Οδηγοί
3D Secure 2 και SCA βάσει PSD2: εξαιρέσεις, μεταφορά ευθύνης και μετατροπή
Το 3D Secure 2 (EMV 3DS) είναι το πρωτόκολλο καρτών με το οποίο ο εκδότης ταυτοποιεί μια online πληρωμή και οι έμποροι της ΕΕ τηρούν την ισχυρή ταυτοποίηση πελάτη (SCA) της PSD2. Ο εκδότης εγκρίνει χωρίς τριβή τις πληρωμές χαμηλού κινδύνου και ζητά επιβεβαίωση για τις υπόλοιπες. Οι ταυτοποιημένες πληρωμές μεταφέρουν την ευθύνη για χρεοανακλήσεις απάτης στον εκδότη, ενώ οι εξαιρέσεις μειώνουν τις επιβεβαιώσεις.
Με μια ματιά
| Νομική βάση της SCA | Άρθρο 97 της PSD2 (Οδηγία (ΕΕ) 2015/2366) και τα ρυθμιστικά τεχνικά πρότυπα (RTS) του Κατ' εξουσιοδότηση Κανονισμού (ΕΕ) 2018/389, σε εφαρμογή στις online πληρωμές με κάρτα στον ΕΟΧ από τις 31 Δεκεμβρίου 2020 |
|---|---|
| Παράγοντες ταυτοποίησης | Δύο από τους τρεις: γνώση (PIN, κωδικός), κατοχή (τηλέφωνο, κάρτα) και ιδιαιτερότητα (δακτυλικό αποτύπωμα, πρόσωπο) |
| Εξαίρεση χαμηλής αξίας | Έως 30 € ανά πληρωμή· νέα SCA μετά από σωρευτικά 100 € ή 5 διαδοχικές εξαιρούμενες πληρωμές |
| Κλίμακες εξαίρεσης TRA | Έως 100 €, 250 € ή 500 € εφόσον το ποσοστό απάτης του PSP στις εξ αποστάσεως πληρωμές με κάρτα παραμένει έως 0,13%, 0,06% ή 0,01% |
| Τρέχουσες εκδόσεις του πρωτοκόλλου | EMV 3DS 2.2.0 και 2.3.1· η έκδοση 2.1.0 αποσύρθηκε από τα διεθνή δίκτυα καρτών το 2024 |
| Απάτη με κάρτες εκτός ΕΟΧ | 17 φορές υψηλότερη όταν ο δικαιούχος βρίσκεται εκτός ΕΟΧ, όπου η SCA συχνά δεν εφαρμόζεται (ΕΑΤ και ΕΚΤ, Δεκέμβριος 2025) |
Τι είναι το 3D Secure 2 και πώς σχετίζεται με την SCA;
Η ισχυρή ταυτοποίηση πελάτη είναι νομική απαίτηση: σύμφωνα με την PSD2, μια πληρωμή που ξεκινά ο πληρωτής online πρέπει να επιβεβαιώνεται με δύο ανεξάρτητους παράγοντες, και ο κωδικός ταυτοποίησης πρέπει να συνδέεται δυναμικά με το ποσό και τον δικαιούχο. Το 3D Secure 2 είναι το τεχνικό πρότυπο, υπό τη διαχείριση της EMVCo, με το οποίο τα δίκτυα καρτών ανταποκρίνονται σε αυτή την απαίτηση. Οι αγοραστές το συναντούν με εμπορικές ονομασίες των δικτύων, όπως Visa Secure, Mastercard Identity Check, American Express SafeKey και Cartes Bancaires FAST'R.
Η πρώτη έκδοση του 3D Secure έστελνε κάθε αγοραστή σε σελίδα κωδικού της τράπεζας. Η έκδοση 2 ανταλλάσσει πάνω από 100 στοιχεία δεδομένων για τη συσκευή, την παραγγελία και τον λογαριασμό, ώστε ο εκδότης να εγκρίνει τις περισσότερες πληρωμές χωρίς να εμφανίσει τίποτα και να κρατά την επιβεβαίωση, συνήθως μέσω της εφαρμογής της τράπεζας, για τις επικίνδυνες. Υποστηρίζει επίσης εγγενείς ροές σε εφαρμογές, κάτι που το παλαιό πρωτόκολλο δεν υποστήριζε.
Πότε απαιτείται SCA και ποιες πληρωμές είναι εκτός πεδίου εφαρμογής;
Η SCA ισχύει για ηλεκτρονικές πληρωμές που ξεκινά ο πληρωτής όταν τόσο ο εκδότης όσο και ο αποδέκτης (acquirer) βρίσκονται στον ΕΟΧ· το Ηνωμένο Βασίλειο εφαρμόζει τους ίδιους κανόνες μέσω δικής του έκδοσης των RTS. Για ένα ηλεκτρονικό κατάστημα της ΕΕ αυτό καλύπτει σχεδόν κάθε πρώτη πληρωμή με κάρτα, κάθε εφάπαξ checkout και κάθε αλλαγή σε εντολή αποθηκευμένης κάρτας.
Αρκετοί τύποι συναλλαγών βρίσκονται εξ ολοκλήρου εκτός της υποχρέωσης, κάτι διαφορετικό από την εξαίρεση: δεν απαιτείται νομικά ταυτοποίηση, αλλά ο εκδότης μπορεί και πάλι να απορρίψει. Σημάνετε σωστά αυτούς τους τύπους στο μήνυμα έγκρισης, επειδή μια λανθασμένη σήμανση είναι συχνή αιτία της «ήπιας» απόρριψης «SCA required».
- Συναλλαγές που ξεκινά ο έμπορος (MIT): συνδρομές με μεταβλητά ποσά, καθυστερημένες χρεώσεις και μη εμφανίσεις, εφόσον η εντολή έχει δοθεί με SCA
- Πληρωμές με παραγγελία μέσω ταχυδρομείου και τηλεφώνου (MOTO), όπου τα στοιχεία της κάρτας δεν εισάγονται online από τον αγοραστή
- Πληρωμές «one-leg-out», όπου ο εκδότης ή ο αποδέκτης βρίσκεται εκτός ΕΟΧ· η SCA εφαρμόζεται με βάση την καλύτερη δυνατή προσπάθεια
- Πληρωμές που ξεκινά ο δικαιούχος από εντολή άμεσης χρέωσης, όπως το SEPA Direct Debit
Ποιες εξαιρέσεις από την SCA μπορούν να χρησιμοποιήσουν οι έμποροι;
Οι εξαιρέσεις είναι προαιρετικές: ο αποδέκτης ή ο εκδότης μπορεί να τις εφαρμόσει, και ο εκδότης έχει πάντα τον τελευταίο λόγο. Αν αρνηθεί μια εξαίρεση, επιστρέφει ήπια απόρριψη (κωδικός απάντησης 1A στη Visa, 65 στη Mastercard) και η πληρωμή πρέπει να επαναληφθεί με ταυτοποίηση. Ο πίνακας συνοψίζει τις εξαιρέσεις του Κατ' εξουσιοδότηση Κανονισμού (ΕΕ) 2018/389 που αφορούν τις online πωλήσεις.
Η ανάλυση κινδύνου συναλλαγής είναι η πιο πολύτιμη για έμπορους με χαμηλή απάτη, επειδή καλύπτει καλάθια έως 500 €. Το ποσοστό που μετράει είναι το ποσοστό απάτης του PSP που εφαρμόζει την εξαίρεση, υπολογισμένο σε 90 ημέρες, οπότε ένας αποδέκτης με καθαρό χαρτοφυλάκιο μπορεί να την ζητήσει για λογαριασμό σας.
| Εξαίρεση | Άρθρο RTS | Προϋπόθεση | Ποιος την εφαρμόζει | Ευθύνη για απάτη |
|---|---|---|---|---|
| Χαμηλή αξία | Άρθρο 16 | Έως 30 €· SCA μετά από σωρευτικά 100 € ή 5 πληρωμές από την τελευταία SCA | Ο αποδέκτης ή ο εκδότης· τον μετρητή τηρεί ο εκδότης | Το μέρος που εφάρμοσε την εξαίρεση |
| Ανάλυση κινδύνου συναλλαγής (TRA) | Άρθρο 18 | Έως 100 €, 250 € ή 500 € με ποσοστό απάτης 0,13%, 0,06% ή 0,01% | Ο αποδέκτης ή ο εκδότης, με βάση το δικό του ποσοστό απάτης | Το μέρος που εφάρμοσε την εξαίρεση |
| Αξιόπιστος δικαιούχος | Άρθρο 13 | Ο αγοραστής προσθέτει τον έμπορο σε λίστα εγκεκριμένων στον εκδότη, με SCA | Ο εκδότης | Ο εκδότης |
| Επαναλαμβανόμενη, ίδιο ποσό | Άρθρο 14 | Σειρά ίσων πληρωμών προς τον ίδιο δικαιούχο· SCA στην πρώτη | Ο εκδότης | Ο εκδότης |
| Ασφαλής εταιρική πληρωμή | Άρθρο 17 | Ειδικές εταιρικές διαδικασίες, όπως κεντρικοποιημένες ή εικονικές κάρτες ταξιδιών | Ο εκδότης, με αποδοχή από την αρχή του | Ο εκδότης |
| Που ξεκινά ο έμπορος (εκτός πεδίου εφαρμογής) | Δεν είναι εξαίρεση | Εντολή που συμφωνήθηκε με SCA· οι μεταγενέστερες χρεώσεις ξεκινούν από τον έμπορο | Ο έμπορος τη σημαίνει μέσω του αποδέκτη | Η πλευρά του εμπόρου |
Πώς λειτουργούν η ροή χωρίς τριβή και η ροή με επιβεβαίωση;
Ο διακομιστής 3DS του εμπόρου, που συνήθως λειτουργεί ο PSP, στέλνει αίτημα ταυτοποίησης μέσω του διακομιστή καταλόγου του δικτύου καρτών στον διακομιστή ελέγχου πρόσβασης του εκδότη. Ο εκδότης βαθμολογεί το αίτημα με τα δεδομένα συσκευής, παραγγελίας και λογαριασμού και απαντά σε περίπου ένα δευτερόλεπτο.
Αν ο κίνδυνος είναι χαμηλός, η πληρωμή ταυτοποιείται χωρίς τριβή και ο αγοραστής δεν βλέπει τίποτα. Διαφορετικά, ο εκδότης ανοίγει επιβεβαίωση: ειδοποίηση push στην εφαρμογή της τράπεζας, βιομετρικό έλεγχο ή κωδικό μίας χρήσης. Και στις δύο περιπτώσεις, το αποτέλεσμα και ένα κρυπτόγραμμα περνούν στην έγκριση, ώστε ο εκδότης να βλέπει ότι πραγματοποιήθηκε SCA.
- Συλλογή δεδομένων Το checkout συγκεντρώνει δεδομένα προγράμματος περιήγησης ή εφαρμογής, στοιχεία χρέωσης και αποστολής και το ιστορικό λογαριασμού του αγοραστή.
- Ταυτοποίηση Ο διακομιστής 3DS στέλνει το αίτημα· ο εκδότης απαντά χωρίς τριβή, με επιβεβαίωση ή με απόρριψη.
- Έγκριση Το αποτέλεσμα της ταυτοποίησης και το κρυπτόγραμμα ταξιδεύουν μαζί με το αίτημα έγκρισης προς τον εκδότη.
Τι είναι η μεταφορά ευθύνης στο 3D Secure;
Όταν μια πληρωμή ταυτοποιείται επιτυχώς με 3D Secure, η ευθύνη για χρεοανακλήσεις απάτης, όπως ο κωδικός λόγου 10.4 της Visa ή 4837 της Mastercard, περνά από τον έμπορο στον εκδότη. Στις περισσότερες περιπτώσεις αυτό ισχύει και όταν ο έμπορος επιχείρησε ταυτοποίηση αλλά ο εκδότης δεν ήταν διαθέσιμος.
Η μεταφορά δεν καλύπτει διαφορές που δεν αφορούν απάτη, όπως μη παραλαβή αγαθών ή μη συμφωνία με την περιγραφή, και χάνεται όταν εφαρμόζεται εξαίρεση από την πλευρά του αποδέκτη: κερδίζετε σε μετατροπή αλλά κρατάτε τον κίνδυνο απάτης. Γι' αυτό οι έμποροι εφαρμόζουν την TRA επιλεκτικά, για παράδειγμα σε επαναλαμβανόμενους πελάτες και καλάθια χαμηλού κινδύνου, και στέλνουν τα υπόλοιπα σε ταυτοποίηση.
Πώς επηρεάζει το 3D Secure 2 τη μετατροπή στο checkout;
Κάθε επιβεβαίωση προσθέτει ένα βήμα στο οποίο ο αγοραστής μπορεί να εγκαταλείψει ή να αποτύχει, ιδίως όταν η εφαρμογή της τράπεζας βρίσκεται σε άλλη συσκευή. Η ΕΑΤ και η ΕΚΤ ανέφεραν τον Δεκέμβριο του 2025 ότι οι πληρωμές με κάρτα που ταυτοποιούνται με SCA παραμένουν λιγότερο εκτεθειμένες σε απάτη, άρα στόχος δεν είναι να αποφεύγεται η SCA αλλά να ζητείται επιβεβαίωση μόνο όπου αξίζει.
Η μετατροπή βελτιώνεται με πλήρη δεδομένα στο αίτημα ταυτοποίησης, σωστές σημάνσεις συναλλαγών, εγγενές SDK εφαρμογής αντί για web view, αιτήματα εξαίρεσης μέσω αποδέκτη με χαμηλό ποσοστό απάτης και άμεση επανάληψη με ταυτοποίηση μετά από ήπια απόρριψη. Μετράτε χωριστά το ποσοστό χωρίς τριβή, το ποσοστό επιτυχίας των επιβεβαιώσεων και το ποσοστό έγκρισης ανά χώρα εκδότη· ένα ενιαίο συνολικό νούμερο έγκρισης κρύβει πού εγκαταλείπουν οι αγοραστές.
Πώς προσθέτετε το 3D Secure 2 μέσω του OrsunPay;
Το OrsunPay είναι τεχνική υπηρεσία πάνω από τους δικούς σας λογαριασμούς PSP και αποδέκτη. Με το hosted checkout, τα στοιχεία της κάρτας και η ροή 3D Secure εκτελούνται στη δική του διεπαφή του PSP, επομένως η ταυτοποίηση, τα αιτήματα εξαίρεσης και οι κανόνες ευθύνης είναι αυτοί της σύμβασής σας με αυτόν τον PSP. Η δρομολόγηση βάσει κινδύνου και μια ενσωμάτωση RiskCogs βρίσκονται στον χάρτη πορείας και δεν είναι διαθέσιμες σήμερα.
Συχνές ερωτήσεις
Τι σημαίνει SCA required σε μια απορριφθείσα πληρωμή;
Ο εκδότης απέρριψε την πληρωμή επειδή αναμενόταν ισχυρή ταυτοποίηση πελάτη και η πληρωμή έφτασε χωρίς αυτήν ή με εξαίρεση που δεν αποδέχθηκε. Είναι ήπια απόρριψη: η επανάληψη της ίδιας πληρωμής με ταυτοποίηση 3D Secure συνήθως πετυχαίνει.
Ποιες είναι οι απαιτήσεις SCA βάσει PSD2;
Μια ηλεκτρονική πληρωμή που ξεκινά ο πληρωτής πρέπει να ταυτοποιείται με δύο από τρεις ανεξάρτητους παράγοντες: κάτι που ο πελάτης γνωρίζει, έχει ή είναι. Για τις εξ αποστάσεως πληρωμές, ο κωδικός ταυτοποίησης πρέπει να συνδέεται επίσης με το ακριβές ποσό και τον δικαιούχο.
Τι είναι η PSD2;
Η PSD2 είναι η Οδηγία (ΕΕ) 2015/2366, η δεύτερη Οδηγία για τις υπηρεσίες πληρωμών. Εισήγαγε την ισχυρή ταυτοποίηση πελάτη, άνοιξε τους τραπεζικούς λογαριασμούς σε αδειοδοτημένους τρίτους παρόχους μέσω του open banking και έθεσε κανόνες για τα ιδρύματα πληρωμών σε όλο τον ΕΟΧ.
Είναι υποχρεωτικό το 3D Secure 2 εκτός Ευρώπης;
Δεν υπάρχει γενική νομική υποχρέωση στις Ηνωμένες Πολιτείες, αλλά υπάρχουν κανόνες τύπου SCA σε αγορές όπως η Ινδία, και τα δίκτυα καρτών ενθαρρύνουν το 3DS παντού. Εκτός ΕΟΧ οι έμποροι το χρησιμοποιούν συνήθως επιλεκτικά, για να αποκτήσουν τη μεταφορά ευθύνης για απάτη.
Χρειάζονται οι συνδρομές SCA σε κάθε πληρωμή;
Όχι. Η πρώτη πληρωμή, όπου ο αγοραστής συμφωνεί την εντολή, χρειάζεται SCA. Οι επόμενες χρεώσεις του ίδιου ποσού μπορούν να χρησιμοποιήσουν την εξαίρεση για επαναλαμβανόμενες πληρωμές, και οι μεταβλητές χρεώσεις που ξεκινά ο έμπορος είναι εκτός πεδίου εφαρμογής ως συναλλαγές που ξεκινά ο έμπορος.
Ισχύει η SCA για τις πληρωμές open banking;
Ναι. Μια πληρωμή που ξεκινά μέσω υπηρεσίας εκκίνησης πληρωμής ταυτοποιείται με SCA από την τράπεζα του αγοραστή, συνήθως στην εφαρμογή της. Γι' αυτό τα checkout τύπου pay by bank δεν έχουν ξεχωριστό βήμα 3D Secure.