3D Secure 2 un SCA saskaņā ar PSD2: izņēmumi, atbildības pāreja un konversija

Kas ir 3D Secure 2 un kā tas saistīts ar SCA?

Stingrā klienta autentifikācija ir tiesību akta prasība: saskaņā ar PSD2 maksātāja tiešsaistē uzsāktais maksājums jāapstiprina ar diviem neatkarīgiem faktoriem, un autentifikācijas kodam jābūt dinamiski saistītam ar summu un maksājuma saņēmēju. 3D Secure 2 ir tehniskais standarts, ko uztur EMVCo un ko karšu tīkli izmanto šīs prasības izpildei. Pircēji to redz zem shēmu zīmoliem, piemēram, Visa Secure, Mastercard Identity Check, American Express SafeKey un Cartes Bancaires FAST'R.

3D Secure pirmā versija katru pircēju pāradresēja uz bankas paroles lapu. Otrā versija apmainās ar vairāk nekā 100 datu elementiem par ierīci, pasūtījumu un kontu, tāpēc izdevējs lielāko daļu maksājumu var apstiprināt, neko nerādot pircējam, un apstiprinājuma pieprasījumu, parasti bankas lietotnē, atstāt riskantiem maksājumiem. Tā atbalsta arī dabiskās lietotņu plūsmas, ko vecais protokols nespēja.

Kad SCA ir obligāta un kuri maksājumi ir ārpus tās piemērošanas jomas?

SCA attiecas uz maksātāja uzsāktiem elektroniskiem maksājumiem, ja gan izdevējs, gan pieņēmējbanka atrodas EEZ; Apvienotā Karaliste piemēro tos pašus noteikumus ar savu regulēšanas tehnisko standartu versiju. ES interneta veikalam tas aptver gandrīz katru pirmo kartes maksājumu, katru vienreizējo norēķinu un katru saglabātās kartes pilnvaras izmaiņu.

Vairāki darījumu veidi ir pilnībā ārpus pienākuma, un tas atšķiras no izņēmuma: autentifikācija likumā nav nepieciešama, taču izdevējs joprojām var atteikt maksājumu. Šos darījumus autorizācijas ziņojumā jānorāda pareizi, jo nepareizs karogs bieži izraisa mīkstu atteikumu "SCA required".

• Tirgotāja iniciēti darījumi (MIT): abonementi ar mainīgu summu, atliktie maksājumi un neierašanās maksa, ja pilnvara izveidota ar SCA
• Pasta un telefona pasūtījumu (MOTO) maksājumi, kuros kartes datus tiešsaistē neievada pircējs
• Maksājumi ar vienu pusi ārpus EEZ, kad izdevējs vai pieņēmējbanka atrodas ārpus EEZ; SCA piemēro pēc labākās rīcības principa
• Maksājuma saņēmēja uzsāktie maksājumi no tiešā debeta pilnvaras, piemēram, SEPA tiešais debets

Kādus SCA izņēmumus var izmantot tirgotāji?

Izņēmumi nav obligāti: tos var piemērot pieņēmējbanka vai izdevējs, un pēdējo vārdu vienmēr saka izdevējs. Ja tas izņēmumu noraida, tas atgriež mīkstu atteikumu (Visa atbildes kods 1A, Mastercard 65), un maksājums jāatkārto ar autentifikāciju. Tabulā apkopoti Deleģētās regulas (ES) 2018/389 izņēmumi, kas svarīgi tiešsaistes tirdzniecībai.

Darījumu riska analīze ir vērtīgākais izņēmums tirgotājiem ar zemu krāpšanas līmeni, jo tā aptver grozus līdz 500 €. Svarīgs ir tā PSP krāpšanas līmenis, kas izņēmumu piemēro, aprēķināts 90 dienās, tāpēc pieņēmējbanka ar tīru portfeli var to pieprasīt jūsu vārdā.

Kā darbojas autentifikācija bez berzes un apstiprinājuma plūsma?

Tirgotāja 3DS serveris, ko parasti uztur PSP, nosūta autentifikācijas pieprasījumu caur karšu shēmas direktoriju serveri izdevēja piekļuves kontroles serverim. Izdevējs novērtē pieprasījumu pēc ierīces, pasūtījuma un konta datiem un atbild apmēram sekundes laikā.

Ja risks ir zems, maksājums tiek autentificēts bez berzes un pircējs neredz neko. Pretējā gadījumā izdevējs atver apstiprinājuma pieprasījumu: push paziņojumu bankas lietotnē, biometrisko pārbaudi vai vienreizējo kodu. Abos gadījumos rezultāts un kriptogramma tiek nodoti autorizācijai, lai izdevējs redzētu, ka SCA ir veikta.

1. Datu savākšana Norēķinu lapa savāc pārlūka vai lietotnes datus, norēķinu un piegādes informāciju un pircēja konta vēsturi.
2. Autentifikācija 3DS serveris nosūta pieprasījumu; izdevējs atbild ar autentifikāciju bez berzes, apstiprinājuma pieprasījumu vai noraidījumu.
3. Autorizācija Autentifikācijas rezultāts un kriptogramma kopā ar autorizācijas pieprasījumu nonāk pie izdevēja.

Kas ir 3D Secure atbildības pāreja?

Kad maksājums ir sekmīgi autentificēts ar 3D Secure, atbildība par krāpšanas apstrīdēšanām (chargeback), piemēram, Visa iemeslu kodu 10.4 vai Mastercard 4837, no tirgotāja pāriet izdevējam. Vairumā gadījumu tas attiecas arī uz situāciju, kad tirgotājs mēģināja autentificēt, bet izdevējs nebija pieejams.

Pāreja neattiecas uz strīdiem, kas nav saistīti ar krāpšanu, piemēram, prece nav saņemta vai neatbilst aprakstam, un tā tiek zaudēta, ja izņēmums tiek piemērots pieņēmējbankas pusē: jūs iegūstat konversiju, bet saglabājat krāpšanas risku. Tāpēc tirgotāji TRA piemēro selektīvi, piemēram, atkārtotiem klientiem un zema riska grozam, bet pārējos maksājumus virza uz autentifikāciju.

Kā 3D Secure 2 ietekmē norēķinu konversiju?

Katrs apstiprinājuma pieprasījums pievieno soli, kurā pircējs var pamest pirkumu vai neizturēt pārbaudi, it īpaši, ja bankas lietotne ir citā ierīcē. EBI un ECB 2025. gada decembrī ziņoja, ka ar SCA autentificēti kartes maksājumi joprojām ir mazāk pakļauti krāpšanai, tāpēc mērķis nav izvairīties no SCA, bet pieprasīt apstiprinājumu tikai tur, kur tas atmaksājas.

Konversija uzlabojas, ja autentifikācijas pieprasījumā ir pilni dati, darījumu karogi ir pareizi, tiek izmantots dabiskais lietotnes SDK, nevis tīmekļa skats, izņēmumus pieprasa caur pieņēmējbanku ar zemu krāpšanas līmeni un pēc mīksta atteikuma maksājumu uzreiz atkārto ar autentifikāciju. Frictionless, apstiprinājuma sekmīguma un autorizācijas rādītājus mēriet atsevišķi pa izdevēju valstīm; viens apvienots apstiprināšanas rādītājs slēpj, kur pircēji aiziet.

Kā pievienot 3D Secure 2 ar OrsunPay?

OrsunPay ir tehnisks pakalpojums virs tirgotāja paša PSP un pieņēmējbankas kontiem. Izmantojot tā mitināto norēķinu lapu, kartes dati un 3D Secure plūsma darbojas paša PSP saskarnē, tāpēc autentifikāciju, izņēmumu pieprasījumus un atbildības noteikumus nosaka jūsu līgums ar šo PSP. Uz risku balstīta maršrutēšana un RiskCogs integrācija ir ceļvedī, un šobrīd nav pieejamas.