3D Secure: что это, как работает и зачем нужен бизнесу

Что такое 3D Secure

3D Secure (3DS) — это протокол дополнительной аутентификации при оплате банковской картой в интернете.

Его задача — проверить, что платёж действительно совершает владелец карты.

В зависимости от ситуации клиент может:

• вообще не увидеть дополнительного окна подтверждения;

• подтвердить платёж в банковском приложении;

• ввести одноразовый код;

• подтвердить операцию с помощью биометрии;

• пройти другую проверку, которую запросит банк.

3D Secure используется в онлайн-платежах и является одним из инструментов защиты от мошеннических операций.

Как работает 3D Secure

Упрощённо процесс выглядит так:

Клиент → сайт → платёжная система → банк клиента → подтверждение → оплата

Например, покупатель вводит данные карты на сайте.

Дальше платёжная инфраструктура определяет, требуется ли дополнительная аутентификация.

Если она необходима, банк клиента запрашивает подтверждение.

После успешной проверки платёж продолжается.

Stripe описывает стандартный процесс как последовательность: клиент инициирует транзакцию, бизнес запрашивает аутентификацию, банк проводит проверку, после чего возвращается результат и платёж может быть завершён.

Нужно ли подтверждать каждый платёж?

Нет, не обязательно.

Это одно из главных отличий современных систем 3D Secure от старых сценариев, когда пользователь практически всегда сталкивался с дополнительным окном.

В EMV 3DS существует так называемый Frictionless Flow — бесшовная аутентификация.

В этом сценарии банк оценивает транзакцию автоматически и может подтвердить её без дополнительного действия клиента.

Если же банк считает, что требуется дополнительная проверка, запускается Challenge Flow.

Что такое Challenge Flow

Challenge Flow — это сценарий, при котором клиенту необходимо дополнительно подтвердить свою личность.

Например:

• открыть приложение банка;

• подтвердить операцию;

• ввести одноразовый код;

• использовать Face ID или другой способ биометрической аутентификации.

То есть клиенту приходится выполнить дополнительное действие перед завершением платежа.

EMVCo выделяет Frictionless Flow и Challenge Flow как два основных сценария работы EMV 3-D Secure.

3D Secure 1 и 3D Secure 2: в чём разница

Первая версия 3D Secure часто ассоциировалась с отдельным окном, перенаправлением пользователя и необходимостью вводить пароль или код.

3D Secure 2 был разработан с учётом современных способов оплаты и мобильных устройств.

Одна из ключевых особенностей 3DS 2 — возможность передавать банку больше информации о транзакции и устройстве клиента для оценки риска.

В результате банк может принять решение:

низкий риск → бесшовное подтверждение

или

нужна дополнительная проверка → Challenge Flow.

3DS 2 также лучше адаптирован к мобильным приложениям и современному пользовательскому опыту.

Какие данные могут использоваться при проверке

При 3D Secure 2 банк может учитывать различные сведения о транзакции и контексте платежа.

Например:

• сумму;

• валюту;

• данные продавца;

• информацию об устройстве;

• данные браузера;

• историю взаимодействия;

• другие параметры, предусмотренные протоколом.

Эта информация помогает эмитенту карты оценить вероятность мошенничества и определить, требуется ли дополнительная аутентификация.

Зачем 3D Secure нужен бизнесу

Основная задача — снизить риск мошеннических карточных платежей.

Для бизнеса это важно по нескольким причинам.

Снижение риска мошенничества

Дополнительная аутентификация помогает убедиться, что операцию совершает настоящий держатель карты.

Более безопасные онлайн-платежи

3DS добавляет дополнительный уровень проверки между вводом данных карты и завершением операции.

Меньше лишних проверок

Современный 3DS 2 поддерживает бесшовную аутентификацию, поэтому клиент не обязательно будет каждый раз вводить код или подтверждать платёж вручную.

Соответствие требованиям

В некоторых регионах 3D Secure используется в рамках требований Strong Customer Authentication (SCA). Stripe, например, указывает 3DS 2 как основной способ аутентификации онлайн-платежей для выполнения соответствующих требований SCA в Европе.

Может ли 3D Secure повлиять на продажи?

Да.

Дополнительный шаг при оплате может создать трение для пользователя.

Например, клиент может:

• не получить код;

• не открыть банковское приложение;

• закрыть страницу;

• не завершить подтверждение;

• столкнуться с технической ошибкой.

Поэтому задача бизнеса — не просто включить максимальное количество проверок, а правильно выстроить процесс оплаты.

Современный 3DS 2 как раз ориентирован на то, чтобы часть транзакций проходила без дополнительного действия клиента.

3D Secure защищает от всех мошеннических платежей?

Нет.

Это важный момент.

3D Secure — дополнительный инструмент защиты, но не абсолютная гарантия безопасности.

У бизнеса по-прежнему должны быть:

• антифрод-инструменты;

• понятные правила возврата;

• мониторинг подозрительных транзакций;

• безопасная платёжная инфраструктура;

• корректно настроенный checkout;

• система работы со спорными платежами.

Stripe, например, сочетает 3D Secure с другими инструментами защиты от мошенничества, включая Radar и собственные механизмы оценки риска.

3D Secure и Stripe

Stripe поддерживает 3D Secure 2 в своих платёжных решениях, включая API, мобильные SDK и Stripe Checkout.

В зависимости от настроек и требований конкретной транзакции Stripe может определить, нужна ли дополнительная аутентификация.

Это позволяет бизнесу одновременно учитывать безопасность и удобство оплаты.

При этом конкретный сценарий зависит от страны, банка клиента, типа карты, транзакции и применимых требований.

Что видит клиент при оплате

Для покупателя процесс обычно выглядит достаточно просто.

Вариант 1 — без дополнительного действия

Клиент вводит данные карты → банк оценивает транзакцию → платёж проходит.

Вариант 2 — дополнительное подтверждение

Клиент вводит данные карты → появляется запрос на подтверждение → клиент подтверждает операцию в банковском приложении или другим способом → платёж проходит.

То есть наличие 3D Secure не означает, что клиент обязательно увидит сложную форму с кодом.

Нужно ли подключать 3D Secure интернет-магазину?

Если бизнес принимает карточные платежи онлайн, вопрос 3D Secure стоит учитывать при настройке платёжной инфраструктуры.

Особенно это важно для международных проектов, где могут действовать различные требования к аутентификации платежей в зависимости от страны клиента.

При подключении Stripe или другого платёжного провайдера важно заранее проверить:

• какие способы аутентификации поддерживаются;

• какие требования действуют для целевых рынков;

• как проходит checkout;

• что происходит при необходимости дополнительного подтверждения;

• как обрабатываются неуспешные платежи.

Как сделать оплату удобнее для клиента

Безопасность и удобство не должны противоречить друг другу.

Для этого стоит:

• использовать современную версию 3D Secure;

• оптимизировать мобильный checkout;

• минимизировать ненужные шаги;

• корректно обрабатывать ошибки;

• показывать понятные сообщения;

• давать клиенту возможность повторить оплату;

• использовать дополнительные антифрод-инструменты.

Цель — сделать так, чтобы безопасные транзакции проходили максимально просто, а подозрительные операции получали дополнительную проверку.

Итоги

3D Secure — это дополнительный уровень безопасности для онлайн-платежей.

Современный 3D Secure 2 позволяет не только подтверждать подозрительные или требующие проверки транзакции, но и проводить часть платежей бесшовно, без дополнительных действий со стороны клиента.

Для бизнеса это означает возможность одновременно работать над безопасностью платежей и удобством checkout.

При этом 3D Secure не заменяет полноценную систему защиты от мошенничества. Он является одной частью общей платёжной инфраструктуры.

Если бизнес принимает международные платежи через Stripe, Shopify Payments или другие решения, настройки аутентификации стоит учитывать ещё на этапе проектирования платёжного процесса.