3D Secure 2 ja SCA PSD2:ssa: poikkeukset, vastuunsiirto ja konversio

Mikä on 3D Secure 2 ja miten se liittyy SCA:han?

Vahva tunnistautuminen on lakisääteinen vaatimus: PSD2:n mukaan maksajan verkossa aloittama maksu on vahvistettava kahdella toisistaan riippumattomalla tekijällä, ja todennuskoodin on oltava dynaamisesti sidottu summaan ja maksunsaajaan. 3D Secure 2 on EMVCo:n ylläpitämä tekninen standardi, jonka avulla korttiverkot täyttävät vaatimuksen. Ostajat kohtaavat sen korttiyhtiöiden tuotenimillä, kuten Visa Secure, Mastercard Identity Check, American Express SafeKey ja Cartes Bancaires FAST'R.

3D Securen ensimmäinen versio ohjasi jokaisen ostajan pankin salasanasivulle. Versio 2 vaihtaa yli 100 tietoelementtiä laitteesta, tilauksesta ja tilistä, joten issuer voi hyväksyä useimmat maksut näyttämättä mitään ja varata lisätodennuksen, yleensä vahvistuksen pankkisovelluksessa, riskialttiille maksuille. Se tukee myös natiivisovellusten kulkuja, mitä vanha protokolla ei tehnyt.

Milloin SCA vaaditaan ja mitkä maksut ovat soveltamisalan ulkopuolella?

SCA koskee maksajan aloittamia sähköisiä maksuja, kun sekä issuer että acquirer ovat ETA-alueella; Yhdistynyt kuningaskunta soveltaa samoja sääntöjä oman RTS-versionsa kautta. EU-verkkokaupassa tämä kattaa lähes jokaisen ensimmäisen korttimaksun, jokaisen kertaostoksen ja jokaisen tallennetun korttivaltuutuksen muutoksen.

Useat maksutyypit ovat velvoitteen ulkopuolella kokonaan, mikä eroaa poikkeuksesta: tunnistautumista ei vaadita lain nojalla, mutta issuer voi silti hylätä maksun. Merkitse ne oikein valtuutusviestiin, koska väärä lippu on yleinen syy pehmeään hylkäykseen ”SCA required”.

• Kauppiaan aloittamat maksut (MIT): vaihtelevan summan tilaukset, viivästetyt veloitukset ja saapumatta jättämiset, edellyttäen että valtuutus on annettu SCA:lla
• Postimyynti- ja puhelinmyyntimaksut (MOTO), joissa ostaja ei syötä korttitietoja verkossa
• One-leg-out-maksut, joissa issuer tai acquirer on ETA-alueen ulkopuolella; SCA:ta sovelletaan parhaan kyvyn mukaan
• Maksunsaajan suoraveloitusvaltuutuksen perusteella aloittamat maksut, kuten SEPA-suoraveloitus

Mitä SCA-poikkeuksia kauppiaat voivat käyttää?

Poikkeukset ovat vapaaehtoisia: acquirer tai issuer voi soveltaa niitä, ja issuerilla on aina viimeinen sana. Jos se kieltäytyy poikkeuksesta, se palauttaa pehmeän hylkäyksen (vastauskoodi 1A Visalla, 65 Mastercardilla) ja maksu on yritettävä uudelleen tunnistautumisella. Taulukko tiivistää delegoidun asetuksen (EU) 2018/389 poikkeukset, jotka ovat tärkeitä verkkokaupassa.

Transaktioriskianalyysi on arvokkain poikkeus kauppiaille, joiden petosaste on matala, koska se kattaa ostoskorit 500 euroon asti. Merkitystä on poikkeusta soveltavan maksupalvelun tarjoajan petosasteella, joka lasketaan 90 päivältä, joten acquirer, jonka salkku on puhdas, voi pyytää sitä puolestasi.

Miten kitkaton kulku ja lisätodennuskulku toimivat?

Kauppiaan 3DS-palvelin, jota yleensä ylläpitää maksupalvelun tarjoaja, lähettää todennuspyynnön korttiyhtiön hakemistopalvelimen kautta issuerin pääsynhallintapalvelimelle. Issuer pisteyttää pyynnön laite-, tilaus- ja tilitietojen perusteella ja vastaa noin sekunnissa.

Jos riski on pieni, maksu todennetaan kitkattomasti eikä ostaja näe mitään. Muuten issuer avaa lisätodennuksen (challenge): push-vahvistuksen pankkisovelluksessa, biometrisen tarkistuksen tai kertakäyttökoodin. Kummassakin tapauksessa tulos ja kryptogrammi viedään valtuutukseen, jotta issuer näkee SCA:n tehdyn.

1. Kerää tiedot Kassa kerää selaimen tai sovelluksen tiedot, laskutus- ja toimitustiedot sekä ostajan tilihistorian.
2. Todenna 3DS-palvelin lähettää pyynnön; issuer vastaa kitkaton, lisätodennus tai hylätty.
3. Valtuuta Todennuksen tulos ja kryptogrammi kulkevat valtuutuspyynnön mukana issuerille.

Mitä on 3D Securen vastuunsiirto?

Kun maksu on todennettu onnistuneesti 3D Securella, petoksiin liittyvien takaisinveloitusten vastuu, esimerkiksi Visan syykoodi 10.4 tai Mastercardin 4837, siirtyy kauppiaalta issuerille. Useimmissa tapauksissa näin on myös silloin, kun kauppias yritti todentaa mutta issuer ei ollut tavoitettavissa.

Siirto ei kata muita kuin petoksiin liittyviä riitoja, kuten tavaran saamatta jäämistä tai kuvauksesta poikkeavuutta, ja se menetetään, kun poikkeusta sovelletaan acquirerin puolella: saat konversiota mutta säilytät petosriskin. Siksi kauppiaat soveltavat TRA:ta valikoiden, esimerkiksi palaaviin asiakkaisiin ja pienen riskin ostoskoreihin, ja ohjaavat loput todennuksen kautta.

Miten 3D Secure 2 vaikuttaa kassan konversioon?

Jokainen lisätodennus lisää vaiheen, jossa ostaja voi keskeyttää tai epäonnistua, erityisesti kun pankkisovellus on toisella laitteella. EBA ja EKP raportoivat joulukuussa 2025, että SCA:lla todennetut korttimaksut ovat edelleen vähemmän alttiita petoksille, joten tavoite ei ole välttää SCA:ta vaan vaatia lisätodennus vain siellä, missä se kannattaa.

Konversio paranee, kun todennuspyynnössä on täydelliset tiedot, tapahtumalippujen merkinnät ovat oikein, käytössä on natiivi sovellus-SDK web-näkymän sijaan, poikkeuspyynnöt tehdään matalan petosasteen acquirerin kautta ja pehmeän hylkäyksen jälkeen yritetään heti uudelleen tunnistautumisella. Mittaa kitkattomien kulkujen osuus, lisätodennusten onnistumisaste ja valtuutusaste issuerin maan mukaan erikseen; yksi yhdistetty hyväksyntäluku piilottaa, missä ostajat putoavat pois.

Miten 3D Secure 2 lisätään OrsunPayn kautta?

OrsunPay on tekninen palvelu kauppiaan omien PSP- ja acquirer-tilien päällä. Hostatun kassan kanssa korttitiedot ja 3D Secure -kulku ajetaan PSP:n omassa käyttöliittymässä, joten todennus, poikkeuspyynnöt ja vastuusäännöt ovat ne, jotka kuuluvat sopimukseesi kyseisen PSP:n kanssa. Riskipohjainen reititys ja RiskCogs-integraatio ovat tiekartalla eivätkä ole vielä käytettävissä.