Wat is 3D Secure?
Ook: 3DS, 3DS2, EMV 3DS
Een authenticatieprotocol van kaartnetwerken dat de fraudeverantwoordelijkheid verschuift van de handelaar naar de uitgever wanneer een kaarthouder is geverifieerd.
3D Secure, of 3DS, is een beveiligingsprotocol gestandaardiseerd door EMVCo om fraude bij online Card-Not-Present (CNP) transacties te verminderen.
De '3-D' verwijst naar de drie domeinen die betrokken zijn bij het proces: het domein van de handelaar en Acquirer, het domein van de uitgever en het interoperabiliteitsdomein dat deze met elkaar verbindt.
Wanneer een kaarthouder een betaling initieert, faciliteert 3DS een real-time gegevensuitwisseling tussen de handelaar en de kaartuitgever, waardoor de uitgever de identiteit van de kaarthouder kan authenticeren voordat de transactie wordt geautoriseerd. Het primaire voordeel voor handelaren is de 'aansprakelijkheidsverschuiving'.
Voor succesvol geauthenticeerde transacties verschuift de financiële aansprakelijkheid voor bepaalde soorten frauduleuze chargebacks, zoals die welke 'ongeautoriseerde transactie' claimen, van de handelaar naar de uitgever.
De nieuwste versie, 3DS2, is een aanzienlijke verbetering die is ontworpen om moderne authenticatiemethoden te ondersteunen en wrijving te minimaliseren. Het stelt handelaren in staat om een uitgebreide set gegevenselementen, waaronder apparaatinformatie, transactiegeschiedenis en gedragsbiometrie, naar de risicomotor van de uitgever te sturen.
Dit maakt het mogelijk om veel transacties goed te keuren via een 'wrijvingsloze stroom' zonder dat de kaarthouder enige interactie hoeft te hebben.
Wanneer het risico als hoger wordt beschouwd, krijgt de kaarthouder een 'uitdagingsstroom' te zien, waarbij hij een tweede authenticatiefactor moet opgeven, zoals een eenmalig wachtwoord of een biometrische bevestiging in zijn bankapp.
Een veelvoorkomend misverstand is dat de aansprakelijkheidsverschuiving absoluut is; deze is niet van toepassing op niet-frauduleuze geschillen zoals 'goederen niet ontvangen' en kan ongeldig worden verklaard als de totale fraudecijfers van een handelaar buitensporig hoog zijn.
Praktijkvoorbeeld
Een klant koopt een horloge van €250 in een online winkel. Bij het afrekenen initieert de betaalgateway van de handelaar een 3DS2-authenticatieverzoek.
Het stuurt meer dan 20 gegevenspunten naar de uitgever van de klant, inclusief hun browsergegevens, IP-adres, factuurgegevens en het feit dat dit hun derde aankoop op de site is.
De Access Control Server (ACS) van de uitgever analyseert deze gegevens en beoordeelt de transactie als een laag risico. Het besluit tot een 'wrijvingsloze stroom' en stuurt een authenticatiesuccesbericht terug naar de handelaar zonder de gebruiker uit te dagen.
De transactie gaat verder naar autorisatie en wordt goedgekeurd. De aansprakelijkheid voor een potentiële 'frauduleuze transactie' terugboeking (bijv.
Mastercard R/C 4837) ligt nu bij de uitgever. Als de klant een nieuw apparaat uit een ander land had gebruikt, zou de ACS waarschijnlijk een 'uitdagingsstroom' hebben geactiveerd, waarbij om een vingerafdrukbevestiging in hun bankapp zou worden gevraagd.
Opmerkingen van de schemes
Alle grote schema's ondersteunen het EMVCo 3DS-protocol onder hun eigen merknaam. Het programma van Visa heet Visa Secure (voorheen Verified by Visa), en dat van Mastercard is Mastercard Identity Check (voorheen SecureCode).
American Express gebruikt Safekey, en Discover biedt ProtectBuy. Hoewel het onderliggende protocol gestandaardiseerd is, varieert de implementatie van risicogebaseerde analyse door uitgevers aanzienlijk.
Sommige uitgevers zijn agressiever in het uitdagen van transacties, terwijl andere de voorkeur geven aan wrijvingsloze stromen om de gebruikerservaring te behouden.
De exacte gegevenspunten die door de risicomotor van elke uitgever worden vereist of gewaardeerd, zijn bedrijfseigen, waardoor het voor handelaren moeilijk is om voor alle uitgevers universeel te optimaliseren.
Dit is een gebied waar een orkestratieprovider waarde kan toevoegen door de prestaties over verschillende Acquirer- en uitgevercombinaties te analyseren.
Waarom dit belangrijk is voor acceptanten
De primaire impact van 3D Secure is de afweging tussen fraudevermindering en klantwrijving. Correcte implementatie van 3DS2 is cruciaal; het verzenden van rijke gegevens maximaliseert de kans op een wrijvingsloze stroom, waardoor hoge goedkeuringspercentages en een soepele afrekenervaring behouden blijven.
De aansprakelijkheidsverschuiving biedt directe financiële bescherming tegen bepaalde fraudegerelateerde chargebacks, waardoor een aanzienlijke kostenpost voor veel e-commercebedrijven wordt verminderd. Onder PSD2 is het gebruik van 3DS verplicht voor de meeste Europese transacties om aan de SCA-vereisten te voldoen.
Cardflo's betalingsorkestratie kan ervoor zorgen dat handelaren de meest complete dataset mogelijk verzenden voor 3DS2-authenticatie en kan slimme routering gebruiken om betalingen te leiden naar acquirers die superieure 3DS-afhandeling en hogere goedkeuringspercentages demonstreren.
Veelgestelde vragen
Hoe verbetert 3D Secure 2 de gebruikerservaring in vergelijking met de oorspronkelijke versie?
3DS2 ondersteunt risicogebaseerde authenticatie door uitgebreide gegevenspunten, zoals apparaat-ID's en transactiegeschiedenis, te delen met de uitgever. Dit maakt een wrijvingsloze stroom mogelijk waarbij de kaarthouder geen actie hoeft te ondernemen voor betalingen met een laag risico.
Als een uitdaging vereist is, kan deze nu worden voltooid via biometrie of app-gebaseerde meldingen in plaats van ouderwetse statische wachtwoorden.
Elimineert 3D Secure alle soorten terugboekingen voor een acceptant?
Nee, 3DS biedt alleen een aansprakelijkheidsverschuiving voor specifieke fraudegerelateerde reden codes. Het beschermt de handelaar niet tegen geschillen met betrekking tot niet-ontvangen goederen, servicekwaliteit of administratieve fouten.
Handelaren moeten nog steeds hun interne processen beheren om niet-frauduleuze terugboekingen te voorkomen die niet onder het protocol vallen.
Garandeert het gebruik van 3D Secure dat ik geen frauduleuze chargebacks krijg?
Nee. 3D Secure biedt een aansprakelijkheidsverschuiving voor specifieke fraudegerelateerde Chargeback-redencodes, doorgaans gerelateerd aan ongeoorloofd gebruik van de kaart.
Het beschermt niet tegen andere soorten geschillen, zoals 'goederen niet ontvangen' of 'product niet zoals beschreven'. Bovendien, als een handelaar is ingeschreven in een overmatig fraudeprogramma van een schema, kan de uitgever de aansprakelijkheid terugleggen bij de handelaar, zelfs als 3DS succesvol is gebruikt.
Het is een krachtig hulpmiddel voor het verminderen van fraudeverliezen, geen compleet schild.
Wat is het verschil tussen 3DS1 en 3DS2?
3DS1 was het oorspronkelijke protocol, bekend om het omleiden van de gebruiker naar de webpagina van de uitgever om een statisch wachtwoord in te voeren. Dit creëerde een storende gebruikerservaring, was niet mobielvriendelijk en leidde tot veel winkelwagenverlating.
3DS2 is een fundamentele upgrade die gegevensrijke, 'wrijvingsloze' authenticatie binnen de afrekenstroom ondersteunt, biometrische uitdagingen mogelijk maakt en is ontworpen voor mobiele en in-app betalingen. Het is de kerntechnologie die wordt gebruikt om aan de SCA-vereisten onder PSD2 te voldoen.
Zal 3D Secure mijn conversiepercentage schaden?
Slecht geïmplementeerde 3DS1 stond erom bekend de conversie te schaden. Moderne 3DS2, wanneer correct geïmplementeerd met uitgebreide gegevensdeling, zou de conversie voor de meeste bedrijven niet significant moeten schaden.
De meerderheid van de transacties voor legitieme klanten kan worden goedgekeurd via de wrijvingsloze stroom, zonder gebruikersinteractie. Hoewel uitdagingsstromen een stap toevoegen, zijn consumenten in regio's zoals Europa er nu aan gewend als een standaard beveiligingsmaatregel.
De marginale daling in conversie door uitdagingen wordt vaak gecompenseerd door de toename van goedkeuringen van eerder geweigerde transacties en de vermindering van fraudekosten.
Is 3D Secure verplicht voor alle transacties?
Het hangt af van de regio.
Voor transacties waarbij zowel de Acquirer van de handelaar als de uitgever van de kaarthouder zich in de Europese Economische Ruimte (EER) of het VK bevinden, is 3DS verplicht voor de meeste transacties vanwege de Strong Customer Authentication (SCA) regels.
Er gelden echter bepaalde vrijstellingen voor transacties met een lage waarde, abonnementen en betalingen met een laag risico. Voor transacties buiten deze regio, zoals in de VS, is 3DS optioneel, maar sterk aanbevolen als best practice voor fraudepreventie en voordelen van aansprakelijkheidsverschuiving.
Wat gebeurt er als de bank van een klant 3D Secure niet ondersteunt?
Als een kaart niet is ingeschreven voor 3DS, kan het authenticatieproces niet worden voltooid. Dit wordt in het systeem geregistreerd als een 'poging'.
De transactie kan nog steeds ter autorisatie worden aangeboden, maar zonder succesvolle authenticatie is er geen aansprakelijkheidsverschuiving. De handelaar zou aansprakelijk zijn voor eventuele daaropvolgende frauduleuze chargebacks.
In regio's waar SCA verplicht is, zou een uitgever die 3DS niet ondersteunt niet-conform zijn, en transacties kunnen door de Acquirer of het schema worden geweigerd.
See how 3D Secure plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Gerelateerde termen
PSD2-vereiste dat door de klant geïnitieerde elektronische betalingen in de EER en het VK moeten worden geauthenticeerd met twee van: kennis, bezit, inherente eigenschap.
De EU-richtlijn Payment Services Directive 2, die SCA verplicht stelt, banking API's opent en de aansprakelijkheid voor betalingen hervormt.
Schemaregel die de fraudeverantwoordelijkheid van de handelaar naar de uitgever verplaatst zodra 3DS-authenticatie slaagt, verdedigd door ECI 05 (Visa) of ECI 02 (Mastercard) vlaggen.
3DS2-uitkomst waarbij de uitgever de kaarthouder puur authenticeert op basis van apparaat- en transactiegegevens, zonder dat de klant een uitdaging te zien krijgt.
Gerelateerde gidsen.
Klaar om uw betaalopstelling te verbeteren?
Vertel ons over uw bedrijf. Wij matchen u met de juiste acquirerende partners en de juiste route, meestal binnen een week.