риск плащането се автентикира без триене (frictionless) и клиентът не вижда нищо. В противен случай издателят отваря предизвикателство: push потвърждение в банковото приложение, биометрична проверка или еднократен код. И в двата случая резултатът и криптограмата се предават към авторизацията, така че издателят вижда, че SCA е извършено.

1. Събиране на данни Страницата за плащане събира данни за браузъра или приложението, данни за фактуриране и доставка и историята на акаунта на клиента.
2. Автентикация 3DS сървърът изпраща заявката; издателят отговаря без триене, с предизвикателство или с отхвърляне.
3. Авторизация Резултатът от автентикацията и криптограмата пътуват със заявката за авторизация към издателя.

Какво е прехвърлянето на отговорността при 3D Secure?

Когато плащане е успешно автентикирано с 3D Secure, отговорността за chargeback при измама, например с код на причината Visa 10.4 или Mastercard 4837, преминава от търговеца към издателя. В повечето случаи това важи и когато търговецът е опитал автентикация, но издателят не е бил достъпен.

Прехвърлянето не обхваща спорове извън измамата, като непристигнала стока или стока, която не отговаря на описанието, и се губи, когато изключението е приложено от страна на акцептанта: печелите конверсия, но запазвате риска от измама. Затова търговците прилагат TRA избирателно, например за връщащи се клиенти и кошници с нисък риск, а останалите изпращат към автентикация.

Как 3D Secure 2 влияе на конверсията на страницата за плащане?

Всяко предизвикателство добавя стъпка, на която клиентът може да се откаже или да сгреши, особено когато банковото приложение е на друго устройство. ЕБО и ЕЦБ съобщиха през декември 2025 г., че плащанията с карта, автентикирани със SCA, остават по-малко изложени на измами, така че целта не е да се избягва SCA, а да се предизвиква само там, където си струва.

Конверсията се подобрява с пълни данни в заявката за автентикация, правилни флагове на транзакцията, native SDK за приложения вместо web view, искания за изключения чрез акцептант с нисък процент измами и незабавно повтаряне с автентикация след мек отказ. Измервайте отделно frictionless rate, успеваемостта на предизвикателствата и процента одобрения по държава на издателя; един общ показател за одобрение крие къде клиентите отпадат.

Как да добавите 3D Secure 2 чрез OrsunPay?

OrsunPay е техническа услуга над собствените акаунти на търговеца при PSP и акцептант. При хоствана страница за плащане данните на картата и потокът на 3D Secure се изпълняват в собствения интерфейс на PSP, така че автентикацията, исканията за изключения и правилата за отговорност са тези от вашия договор с този PSP. Маршрутизирането според риска и интеграцията с RiskCogs са в плана и не са налични днес.