3D Secure 2 a SCA podle PSD2: výjimky, přesun odpovědnosti a konverze

Co je 3D Secure 2 a jak souvisí se SCA?

Silné ověření zákazníka je zákonný požadavek: podle PSD2 musí být platba zahájená plátcem online potvrzena dvěma nezávislými faktory a autentizační kód musí být dynamicky propojen s částkou a příjemcem. 3D Secure 2 je technický standard spravovaný organizací EMVCo, kterým kartové sítě tento požadavek plní. Zákazníci jej znají pod značkami schémat, například Visa Secure, Mastercard Identity Check, American Express SafeKey a Cartes Bancaires FAST'R.

První verze 3D Secure poslala každého zákazníka na stránku banky s heslem. Verze 2 vyměňuje více než 100 datových prvků o zařízení, objednávce a účtu, takže vydavatel může většinu plateb schválit bez jakéhokoli zobrazení a výzvu, obvykle potvrzení v mobilní aplikaci banky, vyhradit pro rizikové platby. Podporuje také nativní toky v aplikacích, což starý protokol neuměl.

Kdy je SCA povinné a které platby jsou mimo působnost?

SCA se vztahuje na elektronické platby zahájené plátcem, pokud jsou vydavatel i acquirer v EHP; Spojené království uplatňuje stejná pravidla prostřednictvím vlastní verze regulačních technických norem. U e-shopu v EU to znamená téměř každou první platbu kartou, každý jednorázový nákup v pokladně a každou změnu mandátu uložené karty.

Některé typy transakcí jsou z povinnosti vyňaty zcela, což není totéž co výjimka: ověření není zákonně vyžadováno, ale vydavatel může platbu přesto zamítnout. V autorizační zprávě je třeba je označit správně, protože chybný příznak je častou příčinou měkkého zamítnutí „SCA required“.

• Transakce iniciované obchodníkem (MIT): předplatné s proměnnou částkou, zpožděné platby a nedostavení se, pokud byl mandát nastaven s SCA
• Platby na objednávku poštou a telefonem (MOTO), kdy údaje o kartě nezadává zákazník online
• Platby s jednou stranou mimo EHP (one-leg-out), kdy je vydavatel nebo acquirer mimo EHP; SCA se uplatňuje v rámci možností
• Platby iniciované příjemcem na základě mandátu k inkasu, například SEPA inkaso

Které výjimky ze SCA mohou obchodníci využít?

Výjimky jsou nepovinné: může je uplatnit acquirer nebo vydavatel a poslední slovo má vždy vydavatel. Pokud výjimku odmítne, vrátí měkké zamítnutí (kód odpovědi 1A u Visa, 65 u Mastercard) a platbu je nutné zopakovat s ověřením. Tabulka shrnuje výjimky z nařízení v přenesené pravomoci (EU) 2018/389, které jsou pro online prodej důležité.

Analýza rizik transakce je pro obchodníky s nízkou mírou podvodů nejcennější, protože pokrývá košíky do 500 €. Rozhoduje míra podvodů PSP, který výjimku uplatňuje, počítaná za 90 dní, takže acquirer s čistým portfoliem ji může požadovat za vás.

Jak funguje bezúdržbový tok a tok s výzvou?

3DS server obchodníka, který obvykle provozuje PSP, odešle žádost o ověření přes adresářový server kartového schématu na server řízení přístupu vydavatele. Vydavatel žádost ohodnotí podle dat o zařízení, objednávce a účtu a odpoví zhruba za sekundu.

Při nízkém riziku je platba ověřena bez zásahu zákazníka (frictionless) a zákazník nic nevidí. Jinak vydavatel zahájí výzvu: potvrzení push v mobilní aplikaci banky, biometrické ověření nebo jednorázový kód. V obou případech se výsledek a kryptogram předají do autorizace, takže vydavatel vidí, že SCA proběhlo.

1. Sběr dat Pokladna shromáždí data o prohlížeči nebo aplikaci, fakturační a dodací údaje a historii zákaznického účtu.
2. Ověření 3DS server odešle žádost; vydavatel odpoví bez výzvy, výzvou, nebo zamítnutím.
3. Autorizace Výsledek ověření a kryptogram putují spolu s autorizační žádostí k vydavateli.

Co je přesun odpovědnosti u 3D Secure?

Pokud je platba úspěšně ověřena přes 3D Secure, odpovědnost za podvodné chargebacky, například s kódem důvodu Visa 10.4 nebo Mastercard 4837, přechází z obchodníka na vydavatele. Ve většině případů to platí i tehdy, když se obchodník o ověření pokusil, ale vydavatel nebyl dostupný.

Přesun se netýká sporů, které nejsou podvodem, například nedoručeného zboží nebo zboží neodpovídajícího popisu, a zaniká, pokud je uplatněna výjimka na straně acquirera: získáte konverzi, ale podvodné riziko zůstává vám. Proto obchodníci uplatňují TRA selektivně, například u stálých zákazníků a nízkorizikových košíků, a zbytek posílají k ověření.

Jak 3D Secure 2 ovlivňuje konverzi pokladny?

Každá výzva přidává krok, ve kterém může zákazník odejít nebo selhat, zejména když je aplikace banky na jiném zařízení. EBA a ECB v prosinci 2025 uvedly, že platby kartou ověřené pomocí SCA zůstávají méně vystaveny podvodům, takže cílem není SCA se vyhnout, ale vyzývat jen tam, kde se to vyplatí.

Konverzi zlepšují úplná data v žádosti o ověření, správné příznaky transakce, nativní SDK pro aplikace místo webového zobrazení, žádosti o výjimky přes acquirera s nízkou mírou podvodů a okamžité opakování s ověřením po měkkém zamítnutí. Frictionless rate, úspěšnost výzev a míru schválení sledujte zvlášť podle země vydavatele; jediné souhrnné číslo schválení skrývá, kde zákazníci odpadají.

Jak přidat 3D Secure 2 přes OrsunPay?

OrsunPay je technická služba nad vlastními účty obchodníka u PSP a acquirera. U hostované pokladny běží údaje o kartě i tok 3D Secure v rozhraní samotného PSP, takže ověření, žádosti o výjimky a pravidla odpovědnosti vycházejí z vaší smlouvy s tímto PSP. Směrování podle rizika a integrace RiskCogs jsou v plánu a dnes nejsou k dispozici.