PSD2 SCA en 3D Secure 2: uitzonderingen, aansprakelijkheid en conversie voor webshops

Wat is 3D Secure 2 en wat is het verband met PSD2 SCA?

Sterke klantauthenticatie (SCA) is een wettelijke eis: onder PSD2 moet een online betaling die de betaler zelf start met twee onafhankelijke factoren worden bevestigd, en moet de authenticatiecode dynamisch gekoppeld zijn aan bedrag en begunstigde. 3D Secure 2 is de technische standaard van EMVCo waarmee kaartnetwerken die eis invullen. Consumenten kennen het onder merknamen als Visa Secure, Mastercard Identity Check en American Express SafeKey.

De eerste versie van 3D Secure stuurde elke klant naar een wachtwoordpagina van de bank. Versie 2 wisselt meer dan 100 gegevens uit over apparaat, bestelling en account, zodat de bank de meeste betalingen zonder zichtbare stap kan goedkeuren en alleen riskante betalingen een challenge geeft. Ook native app-flows worden ondersteund, wat met het oude protocol niet kon.

Wat is een 3D Secure-wachtwoord en bestaat het nog?

Een vast 3D Secure-wachtwoord dat de klant zelf kiest en onthoudt, voldoet niet meer aan SCA, omdat kennis dan de enige factor is. Nederlandse banken laten de klant een kaartbetaling daarom doorgaans bevestigen in de eigen bankapp, met vingerafdruk, gezichtsherkenning of pincode, of via een eenmalige code per sms. Wie nog spreekt over een 3D Secure-wachtwoord bedoelt meestal deze bevestigingsstap.

Voor een webshop is dit relevant omdat de klant de challenge afrondt in de omgeving van zijn bank, niet in uw checkout. Een betaalpagina die op een tweede apparaat of in een trage webview opent, verhoogt de kans dat de klant afhaakt.

Wanneer is SCA verplicht en welke betalingen vallen erbuiten?

SCA geldt voor elektronische betalingen die de betaler zelf start, wanneer zowel de kaartuitgever als de acquirer in de EER zit. Het Verenigd Koninkrijk past dezelfde regels toe via een eigen versie van de technische normen. Voor een Nederlandse webshop betekent dit: vrijwel elke eerste kaartbetaling, elke losse checkout en elke wijziging van een opgeslagen kaartmachtiging.

Sommige transacties vallen helemaal buiten de verplichting. Dat is iets anders dan een uitzondering: er hoeft wettelijk niet te worden geauthenticeerd, maar de bank mag de betaling nog wel weigeren. Markeer deze transacties juist in het autorisatiebericht, want een verkeerde vlag is een veelvoorkomende oorzaak van de soft decline SCA required.

• Door de winkel gestarte transacties (MIT): abonnementen met wisselende bedragen, nabetalingen en no-shows, mits de machtiging met SCA is afgegeven
• Telefonische en schriftelijke bestellingen (MOTO), waarbij de klant de kaartgegevens niet zelf online invoert
• One-leg-out-betalingen, waarbij uitgever of acquirer buiten de EER zit; SCA wordt dan naar beste vermogen toegepast
• Betalingen die de ontvanger start op basis van een incassomachtiging, zoals een SEPA-incasso

Welke SCA-uitzonderingen kunnen webshops gebruiken?

Uitzonderingen zijn optioneel: de acquirer of de uitgever mag ze toepassen en de uitgever heeft altijd het laatste woord. Weigert de uitgever een uitzondering, dan volgt een soft decline (responscode 1A bij Visa, 65 bij Mastercard) en moet de betaling opnieuw worden geprobeerd met authenticatie. De tabel vat de uitzonderingen uit Gedelegeerde Verordening (EU) 2018/389 samen die voor online verkoop van belang zijn.

Transactierisicoanalyse (TRA) is voor webshops met weinig fraude de waardevolste uitzondering, omdat zij winkelmandjes tot € 500 dekt. Bepalend is het fraudepercentage van de PSP die de uitzondering toepast, berekend over 90 dagen. Een acquirer met een schone portefeuille kan de uitzondering dus namens u aanvragen.

Hoe werken de frictionless flow en de challenge flow?

De 3DS-server van de webshop, meestal beheerd door de PSP, stuurt een authenticatieverzoek via de directory server van het kaartnetwerk naar de access control server van de uitgever. De uitgever beoordeelt het verzoek op basis van apparaat-, bestel- en accountgegevens en antwoordt binnen ongeveer een seconde.

Is het risico laag, dan wordt de betaling frictionless geauthenticeerd en ziet de klant niets. Anders opent de uitgever een challenge: een pushbevestiging in de bankapp, een biometrische controle of een eenmalige code. In beide gevallen gaan het resultaat en een cryptogram mee naar de autorisatie, zodat de uitgever kan zien dat SCA is uitgevoerd.

1. Gegevens verzamelen De checkout verzamelt browser- of appgegevens, factuur- en verzendadres en de accountgeschiedenis van de klant.
2. Authenticeren De 3DS-server verstuurt het verzoek; de uitgever antwoordt met frictionless, challenge of afgewezen.
3. Autoriseren Het authenticatieresultaat en het cryptogram gaan mee met het autorisatieverzoek naar de uitgever.

Wat is de omkering van aansprakelijkheid bij 3D Secure (liability shift)?

Wordt een betaling met 3D Secure succesvol geauthenticeerd, dan gaat de aansprakelijkheid voor fraude-chargebacks, zoals Visa-redencode 10.4 of Mastercard 4837, van de webshop over naar de uitgever. In de meeste gevallen geldt dat ook wanneer de winkel authenticatie probeerde maar de uitgever niet beschikbaar was.

De omkering dekt geen geschillen die geen fraude zijn, zoals niet ontvangen of afwijkende goederen. Bovendien vervalt zij wanneer de acquirer een uitzondering toepast: u wint conversie, maar behoudt het frauderisico. Daarom passen webshops TRA selectief toe, bijvoorbeeld voor terugkerende klanten en risicoarme mandjes, en sturen zij de rest door authenticatie.

Wat doet 3D Secure 2 met de conversie in uw checkout?

Elke challenge is een extra stap waarop een klant kan afhaken of mislukken, zeker als de bankapp op een ander apparaat staat. De EBA en de ECB meldden in december 2025 dat met SCA geauthenticeerde kaartbetalingen minder gevoelig blijven voor fraude. Het doel is dus niet SCA te mijden, maar alleen daar te challengen waar het loont.

De conversie verbetert met volledige gegevens in het authenticatieverzoek, juiste transactievlaggen, een native app-SDK in plaats van een webview, uitzonderingsverzoeken via een acquirer met een laag fraudepercentage en een directe nieuwe poging met authenticatie na een soft decline. Meet het frictionless-percentage, het slagingspercentage van challenges en het autorisatiepercentage per land van de uitgever afzonderlijk; één gemiddeld goedkeuringspercentage verbergt waar klanten afvallen.

Hoe voegt u 3D Secure 2 toe via OrsunPay?

OrsunPay is een technische dienstverlener bovenop de eigen PSP- en acquirer-accounts van de ondernemer. Met de gehoste checkout verlopen de kaartgegevens en de 3D Secure-flow in de eigen omgeving van de PSP, zodat authenticatie, uitzonderingsverzoeken en aansprakelijkheid volgen uit uw contract met die PSP. Risicogestuurde routing en de antifraudemodule RiskCogs zijn beschikbaar: risicoscores en signalen voeden de routing- en cascaderegels.