3D Secure 2 og SCA under PSD2: undtagelser, ansvarsforskydning og konvertering

Hvad er 3D Secure 2, og hvordan hænger det sammen med SCA?

Stærk kundeautentifikation er et lovkrav: Under PSD2 skal en betaling, som betaleren starter online, bekræftes med to uafhængige faktorer, og autentifikationskoden skal være dynamisk knyttet til beløbet og modtageren. 3D Secure 2 er den tekniske standard, som EMVCo vedligeholder, og som kortnetværkene bruger til at opfylde kravet. Kunderne møder den under kortselskabernes mærker som Visa Secure, Mastercard Identity Check, American Express SafeKey og Cartes Bancaires FAST'R.

Den første version af 3D Secure sendte alle kunder til en adgangskodeside hos banken. Version 2 udveksler mere end 100 dataelementer om enhed, ordre og konto, så udstederen kan godkende de fleste betalinger uden at vise noget og reservere en udfordring, typisk en bekræftelse i bankappen, til de risikable. Den understøtter også native appflows, hvilket den gamle protokol ikke gjorde.

Hvornår kræves SCA, og hvilke betalinger er uden for scope?

SCA gælder for elektroniske betalinger, som betaleren selv starter, når både udsteder og indløser ligger i EØS. Storbritannien anvender de samme regler gennem sin egen version af de tekniske standarder. For en dansk webshop dækker det næsten alle første kortbetalinger, alle enkeltstående køb og enhver ændring af en gemt kortaftale.

Flere transaktionstyper er helt uden for forpligtelsen, hvilket er noget andet end en undtagelse: Der kræves ingen autentifikation efter loven, men udstederen kan stadig afvise betalingen. Marker dem korrekt i autorisationsmeddelelsen, for et forkert flag er en almindelig årsag til det bløde afslag "SCA required".

• Forhandlerinitierede transaktioner (MIT): abonnementer med varierende beløb, forsinkede opkrævninger og udeblivelsesgebyrer, forudsat at aftalen blev oprettet med SCA
• Post- og telefonordrer (MOTO), hvor kunden ikke selv indtaster kortoplysninger online
• One-leg-out-betalinger, hvor udsteder eller indløser ligger uden for EØS; SCA anvendes efter bedste evne
• Betalinger, som modtageren starter ud fra en betalingsaftale, f.eks. SEPA-direct debit

Hvilke SCA-undtagelser kan forhandlere bruge?

Undtagelser er valgfri: Indløseren eller udstederen kan anvende dem, og udstederen har altid det sidste ord. Afviser udstederen en undtagelse, returnerer den et blødt afslag (svarkode 1A hos Visa, 65 hos Mastercard), og betalingen skal forsøges igen med autentifikation. Tabellen opsummerer de undtagelser i delegeret forordning (EU) 2018/389, som har betydning for onlinesalg.

Transaktionsrisikoanalyse er den mest værdifulde undtagelse for forhandlere med lav svindel, fordi den dækker kurve op til 500 €. Det er svindelraten hos den PSP, der anvender undtagelsen, beregnet over 90 dage, der tæller, så en indløser med en ren portefølje kan anmode om den på dine vegne.

Hvordan fungerer det friktionsfrie flow og udfordringsflowet?

Forhandlerens 3DS-server, som normalt drives af PSP'en, sender en autentifikationsanmodning gennem kortselskabets directory server til udstederens access control server. Udstederen vurderer anmodningen ud fra enheds-, ordre- og kontodata og svarer på cirka et sekund.

Er risikoen lav, bliver betalingen autentificeret friktionsfrit, og kunden ser intet. Ellers åbner udstederen en udfordring: en pushbekræftelse i bankappen, en biometrisk kontrol eller en engangskode. I begge tilfælde sendes resultatet og et kryptogram videre til autorisationen, så udstederen kan se, at SCA er gennemført.

1. Indsaml data Checkout indsamler browser- eller appdata, fakturerings- og leveringsoplysninger og kundens kontohistorik.
2. Autentificer 3DS-serveren sender anmodningen; udstederen svarer friktionsfrit, udfordring eller afvist.
3. Autoriser Autentifikationsresultatet og kryptogrammet følger med autorisationsanmodningen til udstederen.

Hvad er ansvarsforskydningen i 3D Secure?

Når en betaling er autentificeret med 3D Secure, flyttes ansvaret for svindel-chargebacks, f.eks. Visa-årsagskode 10.4 eller Mastercard 4837, fra forhandleren til udstederen. I de fleste tilfælde gælder det også, når forhandleren har forsøgt at autentificere, men udstederen ikke var tilgængelig.

Forskydningen dækker ikke tvister, der ikke handler om svindel, f.eks. varer, der ikke er modtaget eller ikke svarer til beskrivelsen, og den går tabt, når en undtagelse anvendes på indløsersiden: Du vinder konvertering, men beholder svindelrisikoen. Derfor bruger forhandlere TRA selektivt, f.eks. til tilbagevendende kunder og kurve med lav risiko, og sender resten gennem autentifikation.

Hvordan påvirker 3D Secure 2 konverteringen i checkout?

Hver udfordring tilføjer et trin, hvor en kunde kan afbryde eller fejle, især når bankappen ligger på en anden enhed. EBA og ECB rapporterede i december 2025, at SCA-autentificerede kortbetalinger fortsat er mindre udsat for svindel, så målet er ikke at undgå SCA, men kun at udfordre, hvor det kan betale sig.

Konverteringen forbedres med komplette data i autentifikationsanmodningen, korrekte transaktionsflag, en native app-SDK i stedet for en webview, undtagelsesanmodninger gennem en indløser med lav svindelrate og et øjeblikkeligt nyt forsøg med autentifikation efter et blødt afslag. Mål friktionsfri andel, udfordringernes succesrate og godkendelsesrate for hvert udstederland hver for sig; ét samlet godkendelsestal skjuler, hvor kunderne falder fra.

Hvordan tilføjer du 3D Secure 2 gennem OrsunPay?

OrsunPay er en teknisk tjeneste oven på forhandlerens egne PSP- og indløserkonti. Med den hostede checkout kører kortoplysninger og 3D Secure-flowet i PSP'ens egen grænseflade, så autentifikation, undtagelsesanmodninger og ansvarsregler følger din aftale med den PSP. Risikobaseret routing og en RiskCogs-integration er på køreplanen og er ikke tilgængelige i dag.