3-D Secure

3-D Secure (3DS) — стандарт EMVCo, который добавляет к интернет-платежу этап проверки личности плательщика. ЭмитентБанк-эмитентБанк-эмитент — банк, который выпускает платежную карту клиенту, ведет его счет и решает, одобрить ли операцию по карте. Противоположная сторона платежа — банк-эквайер, обслуживающий продавца. (банк карты) решает, пропустить платёж без вопросов (frictionless), запросить подтверждение (challenge: одноразовый код, push в приложении банка, биометрия) или отклонить его.

Как это работает

МерчантМерчант-аккаунтСчёт компании у эквайера или PSP, через который она принимает оплату. или платёжный шлюзПлатёжный шлюзПлатёжный шлюз (payment gateway) — техническое звено, которое принимает платёжные данные с сайта или приложения и передаёт их на обработку эквайеру или процессингу, возвращая результат транзакции. передаёт данные транзакции через сервер каталога (directory server) платёжной системы к банку-эмитенту. Банк оценивает риск по данным устройства, истории и сумме и возвращает результат аутентификации. Версия 2.x передаёт больше данных о покупке и устройстве, поэтому чаще проходит без лишнего шага для клиента.

Зачем нужен и на что влияет

Основная выгода — сдвиг ответственности (liability shift): если платёж прошёл с успешной аутентификацией, спорную транзакцию по фроду обычно несёт эмитент, а не продавец. Поэтому на 3DS часто завязаны требования схем и правила PSD2/SCA в ЕС, где такая аутентификация обязательна для большинства онлайн-платежей.

Где встречается в рисковых вертикалях

В финтехе и платежах 3DS — стандартный слой защиты при приёме карт. В гемблинге и беттинге шаг аутентификации часто становится точкой потерь: часть банков отклоняет или не пропускает платежи на игровые мерчанты, а клиент бросает оплату на экране подтверждения. В нутре проверка снижает фрод-возвраты, но повышает отказы у легитимных покупателей.

Частые ошибки

Типичные ошибки: считать отказ по 3DS ошибкой карты, не разделять отказы аутентификации и отказы авторизации, игнорировать настройку исключений и отсутствие данных в запросе (например, устройство и адрес), из-за которых банк чаще переводит платёж в challenge.