Gidai
3D Secure 2 ir SCA pagal PSD2: išimtys, atsakomybės perkėlimas ir konversija
3D Secure 2 (EMV 3DS) yra kortelių schemų protokolas, leidžiantis kortelę išdavusiam bankui patvirtinti internetu atliekamo mokėjimo kortele mokėtoją. Per jį ES ir Jungtinės Karalystės prekybininkai įvykdo PSD2 griežto kliento tapatybės nustatymo (SCA) reikalavimą. Išdavėjas mažos rizikos mokėjimus patvirtina be trinties pagal bendrinamus duomenis, o likusiems taiko papildomą patvirtinimą. Patvirtinus tapatybę, atsakomybė už sukčiavimo užginčijimus pereina išdavėjui, o išimtys, pavyzdžiui, mažos vertės ir TRA, sumažina papildomų patvirtinimų skaičių.
Trumpai
| SCA teisinis pagrindas | PSD2 (Direktyva (ES) 2015/2366) 97 straipsnis ir Deleguotojo reglamento (ES) 2018/389 techniniai reguliavimo standartai; EEE e-prekybai kortelėmis taikoma nuo 2020 m. gruodžio 31 d. |
|---|---|
| Autentifikavimo veiksniai | Du iš trijų: žinojimas (PIN, slaptažodis), turėjimas (telefonas, kortelė) ir būdingumas (piršto antspaudas, veidas) |
| Mažos vertės išimtis | Iki 30 € už mokėjimą; SCA vėl taikomas po 100 € bendros sumos arba 5 iš eilės išimtimi atliktų mokėjimų |
| TRA išimties lygiai | Iki 100 €, 250 € arba 500 €, jei PSP nuotolinių kortelių sukčiavimo lygis neviršija 0,13 %, 0,06 % arba 0,01 % |
| Dabartinės protokolo versijos | EMV 3DS 2.2.0 ir 2.3.1; kortelių schemos 2.1.0 versiją nutraukė 2024 m. |
| Kortelių sukčiavimas už EEE ribų | 17 kartų didesnis, kai gavėjas yra už EEE ribų ir SCA dažnai netaikomas (EBI ir ECB, 2025 m. gruodis) |
Kas yra 3D Secure 2 ir kaip jis susijęs su SCA?
Griežtas kliento tapatybės nustatymas yra teisinis reikalavimas: pagal PSD2 mokėtojo internetu inicijuotas mokėjimas turi būti patvirtintas dviem nepriklausomais veiksniais, o autentifikavimo kodas turi būti dinamiškai susietas su suma ir gavėju. 3D Secure 2 yra EMVCo prižiūrimas techninis standartas, kurį kortelių tinklai naudoja šiam reikalavimui įvykdyti. Pirkėjai jį mato pagal schemų prekių ženklus, pavyzdžiui, Visa Secure, Mastercard Identity Check, American Express SafeKey ir Cartes Bancaires FAST'R.
Pirmoji 3D Secure versija kiekvieną pirkėją nukreipdavo į banko slaptažodžio puslapį. Antroji versija keičiasi daugiau nei 100 duomenų elementų apie įrenginį, užsakymą ir paskyrą, todėl išdavėjas gali patvirtinti daugumą mokėjimų nieko nerodydamas, o papildomą patvirtinimą, paprastai banko programėlėje, palikti rizikingiems mokėjimams. Ji taip pat palaiko vietinius programėlių srautus, kurių senasis protokolas nepalaikė.
Kada SCA reikalingas ir kurie mokėjimai nepatenka į taikymo sritį?
SCA taikomas mokėtojo inicijuotiems elektroniniams mokėjimams, kai ir išdavėjas, ir ekvairis yra EEE; Jungtinė Karalystė taiko tas pačias taisykles per savo techninių reguliavimo standartų versiją. ES internetinei parduotuvei tai apima beveik visus pirmuosius mokėjimus kortele, visus vienkartinius atsiskaitymus ir kiekvieną išsaugotos kortelės įgaliojimo pakeitimą.
Kelios operacijų rūšys visiškai nepatenka į pareigą, o tai skiriasi nuo išimties: autentifikavimo teisiškai nereikalaujama, bet išdavėjas vis tiek gali atmesti. Autorizacijos pranešime juos pažymėkite teisingai, nes neteisinga žymė yra dažna švelnaus atmetimo „reikalingas SCA“ priežastis.
- Prekybininko inicijuotos operacijos (MIT): kintamos sumos prenumeratos, atidėti mokesčiai ir neatvykimo mokesčiai, jei įgaliojimas suteiktas su SCA
- Užsakymai paštu ir telefonu (MOTO), kai pirkėjas kortelės duomenų internete neįveda
- Vienos kojos už EEE ribų mokėjimai, kai išdavėjas arba ekvairis yra už EEE ribų; SCA taikomas geriausių pastangų principu
- Gavėjo inicijuoti mokėjimai pagal tiesioginio debeto įgaliojimą, pavyzdžiui, SEPA tiesioginis debetas
Kokias SCA išimtis gali taikyti prekybininkai?
Išimtys yra neprivalomos: jas gali taikyti ekvairis arba išdavėjas, o paskutinis žodis visada priklauso išdavėjui. Jei išdavėjas išimties nepriima, jis grąžina švelnų atmetimą (Visa atsakymo kodas 1A, Mastercard 65) ir mokėjimą reikia kartoti su autentifikavimu. Lentelėje apibendrintos Deleguotojo reglamento (ES) 2018/389 išimtys, svarbios pardavimui internetu.
Operacijos rizikos analizė yra vertingiausia mažo sukčiavimo lygio prekybininkams, nes apima krepšelius iki 500 €. Skaičiuojamas išimtį taikančio PSP sukčiavimo lygis per 90 dienų, todėl ekvairis su švariu portfeliu gali jos prašyti jūsų vardu.
| Išimtis | RTS straipsnis | Sąlyga | Kas taiko | Atsakomybė už sukčiavimą |
|---|---|---|---|---|
| Maža vertė | 16 straipsnis | Iki 30 €; SCA po 100 € bendros sumos arba 5 mokėjimų nuo paskutinio SCA | Ekvairis arba išdavėjas; skaitiklį tvarko išdavėjas | Išimtį pritaikiusi šalis |
| Operacijos rizikos analizė (TRA) | 18 straipsnis | Iki 100 €, 250 € arba 500 € esant 0,13 %, 0,06 % arba 0,01 % sukčiavimo lygiui | Ekvairis arba išdavėjas pagal savo sukčiavimo lygį | Išimtį pritaikiusi šalis |
| Patikimas gavėjas | 13 straipsnis | Pirkėjas su SCA prideda prekybininką į išdavėjo patikimų gavėjų sąrašą | Išdavėjas | Išdavėjas |
| Pasikartojantis, ta pati suma | 14 straipsnis | Vienodų mokėjimų serija tam pačiam gavėjui; SCA pirmam mokėjimui | Išdavėjas | Išdavėjas |
| Saugus įmonių mokėjimas | 17 straipsnis | Specialūs įmonių procesai, pavyzdžiui, centralizuotos arba virtualios kelionių kortelės | Išdavėjas, kurį patvirtino jo priežiūros institucija | Išdavėjas |
| Prekybininko inicijuotas (už taikymo srities ribų) | Ne išimtis | Įgaliojimas suteiktas su SCA; vėlesnius mokesčius inicijuoja prekybininkas | Prekybininkas pažymi per ekvairį | Prekybininko pusė |
Kaip veikia srautas be trinties ir papildomo patvirtinimo srautas?
Prekybininko 3DS serveris, paprastai valdomas PSP, siunčia autentifikavimo užklausą per kortelių schemos katalogo serverį į išdavėjo prieigos kontrolės serverį. Išdavėjas įvertina užklausą pagal įrenginio, užsakymo ir paskyros duomenis ir atsako maždaug per sekundę.
Jei rizika maža, mokėjimas patvirtinamas be trinties ir pirkėjas nieko nemato. Priešingu atveju išdavėjas pateikia papildomą patvirtinimą: patvirtinimą banko programėlėje, biometrinį patikrinimą arba vienkartinį kodą. Bet kuriuo atveju rezultatas ir kriptograma perduodami autorizacijai, kad išdavėjas matytų, jog SCA atliktas.
- Duomenų rinkimas Atsiskaitymo puslapis surenka naršyklės arba programėlės duomenis, atsiskaitymo ir pristatymo duomenis bei pirkėjo paskyros istoriją.
- Autentifikavimas 3DS serveris siunčia užklausą; išdavėjas atsako: be trinties, papildomas patvirtinimas arba atmesta.
- Autorizacija Autentifikavimo rezultatas ir kriptograma kartu su autorizacijos užklausa keliauja išdavėjui.
Kas yra 3D Secure atsakomybės perkėlimas?
Kai mokėjimas sėkmingai patvirtinamas naudojant 3D Secure, atsakomybė už sukčiavimo užginčijimus, pavyzdžiui, Visa priežasties kodą 10.4 arba Mastercard 4837, pereina nuo prekybininko išdavėjui. Daugeliu atvejų tai galioja ir tada, kai prekybininkas bandė autentifikuoti, bet išdavėjas buvo nepasiekiamas.
Perkėlimas neapima ginčų ne dėl sukčiavimo, pavyzdžiui, negautų prekių arba neatitikimo aprašymui, ir prarandamas, kai išimtis taikoma ekvairio pusėje: konversiją pagerinate, bet sukčiavimo rizika lieka jums. Todėl prekybininkai TRA taiko atrankiai, pavyzdžiui, grįžtantiems klientams ir mažos rizikos krepšeliams, o likusius siunčia autentifikuoti.
Kaip 3D Secure 2 veikia atsiskaitymo konversiją?
Kiekvienas papildomas patvirtinimas prideda žingsnį, kuriame pirkėjas gali pasitraukti arba suklysti, ypač kai banko programėlė yra kitame įrenginyje. EBI ir ECB 2025 m. gruodį pranešė, kad SCA patvirtinti mokėjimai kortele išlieka mažiau pažeidžiami sukčiavimo, todėl tikslas yra ne vengti SCA, o taikyti papildomą patvirtinimą tik ten, kur tai apsimoka.
Konversiją gerina pilni autentifikavimo užklausos duomenys, teisingos operacijų žymės, vietinis programėlės SDK vietoj žiniatinklio rodinio, išimčių prašymas per mažo sukčiavimo lygio ekvairį ir tiesioginis pakartojimas su autentifikavimu po švelnaus atmetimo. Atskirai matuokite srauto be trinties dalį, papildomo patvirtinimo sėkmės rodiklį ir autorizacijos lygį pagal išdavėjo šalį; vienas bendras patvirtinimo rodiklis paslepia, kur pirkėjai pasitraukia.
Kaip pridėti 3D Secure 2 per OrsunPay?
OrsunPay yra techninė paslauga prekybininko savo PSP ir ekvairio paskyrų viršuje. Naudojant talpinamą atsiskaitymo puslapį, kortelės duomenys ir 3D Secure srautas vyksta paties PSP sąsajoje, todėl autentifikavimo, išimčių prašymo ir atsakomybės taisyklės yra tos, kurios nustatytos jūsų sutartyje su tuo PSP. Rizika pagrįstas maršrutizavimas ir RiskCogs integracija yra kūrimo plane ir šiandien nepasiekiami.
Dažnai užduodami klausimai
Ką reiškia „reikalingas SCA“ atmestame mokėjime?
Išdavėjas mokėjimą atmetė, nes tikėjosi griežto kliento tapatybės nustatymo, o mokėjimas atėjo be jo arba su išimtimi, kurios jis nepriėmė. Tai švelnus atmetimas: to paties mokėjimo kartojimas su 3D Secure autentifikavimu paprastai pavyksta.
Kokie yra PSD2 SCA reikalavimai?
Mokėtojo inicijuotas elektroninis mokėjimas turi būti autentifikuotas dviem iš trijų nepriklausomų veiksnių: kažkuo, ką klientas žino, turi arba yra. Nuotoliniams mokėjimams autentifikavimo kodas taip pat turi būti susietas su tikslia suma ir gavėju.
Kas yra PSD2?
PSD2 yra Direktyva (ES) 2015/2366, antroji Mokėjimo paslaugų direktyva. Ji įvedė griežtą kliento tapatybės nustatymą, per atvirąją bankininkystę atvėrė banko sąskaitas licencijuotiems trečiųjų šalių teikėjams ir nustatė taisykles mokėjimo įstaigoms visoje EEE.
Ar 3D Secure 2 privalomas už Europos ribų?
Bendro teisinio įpareigojimo Jungtinėse Amerikos Valstijose nėra, tačiau panašios į SCA taisyklės galioja tokiose rinkose kaip Indija, o kortelių schemos skatina naudoti 3DS visur. Už EEE ribų prekybininkai jį paprastai naudoja atrankiai, kad gautų sukčiavimo atsakomybės perkėlimą.
Ar prenumeratoms SCA reikia kiekvienam mokėjimui?
Ne. Pirmam mokėjimui, kuriuo pirkėjas sutinka su įgaliojimu, SCA reikia. Vėlesniems tos pačios sumos mokesčiams galima taikyti pasikartojančio mokėjimo išimtį, o kintamos sumos prekybininko inicijuoti mokesčiai kaip prekybininko inicijuotos operacijos nepatenka į taikymo sritį.
Ar SCA taikomas atvirosios bankininkystės mokėjimams?
Taip. Per mokėjimo inicijavimo paslaugą inicijuotą mokėjimą pirkėjo bankas autentifikuoja su SCA, paprastai savo banko programėlėje. Todėl atsiskaitant per banką atskiro 3D Secure žingsnio nėra.