3D Secure 2 och SCA enligt PSD2: undantag, ansvarsskifte och konvertering

Vad är 3D Secure 2 och hur hänger det ihop med SCA?

Stark kundautentisering är ett lagkrav: enligt PSD2 måste en betalning som betalaren initierar på nätet bekräftas med två oberoende faktorer, och autentiseringskoden måste vara dynamiskt kopplad till beloppet och betalningsmottagaren. 3D Secure 2 är den tekniska standard, förvaltad av EMVCo, som kortnätverken använder för att uppfylla kravet. Kunderna möter den under varumärken som Visa Secure, Mastercard Identity Check, American Express SafeKey och Cartes Bancaires FAST'R.

Den första versionen av 3D Secure skickade varje kund till en lösenordssida hos banken. Version 2 utbyter över 100 dataelement om enheten, ordern och kontot, så att utgivaren kan godkänna de flesta betalningar utan att visa något alls och spara verifieringen, oftast en bekräftelse i bankappen, till riskfyllda betalningar. Den stöder också flöden i inbyggda appar, vilket det gamla protokollet inte gjorde.

När krävs SCA, och vilka betalningar ligger utanför kravet?

SCA gäller elektroniska betalningar som betalaren initierar när både utgivaren och inlösaren finns inom EES; Storbritannien tillämpar samma regler genom sin egen version av de tekniska standarderna. För en webbutik i EU omfattar det nästan varje första kortbetalning, varje engångsköp och varje ändring av ett lagrat kortmedgivande.

Flera transaktionstyper ligger helt utanför skyldigheten, vilket skiljer sig från ett undantag: ingen autentisering krävs enligt lag, men utgivaren kan ändå avvisa betalningen. Flagga dem rätt i auktoriseringsmeddelandet, eftersom en felaktig flagga är en vanlig orsak till den mjuka avvisningen ”SCA required”.

• Handlarinitierade transaktioner (MIT): prenumerationer med varierande belopp, fördröjda debiteringar och uteblivna besök, under förutsättning att medgivandet upprättades med SCA
• Postorder- och telefonorderbetalningar (MOTO), där kortuppgifterna inte anges av kunden på nätet
• One-leg-out-betalningar, där utgivaren eller inlösaren finns utanför EES; SCA tillämpas efter bästa förmåga
• Betalningar som mottagaren initierar utifrån ett autogiromedgivande, till exempel SEPA-autogiro

Vilka SCA-undantag kan handlare använda?

Undantag är frivilliga: inlösaren eller utgivaren kan tillämpa dem, och utgivaren har alltid sista ordet. Om den nekar ett undantag returnerar den en mjuk avvisning (svarskod 1A hos Visa, 65 hos Mastercard) och betalningen måste göras om med autentisering. Tabellen sammanfattar de undantag i delegerad förordning (EU) 2018/389 som är relevanta för onlineförsäljning.

Transaktionsriskanalys är det mest värdefulla undantaget för handlare med låga bedrägerinivåer, eftersom det täcker varukorgar upp till 500 €. Det som räknas är bedrägerigraden hos den betaltjänstleverantör som tillämpar undantaget, beräknad över 90 dagar, så en inlösare med en ren portfölj kan begära det för din räkning.

Hur fungerar det friktionsfria flödet och verifieringsflödet?

Handlarens 3DS-server, som oftast drivs av betaltjänstleverantören, skickar en autentiseringsbegäran via kortnätverkets katalogserver till utgivarens åtkomstkontrollserver. Utgivaren riskbedömer begäran med data om enhet, order och konto och svarar på ungefär en sekund.

Om risken är låg autentiseras betalningen friktionsfritt och kunden ser ingenting. Annars öppnar utgivaren en verifiering (challenge): en pushbekräftelse i bankappen, en biometrisk kontroll eller en engångskod. I båda fallen skickas resultatet och ett kryptogram vidare till auktoriseringen, så att utgivaren kan se att SCA har genomförts.

1. Samla in data Kassan samlar in webbläsar- eller appdata, uppgifter om fakturering och leverans samt kundens kontohistorik.
2. Autentisera 3DS-servern skickar begäran; utgivaren svarar friktionsfritt, verifiering eller avslag.
3. Auktorisera Autentiseringsresultatet och kryptogrammet följer med auktoriseringsbegäran till utgivaren.

Vad är ansvarsskiftet i 3D Secure?

När en betalning har autentiserats med 3D Secure flyttas ansvaret för bedrägeri-chargebacks, till exempel Visas orsakskod 10.4 eller Mastercards 4837, från handlaren till utgivaren. I de flesta fall gäller det även när handlaren försökte autentisera men utgivaren inte var tillgänglig.

Skiftet omfattar inte tvister som inte rör bedrägeri, till exempel att varan inte levererats eller inte stämmer med beskrivningen, och det går förlorat när ett undantag tillämpas på inlösarens sida: du vinner konvertering men behåller bedrägeririsken. Därför tillämpar handlare TRA selektivt, till exempel för återkommande kunder och varukorgar med låg risk, och skickar resten genom autentisering.

Hur påverkar 3D Secure 2 konverteringen i kassan?

Varje verifiering lägger till ett steg där en kund kan avbryta eller misslyckas, särskilt när bankappen finns på en annan enhet. EBA och ECB rapporterade i december 2025 att kortbetalningar autentiserade med SCA fortfarande är mindre utsatta för bedrägerier, så målet är inte att undvika SCA utan att kräva verifiering bara där det lönar sig.

Konverteringen förbättras med fullständig data i autentiseringsbegäran, korrekta transaktionsflaggor, en inbyggd app-SDK i stället för en webbvy, undantagsbegäranden via en inlösare med låg bedrägerigrad och ett omedelbart nytt försök med autentisering efter en mjuk avvisning. Mät andelen friktionsfria flöden, andelen lyckade verifieringar och auktoriseringsgraden per utgivarland för sig; ett sammanslaget godkännandetal döljer var kunderna hoppar av.

Hur lägger du till 3D Secure 2 via OrsunPay?

OrsunPay är en teknisk tjänst ovanpå handlarens egna konton hos betaltjänstleverantör och inlösare. Med den hostade kassan körs kortuppgifter och 3D Secure-flödet i betaltjänstleverantörens eget gränssnitt, så autentisering, undantagsbegäranden och ansvarsregler är de som gäller enligt ditt avtal med den leverantören. Riskbaserad routing och en RiskCogs-integration finns på färdplanen och är inte tillgängliga idag.