Гайди
3D Secure 2 і SCA за PSD2: винятки, перенесення відповідальності та конверсія
3D Secure 2 (EMV 3DS) — це протокол карткових систем, за яким банк-емітент автентифікує онлайн-платіж карткою; саме так продавці в ЄС і Великій Британії виконують вимогу сильної автентифікації клієнта (SCA) за PSD2. Емітент схвалює платежі з низьким ризиком без додаткових кроків, а решту перевіряє. Автентифікований платіж переносить відповідальність за шахрайський чарджбек на емітента, а винятки зменшують кількість перевірок.
Коротко
| Правова основа SCA | Стаття 97 PSD2 (Директива (ЄС) 2015/2366) та регуляторні технічні стандарти з Делегованого регламенту (ЄС) 2018/389; для карткової е-комерції в ЄЕП діє з 31 грудня 2020 року |
|---|---|
| Фактори автентифікації | Два з трьох: знання (PIN, пароль), володіння (телефон, картка) та притаманність (відбиток пальця, обличчя) |
| Виняток для малих сум | До 30 євро за платіж; SCA знову після 100 євро сукупно або 5 поспіль платежів без SCA |
| Пороги винятку TRA | До 100, 250 або 500 євро, якщо рівень шахрайства PSP у віддалених карткових платежах не перевищує 0,13%, 0,06% або 0,01% |
| Поточні версії протоколу | EMV 3DS 2.2.0 і 2.3.1; версію 2.1.0 карткові системи вивели з обігу у 2024 році |
| Карткове шахрайство поза ЄЕП | У 17 разів вище, коли одержувач перебуває поза ЄЕП, де SCA часто не застосовується (EBA та ЄЦБ, грудень 2025) |
Що таке 3D Secure 2 і як він пов'язаний з SCA?
Сильна автентифікація клієнта — це правова вимога: за PSD2 платіж, ініційований платником онлайн, має бути підтверджений двома незалежними факторами, а код автентифікації динамічно пов'язується із сумою та одержувачем. 3D Secure 2 — технічний стандарт, який підтримує EMVCo і за яким картові системи виконують цю вимогу. Покупці бачать його під брендами Visa Secure, Mastercard Identity Check, American Express SafeKey і Cartes Bancaires FAST'R.
Перша версія 3D Secure відправляла кожного покупця на сторінку банку з паролем. Версія 2 передає понад 100 елементів даних про пристрій, замовлення та рахунок, тому емітент може схвалити більшість платежів без жодного повідомлення, а перевірку, зазвичай підтвердження в застосунку банку, залишити для ризикових. Вона також підтримує нативні мобільні застосунки, чого старий протокол не вмів.
Коли потрібна SCA і які платежі не підпадають під неї?
SCA застосовується до електронних платежів, ініційованих платником, коли і емітент, і еквайр перебувають у ЄЕП; Велика Британія застосовує ті самі правила через власну версію RTS. Для інтернет-магазину в ЄС це майже кожен перший платіж карткою, кожна разова покупка та кожна зміна мандата на списання зі збереженої картки.
Деякі типи транзакцій взагалі лежать поза межами цього обов'язку, що відрізняється від винятку: закон не вимагає автентифікації, але емітент усе одно може відмовити. Позначайте їх правильно в авторизаційному повідомленні, бо хибний прапорець — часта причина м'якої відмови «SCA required».
- Транзакції, ініційовані продавцем (MIT): підписки зі змінною сумою, відкладені списання та no-show, якщо мандат оформлено з SCA
- Замовлення поштою та телефоном (MOTO), коли покупець не вводить дані картки онлайн
- Платежі «one-leg-out», коли емітент або еквайр перебуває поза ЄЕП; SCA застосовується за можливості
- Платежі, ініційовані одержувачем на підставі мандата прямого дебету, наприклад SEPA Direct Debit
Які винятки з SCA може використовувати продавець?
Винятки необов'язкові: їх може застосувати еквайр або емітент, а останнє слово завжди за емітентом. Якщо він відмовляє, то повертає м'яку відмову (код відповіді 1A у Visa, 65 у Mastercard), і платіж потрібно повторити з автентифікацією. Таблиця підсумовує винятки з Делегованого регламенту (ЄС) 2018/389, важливі для онлайн-продажів.
Аналіз ризику транзакції — найцінніший виняток для продавців з низьким рівнем шахрайства, бо охоплює кошики до 500 євро. Враховується рівень шахрайства того PSP, який застосовує виняток, обчислений за 90 днів, тому еквайр із чистим портфелем може запросити його від вашого імені.
| Виняток | Стаття RTS | Умова | Хто застосовує | Відповідальність за шахрайство |
|---|---|---|---|---|
| Мала сума | Стаття 16 | До 30 євро; SCA після 100 євро сукупно або 5 платежів від останньої SCA | Еквайр або емітент; лічильник веде емітент | Сторона, що застосувала виняток |
| Аналіз ризику транзакції (TRA) | Стаття 18 | До 100, 250 або 500 євро за рівня шахрайства 0,13%, 0,06% або 0,01% | Еквайр або емітент, залежно від власного рівня шахрайства | Сторона, що застосувала виняток |
| Довірений отримувач | Стаття 13 | Покупець додає продавця до списку довірених в емітента, з SCA | Емітент | Емітент |
| Регулярні платежі на ту саму суму | Стаття 14 | Серія однакових платежів одному одержувачу; SCA для першого | Емітент | Емітент |
| Захищені корпоративні платежі | Стаття 17 | Спеціальні корпоративні процеси, як-от централізовані (lodged) або віртуальні картки для відряджень | Емітент, схвалений своїм регулятором | Емітент |
| Ініційовані продавцем (поза межами SCA) | Не є винятком | Мандат погоджено з SCA; подальші списання ініціює продавець | Продавець позначає через еквайра | Сторона продавця |
Як працюють потік без тертя та потік із викликом?
3DS-сервер продавця, зазвичай його обслуговує PSP, надсилає запит на автентифікацію через каталог-сервер карткової системи до сервера контролю доступу емітента. Емітент оцінює ризик за даними про пристрій, замовлення та рахунок і відповідає приблизно за секунду.
За низького ризику платіж автентифікується без тертя, і покупець нічого не бачить. Інакше емітент запускає виклик: push-підтвердження в банківському застосунку, біометричну перевірку або одноразовий код. В обох випадках результат і криптограма передаються в авторизацію, тож емітент бачить, що SCA виконано.
- Зберіть дані Чекаут збирає дані браузера чи застосунку, платіжну та адресу доставки й історію облікового запису покупця.
- Автентифікуйте 3DS-сервер надсилає запит; емітент відповідає: без тертя, виклик або відхилення.
- Авторизуйте Результат автентифікації та криптограма передаються емітенту разом із запитом на авторизацію.
Що таке перенесення відповідальності в 3D Secure?
Коли платіж успішно автентифіковано через 3D Secure, відповідальність за шахрайські чарджбеки, наприклад Visa з кодом 10.4 або Mastercard 4837, переходить від продавця до емітента. У більшості випадків це діє й тоді, коли продавець намагався автентифікувати платіж, але емітент був недоступний.
Перенесення не охоплює спори, не пов'язані з шахрайством, як-от товар не отримано або не відповідає опису, і втрачається, коли виняток застосовує еквайр: ви отримуєте конверсію, але ризик шахрайства залишається з вами. Тому продавці застосовують TRA вибірково, наприклад для постійних клієнтів і кошиків з низьким ризиком, а решту спрямовують на автентифікацію.
Як 3D Secure 2 впливає на конверсію чекауту?
Кожен виклик додає крок, на якому покупець може піти або помилитися, особливо коли банківський застосунок на іншому пристрої. EBA та ЄЦБ повідомили у грудні 2025 року, що платежі карткою з сильною автентифікацією менш схильні до шахрайства, тож мета не уникати SCA, а викликати перевірку лише там, де це виправдано.
Конверсію покращують повні дані в запиті на автентифікацію, правильні прапорці транзакцій, нативний SDK у застосунку замість веб-в'ю, винятки, які запитує еквайр із низьким рівнем шахрайства, і негайна повторна спроба з автентифікацією після м'якої відмови. Окремо вимірюйте частку потоків без тертя, успішність викликів і рівень авторизації за країною емітента; одна усереднена цифра приховує, де покупці відпадають.
Як додати 3D Secure 2 через OrsunPay?
OrsunPay — це технічний сервіс поверх власних рахунків продавця в PSP та еквайрів. У хостованому чекауті дані картки й потік 3D Secure проходять в інтерфейсі самого PSP, тому автентифікація, запити на винятки та правила відповідальності визначаються вашим договором із цим PSP. Маршрутизація на основі ризику та антифрод-модуль RiskCogs доступні: оцінки ризику й сигнали враховуються в правилах маршрутизації та каскадів.
Поширені запитання
Що означає SCA required у відхиленому платежі?
Емітент відмовив у платежі, бо очікував сильної автентифікації, а платіж надійшов без неї або з винятком, який він не прийняв. Це м'яка відмова: повторення того самого платежу з автентифікацією 3D Secure зазвичай проходить.
Які вимоги SCA встановлює PSD2?
Електронний платіж, ініційований платником, має бути автентифікований двома з трьох незалежних факторів: чимось, що клієнт знає, має або є. Для віддалених платежів код автентифікації також має бути пов'язаний із точною сумою та одержувачем.
Що таке PSD2?
PSD2 — це Директива (ЄС) 2015/2366, друга Директива про платіжні послуги. Вона запровадила сильну автентифікацію клієнта, відкрила банківські рахунки для ліцензованих сторонніх провайдерів через відкритий банкінг і встановила правила для платіжних установ у всьому ЄЕП.
Чи обов'язковий 3D Secure 2 поза Європою?
Загального правового обов'язку в США немає, але схожі на SCA правила існують, наприклад, в Індії, а картові системи заохочують 3DS повсюдно. Поза ЄЕП продавці зазвичай застосовують його вибірково, щоб отримати перенесення відповідальності за шахрайство.
Чи потрібна SCA для кожного платежу за підпискою?
Ні. SCA потрібна для першого платежу, у якому покупець погоджує мандат. Подальші списання на ту саму суму можуть використовувати виняток для регулярних платежів, а змінні списання, ініційовані продавцем, виходять за межі SCA як транзакції MIT.
Чи застосовується SCA до платежів через відкритий банкінг?
Так. Платіж, ініційований через послугу ініціювання платежу, автентифікує банк покупця із SCA, зазвичай у банківському застосунку. Тому в чекаутах pay by bank немає окремого кроку 3D Secure.