Guide
3D Secure 2 e SCA (PSD2): esenzioni, trasferimento di responsabilità, conversione
3D Secure 2 (EMV 3DS) è il protocollo dei circuiti con cui la banca emittente autentica un pagamento online con carta, e il modo in cui gli esercenti dell'UE e del Regno Unito rispettano l'autenticazione forte (SCA) della PSD2. L'emittente approva senza attrito i pagamenti a basso rischio e verifica gli altri. I pagamenti autenticati trasferiscono all'emittente la responsabilità per i chargeback da frode; le esenzioni riducono le verifiche.
In sintesi
| Base giuridica della SCA | Articolo 97 della PSD2 (Direttiva (UE) 2015/2366) e norme tecniche di regolamentazione del Regolamento delegato (UE) 2018/389, applicate dal 31 dicembre 2020 all'e-commerce con carta nello SEE |
|---|---|
| Fattori di autenticazione | Due su tre: conoscenza (PIN, password), possesso (telefono, carta) e inerenza (impronta digitale, volto) |
| Esenzione per importi di basso valore | Fino a 30 € per pagamento; nuova SCA dopo 100 € cumulati o 5 pagamenti consecutivi esentati |
| Fasce dell'esenzione TRA | Fino a 100 €, 250 € o 500 € se il tasso di frode del PSP sui pagamenti a distanza con carta resta pari o inferiore a 0,13 %, 0,06 % o 0,01 % |
| Versioni attuali del protocollo | EMV 3DS 2.2.0 e 2.3.1; la versione 2.1.0 è stata dismessa dai circuiti nel 2024 |
| Frodi con carta fuori dallo SEE | 17 volte più elevate quando il beneficiario è fuori dallo SEE, dove la SCA spesso non è applicata (ABE e BCE, dicembre 2025) |
Che cos'è 3D Secure 2 e che rapporto ha con la SCA?
L'autenticazione forte del cliente è un obbligo di legge: secondo la PSD2, un pagamento avviato online dal pagatore deve essere confermato con due fattori indipendenti, e il codice di autenticazione deve essere collegato dinamicamente all'importo e al beneficiario. 3D Secure 2 è lo standard tecnico, gestito da EMVCo, con cui i circuiti di carte soddisfano questo obbligo. I clienti lo incontrano con marchi come Visa Secure, Mastercard Identity Check, American Express SafeKey e Cartes Bancaires FAST'R.
La prima versione di 3D Secure mandava ogni cliente a una pagina con password della banca. La versione 2 scambia oltre 100 elementi di dati su dispositivo, ordine e conto, così l'emittente può approvare la maggior parte dei pagamenti senza mostrare nulla e riservare una verifica, di solito la conferma nell'app della banca, ai pagamenti rischiosi. Supporta inoltre i flussi nativi nelle app, cosa che il vecchio protocollo non faceva.
Quando è richiesta la SCA e quali pagamenti sono fuori ambito?
La SCA si applica ai pagamenti elettronici avviati dal pagatore quando sia l'emittente sia l'acquirer si trovano nello SEE; il Regno Unito applica le stesse regole con una propria versione delle norme tecniche. Per un negozio online dell'UE ciò riguarda quasi ogni primo pagamento con carta, ogni checkout una tantum e ogni modifica di un mandato su carta memorizzata.
Alcuni tipi di transazione sono del tutto fuori dall'obbligo, il che è diverso da un'esenzione: la legge non richiede l'autenticazione, ma l'emittente può comunque rifiutare. Indichi correttamente questi casi nel messaggio di autorizzazione, perché un indicatore sbagliato è una causa frequente del soft decline "SCA required".
- Operazioni avviate dall'esercente (MIT): abbonamenti con importi variabili, addebiti differiti e mancate presentazioni, purché il mandato sia stato impostato con SCA
- Pagamenti per corrispondenza o telefono (MOTO), in cui i dati della carta non sono inseriti online dal cliente
- Pagamenti one-leg-out, in cui l'emittente o l'acquirer si trova fuori dallo SEE; la SCA si applica secondo il criterio del massimo impegno
- Pagamenti avviati dal beneficiario sulla base di un mandato di addebito diretto, come l'addebito diretto SEPA
Quali esenzioni SCA possono usare gli esercenti?
Le esenzioni sono facoltative: l'acquirer o l'emittente possono applicarle, e l'emittente ha sempre l'ultima parola. Se rifiuta un'esenzione, restituisce un soft decline (codice di risposta 1A per Visa, 65 per Mastercard) e il pagamento va ritentato con autenticazione. La tabella riassume le esenzioni del Regolamento delegato (UE) 2018/389 rilevanti per le vendite online.
L'analisi del rischio della transazione è l'esenzione più preziosa per gli esercenti con poche frodi, perché copre carrelli fino a 500 €. Conta il tasso di frode del PSP che applica l'esenzione, calcolato su 90 giorni, quindi un acquirer con un portafoglio pulito può richiederla per Suo conto.
| Esenzione | Articolo delle RTS | Condizione | Chi la applica | Responsabilità per frode |
|---|---|---|---|---|
| Importo di basso valore | Articolo 16 | Fino a 30 €; SCA dopo 100 € cumulati o 5 pagamenti dall'ultima SCA | Acquirer o emittente; il contatore è dell'emittente | Parte che ha applicato l'esenzione |
| Analisi del rischio della transazione (TRA) | Articolo 18 | Fino a 100 €, 250 € o 500 € con un tasso di frode di 0,13 %, 0,06 % o 0,01 % | Acquirer o emittente, in base al proprio tasso di frode | Parte che ha applicato l'esenzione |
| Beneficiario di fiducia | Articolo 13 | Il cliente aggiunge l'esercente a un elenco presso l'emittente, con SCA | Emittente | Emittente |
| Ricorrente, stesso importo | Articolo 14 | Serie di pagamenti uguali allo stesso beneficiario; SCA sul primo | Emittente | Emittente |
| Pagamento aziendale sicuro | Articolo 17 | Processi aziendali dedicati, come carte di viaggio centralizzate o virtuali | Emittente, accettata dalla propria autorità | Emittente |
| Avviata dall'esercente (fuori ambito) | Non è un'esenzione | Mandato concordato con SCA; addebiti successivi avviati dall'esercente | L'esercente la segnala tramite l'acquirer | Lato esercente |
Come funzionano il flusso frictionless e il flusso con challenge?
Il server 3DS dell'esercente, di solito gestito dal PSP, invia una richiesta di autenticazione tramite il directory server del circuito al server di controllo degli accessi dell'emittente. L'emittente valuta la richiesta con i dati su dispositivo, ordine e conto e risponde in circa un secondo.
Se il rischio è basso, il pagamento è autenticato senza attrito e il cliente non vede nulla. Altrimenti l'emittente apre una challenge: una conferma push nell'app della banca, un controllo biometrico o un codice monouso. In entrambi i casi il risultato e un crittogramma passano all'autorizzazione, così l'emittente vede che la SCA è stata eseguita.
- Raccogliere i dati Il checkout raccoglie i dati del browser o dell'app, i dati di fatturazione e spedizione e lo storico dell'account del cliente.
- Autenticare Il server 3DS invia la richiesta; l'emittente risponde con frictionless, challenge o rifiuto.
- Autorizzare Il risultato dell'autenticazione e il crittogramma viaggiano con la richiesta di autorizzazione verso l'emittente.
Che cos'è il trasferimento di responsabilità di 3D Secure?
Quando un pagamento è autenticato con successo tramite 3D Secure, la responsabilità per i chargeback da frode, come il codice motivo Visa 10.4 o Mastercard 4837, passa dall'esercente all'emittente. Nella maggior parte dei casi vale anche quando l'esercente ha tentato l'autenticazione ma l'emittente non era disponibile.
Il trasferimento non copre le contestazioni non legate a frodi, come merce non ricevuta o non conforme, e si perde quando un'esenzione è applicata dall'acquirer: si guadagna in conversione ma si mantiene il rischio di frode. Per questo gli esercenti applicano la TRA in modo selettivo, per esempio ai clienti abituali e ai carrelli a basso rischio, e inviano il resto all'autenticazione.
Come incide 3D Secure 2 sulla conversione del checkout?
Ogni challenge aggiunge un passaggio in cui il cliente può abbandonare o fallire, soprattutto se l'app della banca è su un altro dispositivo. L'ABE e la BCE hanno riferito a dicembre 2025 che i pagamenti con carta autenticati con SCA restano meno esposti alle frodi: l'obiettivo non è evitare la SCA, ma richiederla solo dove conviene.
La conversione migliora con dati completi nella richiesta di autenticazione, indicatori di transazione corretti, un SDK nativo per le app al posto di una web view, richieste di esenzione tramite un acquirer con basso tasso di frode e un nuovo tentativo immediato con autenticazione dopo un soft decline. Misuri separatamente tasso di frictionless, tasso di successo delle challenge e tasso di autorizzazione per paese dell'emittente: una sola cifra complessiva di approvazione nasconde dove i clienti abbandonano.
Come si aggiunge 3D Secure 2 tramite OrsunPay?
OrsunPay è un servizio tecnico che si appoggia ai conti PSP e acquirer propri dell'esercente. Con il checkout ospitato, i dati della carta e il flusso 3D Secure vengono gestiti nell'interfaccia del PSP, quindi autenticazione, richieste di esenzione e regole di responsabilità sono quelle del Suo contratto con quel PSP. Il routing basato sul rischio e un'integrazione con RiskCogs sono in programma e oggi non sono disponibili.
Domande frequenti
Che cosa significa SCA required su un pagamento rifiutato?
L'emittente ha rifiutato il pagamento perché si aspettava l'autenticazione forte del cliente e il pagamento è arrivato senza di essa, o con un'esenzione che non ha accettato. È un soft decline: ritentare lo stesso pagamento con l'autenticazione 3D Secure di solito va a buon fine.
Quali sono i requisiti SCA della PSD2?
Un pagamento elettronico avviato dal pagatore deve essere autenticato con due fattori indipendenti su tre: qualcosa che il cliente conosce, possiede o è. Per i pagamenti a distanza, il codice di autenticazione deve inoltre essere collegato all'importo esatto e al beneficiario.
Che cos'è la PSD2?
La PSD2 è la Direttiva (UE) 2015/2366, la seconda direttiva sui servizi di pagamento. Ha introdotto l'autenticazione forte del cliente, ha aperto i conti bancari a prestatori terzi autorizzati tramite l'open banking e ha fissato le regole per gli istituti di pagamento in tutto lo SEE.
3D Secure 2 è obbligatorio anche fuori dall'Europa?
Negli Stati Uniti non esiste un obbligo giuridico generale, ma in mercati come l'India esistono regole simili alla SCA e i circuiti incoraggiano 3DS ovunque. Fuori dallo SEE gli esercenti lo usano di solito in modo selettivo per ottenere il trasferimento di responsabilità per frode.
Gli abbonamenti richiedono la SCA a ogni pagamento?
No. Il primo pagamento, con cui il cliente concede il mandato, richiede la SCA. Gli addebiti successivi dello stesso importo possono usare l'esenzione per pagamenti ricorrenti, e quelli variabili avviati dall'esercente sono fuori ambito come operazioni avviate dall'esercente.
La SCA si applica ai pagamenti open banking?
Sì. Un pagamento avviato tramite un servizio di disposizione di ordini di pagamento è autenticato con SCA dalla banca del cliente, di solito nella sua app. Per questo i checkout pay by bank non hanno un passaggio 3D Secure separato.