3D Secure 2 og SCA under PSD2: unntak, ansvarsforskyvning og konvertering

Hva er 3D Secure 2, og hvordan henger det sammen med SCA?

Sterk kundeautentisering er et lovkrav: Under PSD2 må en betaling som betaleren starter på nett, bekreftes med to uavhengige faktorer, og autentiseringskoden må være dynamisk knyttet til beløpet og mottakeren. 3D Secure 2 er den tekniske standarden som EMVCo vedlikeholder, og som kortnettverkene bruker for å oppfylle kravet. Kundene møter den under kortselskapenes merker som Visa Secure, Mastercard Identity Check, American Express SafeKey og Cartes Bancaires FAST'R.

Den første versjonen av 3D Secure sendte alle kunder til en passordside hos banken. Versjon 2 utveksler mer enn 100 dataelementer om enhet, bestilling og konto, slik at utstederen kan godkjenne de fleste betalinger uten å vise noe og reservere en utfordring, vanligvis en bekreftelse i bankappen, for de risikable. Den støtter også native appflyter, noe den gamle protokollen ikke gjorde.

Når kreves SCA, og hvilke betalinger er utenfor virkeområdet?

SCA gjelder for elektroniske betalinger som betaleren selv starter, når både utsteder og innløser ligger i EØS. Storbritannia bruker de samme reglene gjennom sin egen versjon av de tekniske standardene. For en norsk nettbutikk omfatter det nesten alle første kortbetalinger, alle enkeltkjøp og enhver endring av en lagret kortavtale.

Flere transaksjonstyper er helt utenfor forpliktelsen, noe som er noe annet enn et unntak: Det kreves ingen autentisering etter loven, men utstederen kan likevel avvise betalingen. Merk dem riktig i autorisasjonsmeldingen, for et feil flagg er en vanlig årsak til det myke avslaget "SCA required".

• Forhandlerinitierte transaksjoner (MIT): abonnementer med varierende beløp, forsinkede belastninger og uteblivelsesgebyrer, forutsatt at avtalen ble opprettet med SCA
• Post- og telefonbestillinger (MOTO), der kunden ikke selv taster inn kortopplysninger på nett
• One-leg-out-betalinger, der utsteder eller innløser ligger utenfor EØS; SCA brukes etter beste evne
• Betalinger som mottakeren starter ut fra en betalingsavtale, for eksempel SEPA-direkte belastning

Hvilke SCA-unntak kan forhandlere bruke?

Unntak er valgfrie: Innløseren eller utstederen kan bruke dem, og utstederen har alltid det siste ordet. Avviser utstederen et unntak, returnerer den et mykt avslag (svarkode 1A hos Visa, 65 hos Mastercard), og betalingen må forsøkes på nytt med autentisering. Tabellen oppsummerer unntakene i delegert forordning (EU) 2018/389 som har betydning for nettsalg.

Transaksjonsrisikoanalyse er det mest verdifulle unntaket for forhandlere med lav svindel, fordi det dekker handlekurver opptil 500 euro. Det er svindelraten hos PSP-en som bruker unntaket, beregnet over 90 dager, som teller, så en innløser med en ren portefølje kan be om det på dine vegne.

Hvordan fungerer den friksjonsfrie flyten og utfordringsflyten?

Forhandlerens 3DS-server, som vanligvis drives av PSP-en, sender en autentiseringsforespørsel gjennom kortselskapets directory server til utstederens access control server. Utstederen vurderer forespørselen ut fra enhets-, bestillings- og kontodata og svarer på rundt ett sekund.

Er risikoen lav, blir betalingen autentisert friksjonsfritt, og kunden ser ingenting. Ellers åpner utstederen en utfordring: en pushbekreftelse i bankappen, en biometrisk kontroll eller en engangskode. I begge tilfeller sendes resultatet og et kryptogram videre til autorisasjonen, slik at utstederen kan se at SCA er gjennomført.

1. Samle inn data Kassen samler inn nettleser- eller appdata, fakturerings- og leveringsopplysninger og kundens kontohistorikk.
2. Autentiser 3DS-serveren sender forespørselen; utstederen svarer friksjonsfritt, utfordring eller avvist.
3. Autoriser Autentiseringsresultatet og kryptogrammet følger med autorisasjonsforespørselen til utstederen.

Hva er ansvarsforskyvningen i 3D Secure?

Når en betaling er autentisert med 3D Secure, flyttes ansvaret for svindel-chargebacks, for eksempel Visa-årsakskode 10.4 eller Mastercard 4837, fra forhandleren til utstederen. I de fleste tilfeller gjelder det også når forhandleren har forsøkt å autentisere, men utstederen ikke var tilgjengelig.

Forskyvningen dekker ikke tvister som ikke gjelder svindel, for eksempel varer som ikke er mottatt eller ikke samsvarer med beskrivelsen, og den går tapt når et unntak brukes på innløsersiden: Du vinner konvertering, men beholder svindelrisikoen. Derfor bruker forhandlere TRA selektivt, for eksempel for tilbakevendende kunder og handlekurver med lav risiko, og sender resten gjennom autentisering.

Hvordan påvirker 3D Secure 2 konverteringen i kassen?

Hver utfordring legger til et trinn der en kunde kan avbryte eller feile, særlig når bankappen ligger på en annen enhet. EBA og ECB rapporterte i desember 2025 at SCA-autentiserte kortbetalinger fortsatt er mindre utsatt for svindel, så målet er ikke å unngå SCA, men å utfordre bare der det lønner seg.

Konverteringen forbedres med komplette data i autentiseringsforespørselen, riktige transaksjonsflagg, en native app-SDK i stedet for en webview, unntaksforespørsler gjennom en innløser med lav svindelrate og et umiddelbart nytt forsøk med autentisering etter et mykt avslag. Mål friksjonsfri andel, utfordringenes suksessrate og godkjenningsrate for hvert utstederland hver for seg; ett samlet godkjenningstall skjuler hvor kundene faller fra.

Hvordan legger du til 3D Secure 2 gjennom OrsunPay?

OrsunPay er en teknisk tjeneste oppå forhandlerens egne PSP- og innløserkontoer. Med den hostede kassen kjører kortopplysninger og 3D Secure-flyten i PSP-ens eget grensesnitt, så autentisering, unntaksforespørsler og ansvarsregler følger avtalen din med den PSP-en. Risikobasert ruting og en RiskCogs-integrasjon er på veikartet og er ikke tilgjengelige i dag.