3D Secure 2 i SCA w PSD2: wyjątki, przesunięcie odpowiedzialności i konwersja

Czym jest 3D Secure 2 i jak wiąże się z SCA?

Silne uwierzytelnianie klienta jest wymogiem prawnym: według PSD2 płatność zainicjowana przez płatnika online musi zostać potwierdzona dwoma niezależnymi elementami, a kod uwierzytelniający musi być dynamicznie powiązany z kwotą i odbiorcą. 3D Secure 2 to standard techniczny rozwijany przez EMVCo, za pomocą którego organizacje kartowe realizują ten obowiązek. Klienci znają go pod markami Visa Secure, Mastercard Identity Check i American Express SafeKey.

Pierwsza wersja 3D Secure kierowała każdego kupującego na stronę banku z hasłem. Wersja 2 przekazuje ponad 100 elementów danych o urządzeniu, zamówieniu i koncie, więc wydawca może zatwierdzić większość płatności bez żadnego komunikatu, a weryfikację, zwykle potwierdzenie w aplikacji bankowej, zostawić dla transakcji ryzykownych. Obsługuje też natywne aplikacje mobilne, czego stary protokół nie potrafił.

Kiedy SCA jest wymagane, a które płatności są poza zakresem?

SCA dotyczy płatności elektronicznych inicjowanych przez płatnika, gdy zarówno wydawca karty, jak i agent rozliczeniowy znajdują się w EOG; Wielka Brytania stosuje te same zasady we własnej wersji RTS. Dla polskiego sklepu internetowego oznacza to prawie każdą pierwszą płatność kartą, każdy jednorazowy zakup i każdą zmianę zgody na obciążanie zapisanej karty.

Część transakcji leży całkowicie poza obowiązkiem, co różni się od wyjątku: prawo nie wymaga wtedy uwierzytelnienia, ale wydawca nadal może odmówić. Oznacz je poprawnie w komunikacie autoryzacyjnym, ponieważ błędna flaga to częsta przyczyna odmowy miękkiej z komunikatem „SCA required”.

• Transakcje inicjowane przez sprzedawcę (MIT): abonamenty ze zmienną kwotą, opóźnione obciążenia i no-show, o ile zgodę zebrano z SCA
• Zamówienia pocztowe i telefoniczne (MOTO), w których klient nie wpisuje danych karty online
• Płatności „one-leg-out”, gdy wydawca lub agent rozliczeniowy jest poza EOG; SCA stosuje się w miarę możliwości
• Płatności inicjowane przez odbiorcę na podstawie polecenia zapłaty, np. SEPA Direct Debit

Jakie wyjątki od SCA może stosować sprzedawca?

Wyjątki są opcjonalne: może je zastosować agent rozliczeniowy lub wydawca, a ostatnie słowo należy zawsze do wydawcy. Jeśli odmówi, zwraca odmowę miękką (kod odpowiedzi 1A w Visa, 65 w Mastercard), a płatność trzeba ponowić z uwierzytelnieniem. Tabela zbiera wyjątki z rozporządzenia delegowanego (UE) 2018/389, które mają znaczenie w sprzedaży online.

Analiza ryzyka transakcji jest najcenniejsza dla sprzedawców z niskim poziomem oszustw, bo obejmuje koszyki do 500 EUR. Liczy się wskaźnik oszustw PSP, który stosuje wyjątek, obliczany z 90 dni, więc agent rozliczeniowy z czystym portfelem może zażądać go w Twoim imieniu.

Jak działa przepływ bez tarcia i przepływ z wyzwaniem?

Serwer 3DS sprzedawcy, zwykle obsługiwany przez PSP, wysyła żądanie uwierzytelnienia przez serwer katalogowy organizacji kartowej do serwera kontroli dostępu wydawcy. Wydawca ocenia ryzyko na podstawie danych o urządzeniu, zamówieniu i koncie i odpowiada w około sekundę.

Przy niskim ryzyku płatność jest uwierzytelniona bez tarcia i kupujący nic nie widzi. W przeciwnym razie wydawca uruchamia wyzwanie: powiadomienie push w aplikacji banku, weryfikację biometryczną lub jednorazowy kod. W obu przypadkach wynik i kryptogram trafiają do autoryzacji, dzięki czemu wydawca widzi, że SCA zostało wykonane.

1. Zbierz dane Checkout zbiera dane przeglądarki lub aplikacji, dane rozliczeniowe i dostawy oraz historię konta kupującego.
2. Uwierzytelnij Serwer 3DS wysyła żądanie; wydawca odpowiada: bez tarcia, wyzwanie albo odrzucenie.
3. Autoryzuj Wynik uwierzytelnienia i kryptogram trafiają do wydawcy razem z żądaniem autoryzacji.

Czym jest przesunięcie odpowiedzialności w 3D Secure?

Gdy płatność zostanie pomyślnie uwierzytelniona w 3D Secure, odpowiedzialność za reklamacje z tytułu oszustwa, np. Visa o kodzie 10.4 lub Mastercard 4837, przechodzi ze sprzedawcy na wydawcę. W większości przypadków dotyczy to także sytuacji, gdy sprzedawca próbował uwierzytelnić płatność, ale wydawca był niedostępny.

Przesunięcie nie obejmuje sporów niezwiązanych z oszustwem, takich jak towar niedostarczony lub niezgodny z opisem, i znika, gdy wyjątek zastosuje agent rozliczeniowy: zyskujesz konwersję, ale ryzyko oszustwa zostaje po Twojej stronie. Dlatego sprzedawcy stosują TRA selektywnie, np. dla powracających klientów i koszyków o niskim ryzyku, a resztę kierują do uwierzytelnienia.

Jak 3D Secure 2 wpływa na konwersję w checkoutie?

Każde wyzwanie to krok, w którym kupujący może zrezygnować lub się pomylić, zwłaszcza gdy aplikacja banku jest na innym urządzeniu. EBA i EBC podały w grudniu 2025 r., że płatności kartowe uwierzytelnione silnie są mniej narażone na oszustwa, więc celem nie jest unikanie SCA, tylko wywoływanie wyzwania tam, gdzie się opłaca.

Konwersję poprawiają kompletne dane w żądaniu uwierzytelnienia, poprawne flagi transakcji, natywny SDK w aplikacji zamiast widoku webowego, wyjątki żądane przez agenta z niskim wskaźnikiem oszustw oraz natychmiastowa ponowna próba z uwierzytelnieniem po odmowie miękkiej. Mierz osobno odsetek przepływów bez tarcia, skuteczność wyzwań i wskaźnik autoryzacji według kraju wydawcy; jedna uśredniona liczba ukrywa, gdzie kupujący odpadają.

Jak SCA wygląda w Polsce: karty a BLIK?

W Polsce SCA wynika z ustawy o usługach płatniczych, która wdraża PSD2, a nadzór nad instytucjami płatniczymi sprawuje KNF. Dla kart oznacza to 3D Secure; dla najpopularniejszej metody lokalnej, BLIK, uwierzytelnienie odbywa się w aplikacji banku, więc osobny krok 3DS nie występuje. BLIK podał, że w 2025 r. zrealizowano w sklepach internetowych 1,4 mld płatności o wartości 219 mld PLN, o 20% więcej płatności niż rok wcześniej.

Dla sprzedawcy z Polski wniosek jest praktyczny: kupujący, który porzuca kartę na ekranie wyzwania, często dokończy zakup BLIK-iem, jeśli ta metoda jest widoczna obok karty. Warto więc mierzyć odsetek porzuceń na kroku 3DS osobno dla klientów z polskimi kartami i pokazywać alternatywę przed płatnością kartą, a nie po jej odrzuceniu.

Jak dodać 3D Secure 2 przez OrsunPay?

OrsunPay jest usługą techniczną działającą na własnych kontach PSP i agentów rozliczeniowych sprzedawcy. W hostowanym checkoucie dane karty i przepływ 3D Secure odbywają się w interfejsie PSP, więc uwierzytelnianie, wnioski o wyjątki i zasady odpowiedzialności wynikają z Twojej umowy z tym PSP. Routing oparty na ryzyku i integracja z RiskCogs są w planach i nie są dziś dostępne.