3D Secure 2 și SCA conform PSD2: excepții, transferul răspunderii și conversia

Ce este 3D Secure 2 și cum se leagă de SCA?

Autentificarea puternică a clientului este o cerință legală: conform PSD2, o plată inițiată online de plătitor trebuie confirmată cu doi factori independenți, iar codul de autentificare trebuie legat dinamic de sumă și de beneficiar. 3D Secure 2 este standardul tehnic, întreținut de EMVCo, prin care rețelele de carduri îndeplinesc această cerință. Cumpărătorii îl văd sub denumirile schemelor, precum Visa Secure, Mastercard Identity Check, American Express SafeKey și Cartes Bancaires FAST'R.

Prima versiune de 3D Secure trimitea fiecare cumpărător către o pagină a băncii cu parolă. Versiunea 2 transmite peste 100 de elemente de date despre dispozitiv, comandă și cont, astfel că emitentul poate aproba majoritatea plăților fără să afișeze nimic și poate rezerva o confirmare, de obicei în aplicația bancară, pentru plățile riscante. Versiunea 2 acceptă și fluxuri native în aplicații, lucru pe care protocolul vechi nu îl făcea.

Când este necesară SCA și care plăți sunt în afara domeniului?

SCA se aplică plăților electronice inițiate de plătitor atunci când atât emitentul, cât și acceptatorul se află în SEE; Regatul Unit aplică aceleași reguli printr-o versiune proprie a RTS. Pentru un magazin online din UE, aceasta acoperă aproape fiecare primă plată cu cardul, fiecare checkout unic și fiecare modificare a unui mandat de card salvat.

Mai multe tipuri de tranzacții se află complet în afara obligației, ceea ce diferă de o excepție: nu este necesară legal nicio autentificare, dar emitentul poate totuși refuza plata. Marcați corect aceste tranzacții în mesajul de autorizare, deoarece un marcaj greșit este o cauză frecventă a refuzului „soft” „SCA required”.

• Tranzacții inițiate de comerciant (MIT): abonamente cu sume variabile, taxe amânate și neprezentări, cu condiția ca mandatul să fi fost stabilit cu SCA
• Plăți prin comandă prin poștă și telefon (MOTO), în care cumpărătorul nu introduce online datele cardului
• Plăți „one-leg-out”, în care emitentul sau acceptatorul se află în afara SEE; SCA se aplică în regim de cel mai bun efort
• Plăți inițiate de beneficiar pe baza unui mandat de debit direct, precum SEPA Direct Debit

Ce excepții de la SCA pot folosi comercianții?

Excepțiile sunt opționale: acceptatorul sau emitentul le poate aplica, iar emitentul are întotdeauna ultimul cuvânt. Dacă refuză o excepție, returnează un refuz „soft” (codul de răspuns 1A la Visa, 65 la Mastercard), iar plata trebuie reîncercată cu autentificare. Tabelul rezumă excepțiile din Regulamentul delegat (UE) 2018/389 care contează pentru vânzările online.

Analiza riscului tranzacției este cea mai valoroasă excepție pentru comercianții cu fraudă redusă, deoarece acoperă coșuri de până la 500 €. Rata care contează este rata de fraudă a PSP-ului care aplică excepția, calculată pe 90 de zile, așa că un acceptator cu un portofoliu curat o poate solicita în numele dumneavoastră.

Cum funcționează fluxul fără fricțiune și fluxul cu confirmare?

Serverul 3DS al comerciantului, de obicei operat de PSP, trimite o cerere de autentificare prin serverul de directoare al schemei de carduri către serverul de control al accesului al emitentului. Emitentul evaluează cererea pe baza datelor despre dispozitiv, comandă și cont și răspunde în aproximativ o secundă.

Dacă riscul este redus, plata este autentificată fără fricțiune, iar cumpărătorul nu vede nimic. Altfel, emitentul deschide o confirmare: o notificare push în aplicația bancară, o verificare biometrică sau un cod unic. În ambele cazuri, rezultatul și o criptogramă sunt transmise la autorizare, astfel încât emitentul vede că SCA a fost efectuată.

1. Colectarea datelor Checkout-ul adună datele browserului sau ale aplicației, datele de facturare și livrare și istoricul contului cumpărătorului.
2. Autentificarea Serverul 3DS trimite cererea; emitentul răspunde fără fricțiune, cu confirmare sau respins.
3. Autorizarea Rezultatul autentificării și criptograma însoțesc cererea de autorizare către emitent.

Ce este transferul răspunderii în 3D Secure?

Când o plată este autentificată cu succes prin 3D Secure, răspunderea pentru chargeback-urile de fraudă, precum codul de motiv Visa 10.4 sau Mastercard 4837, trece de la comerciant la emitent. În cele mai multe cazuri, aceasta se aplică și atunci când comerciantul a încercat autentificarea, dar emitentul nu era disponibil.

Transferul nu acoperă litigiile care nu țin de fraudă, precum bunuri nelivrate sau nerespectarea descrierii, și se pierde atunci când o excepție este aplicată de acceptator: câștigați în conversie, dar păstrați riscul de fraudă. De aceea comercianții aplică TRA selectiv, de exemplu clienților recurenți și coșurilor cu risc redus, și trimit restul prin autentificare.

Cum afectează 3D Secure 2 conversia la checkout?

Fiecare confirmare adaugă un pas la care un cumpărător poate abandona sau eșua, mai ales când aplicația bancară se află pe alt dispozitiv. EBA și BCE au raportat în decembrie 2025 că plățile cu cardul autentificate prin SCA rămân mai puțin expuse fraudei, deci scopul nu este evitarea SCA, ci solicitarea unei confirmări doar acolo unde se justifică.

Conversia crește cu date complete în cererea de autentificare, marcaje corecte ale tranzacțiilor, un SDK nativ de aplicație în loc de un web view, cereri de excepție prin intermediul unui acceptator cu rată de fraudă redusă și o reîncercare imediată cu autentificare după un refuz soft. Măsurați separat rata fără fricțiune, rata de succes a confirmărilor și rata de autorizare pe țara emitentului; o singură cifră agregată de aprobare ascunde unde abandonează cumpărătorii.

Cum adăugați 3D Secure 2 prin OrsunPay?

OrsunPay este un serviciu tehnic aflat peste conturile proprii de PSP și acceptator ale comerciantului. Cu checkout-ul găzduit, datele cardului și fluxul 3D Secure rulează în interfața proprie a PSP-ului, deci autentificarea, cererile de excepție și regulile de răspundere sunt cele din contractul dumneavoastră cu acel PSP. Rutarea bazată pe risc și o integrare RiskCogs sunt planificate și nu sunt disponibile în prezent.