Коллега покупает билет на конференцию с помощью корпоративной виртуальной карты. На этапе оформления заказа появляется экран 3D Secure, но запрос на подтверждение приходит на телефон финансового менеджера, который в данный момент недоступен.
В такой ситуации пересылка одноразового кода в групповой чат может показаться удобным решением.
Однако это может ослабить контроль, который должен обеспечивать 3D Secure.
Проблема заключается не только в том, что платеж не прошел. Дело в том, что команда заранее не определила три ключевых момента:
- Кто имеет право совершать покупку
- Кто утверждает расходы
- Кто может выполнить аутентификацию у эмитента
В этом руководстве объясняется, как командам подготовиться к 3D Secure до оформления заказа, что делать, если запрос на подтверждение приходит не тому человеку, и как решить проблему без создания дублирующихся заказов или передачи конфиденциальных данных аутентификации.
Понимание того, что запрашивает проверка 3D Secure
3D Secure является частью процесса аутентификации карты между продавцом и эмитентом.
В зависимости от настроек проверка может потребовать:
- Одноразовый код
- Подтверждение в приложении
- Биометрические данные
- Другой способ аутентификации, поддерживаемый эмитентом
Цель этой проверки — убедиться, что человек, завершающий платеж, имеет право использовать карту.
Это отдельный процесс от внутреннего согласования расходов в компании.
Менеджер уже мог одобрить покупку билета на конференцию стоимостью €400, однако эмитент все равно может потребовать корректное подтверждение аутентификации, прежде чем платеж по карте будет выполнен.
Перед подтверждением любого запроса проверьте:
- Продавца
- Сумму
- Валюту
- Время
- Ожидалась ли эта покупка
Если в запросе указана сумма €4 000, хотя покупатель ожидал €400, остановитесь.
Если в данный момент никто не совершает покупку, считайте запрос подозрительным и проверьте его через официальную активность аккаунта.
Три роли при совершении корпоративной покупки
Во многих командах один человек не контролирует все этапы.
Обычно существуют три роли:
Инициатор запроса
Сотрудник, которому необходим товар или услуга.
Утверждающий расходы
Человек, который принимает решение о том, должна ли компания оплачивать покупку.
Ответственный за аутентификацию
Человек, который имеет доступ к поддерживаемому эмитентом методу 3D Secure.
Иногда все три роли выполняет один сотрудник. В других случаях они могут находиться в разных отделах или даже в разных странах.
Важно определить, кто отвечает за каждый этап, еще до ввода данных карты на странице оформления заказа.
Политики, согласно которой «финансовый отдел утверждает платежи», недостаточно, если никто не знает, кто сможет ответить на запрос 3DS непосредственно в момент совершения покупки.
Не передавайте OTP или учетные данные для аутентификации
Командам следует избегать решения проблемы путем пересылки одноразовых кодов, паролей, сессий входа или учетных данных для аутентификации через чаты.
Это снижает уровень ответственности и может привести к раскрытию другой информации о карте или аккаунте.
Лучший подход:
- Покупатель сообщает ответственному за аутентификацию, что выполняется попытка платежа
- Ответственный самостоятельно открывает официальное приложение эмитента или использует официальный метод аутентификации
- Ответственный проверяет продавца, сумму и валюту
- Ответственный подтверждает запрос только в том случае, если он соответствует согласованной покупке
Например:
«Я нахожусь на странице оформления заказа на конференцию на сумму €400. Пожалуйста, проверьте в приложении эмитента наличие соответствующего запроса».
Это позволяет передать контекст покупки, не передавая секрет аутентификации.
Подготовьте устройство до оформления заказа
Наличие действующей карты недостаточно, если устройство для аутентификации недоступно.
Перед срочной покупкой проверьте, что уполномоченный сотрудник действительно может получить доступ к необходимому способу аутентификации.
Возможные проблемы включают:
- Зарегистрированный телефон находится вне сети
- Срок действия сессии в приложении истек
- Push-уведомления отключены
- Зарегистрированный номер принадлежит бывшему сотруднику
- У пользователя больше нет доступа к необходимому аккаунту
- Метод аутентификации необходимо обновить
Если канал аутентификации указан неправильно, используйте официальный процесс провайдера для его обновления.
Не ждите, пока таймер оформления заказа уже начнет отсчитывать время. Некоторые изменения доступа требуют проверки и не могут быть выполнены мгновенно.
Что делать, если запрос на подтверждение приходит не тому человеку
Если запрос 3DS поступил человеку, который недоступен, не следует многократно отправлять один и тот же платеж.
Вместо этого:
- Зафиксируйте страницу заказа и его номер.
- Свяжитесь с ответственным за аутентификацию.
- Попросите его проверить официальный интерфейс эмитента.
- Если он не может ответить до истечения срока действия запроса, дождитесь завершения попытки.
- Проверьте, создал ли продавец заказ и отображается ли ожидающая авторизация по карте.
- Повторяйте платеж только после того, как команда выяснит статус первой попытки.
Истечение срока действия запроса 3DS не означает автоматически, что ничего не произошло.
Продавец все еще мог создать заказ, а авторизация по карте все еще может существовать.
Если запрос на подтверждение приходит бывшему сотруднику
Это не просто проблема с платежом. Это проблема управления доступом к аккаунту.
Не просите бывшего сотрудника пересылать коды после его ухода из компании.
Вместо этого:
- Удалите устаревший доступ через официальный процесс провайдера
- Подтвердите текущего уполномоченного пользователя или администратора
- Проверьте, не используют ли другие карты или аккаунты тот же старый контакт
- Обновите внутренние записи о владельцах доступа
При срочной покупке компании может потребоваться использовать другой одобренный способ оплаты, пока проблема с доступом к аккаунту не будет устранена.
Если запрос подтвержден, но оформление заказа все равно не проходит
Успешное подтверждение 3DS не обязательно означает, что продавец принял заказ.
Аутентификация является лишь одним из этапов платежного процесса.
Если ответственный подтверждает запрос, но на странице оформления заказа по-прежнему отображается ошибка:
- Зафиксируйте время
- Сохраните номер заказа у продавца
- Проверьте, создал ли продавец заказ
- Проверьте наличие ожидающих или завершенных операций по карточному аккаунту
- Свяжитесь с продавцом и уточните статус заказа
- Обратитесь к провайдеру карты, если необходимо проверить аутентификацию или статус карты
Продавец и провайдер карты могут видеть разные части платежного процесса.
Избегайте повторных попыток оплаты
Одна из самых распространенных ошибок после неудачного этапа 3DS — повторная отправка платежа снова и снова.
Это может привести к:
- Дублирующимся заказам у продавца
- Нескольким попыткам авторизации
- Временным блокировкам средств
- Срабатыванию риск-контролей
- Нескольким запросам на аутентификацию
Если в течение короткого времени поступает несколько запросов, не подтверждайте их все только для того, чтобы выяснить, какой из них сработает.
Остановите оформление заказа, определите активный заказ и сравните продавца, сумму и временную отметку каждого запроса.
Таймер оформления заказа и статус заказа — разные вещи
Продавец может зарезервировать билет на десять минут, тогда как запрос 3DS имеет более короткий срок действия.
Продавец также может создать неоплаченный заказ еще до завершения аутентификации.
Поэтому командам следует различать:
- Таймер оформления заказа
- Таймер аутентификации
- Статус заказа у продавца
- Статус авторизации по карте
Перед повторной попыткой убедитесь, что именно произошло с первым заказом.
Это особенно важно для билетов на конференции, бронирований поездок, товаров с ограниченным количеством или покупок программного обеспечения с ограниченным по времени сроком действия цены.
Как здесь используется Buvei
Если карта управляется через Buvei, проверьте инструкции по аутентификации и доступные роли аккаунта для конкретной карты и аккаунта.
При неудачной или неправильно направленной попытке аутентификации предоставьте службе поддержки:
- Дату и время
- Продавца
- Сумму
- Валюту
- Маскированные данные карты
- Сообщение об ошибке
- Появлялся ли запрос на подтверждение
- Подтверждал ли его кто-либо
Не включайте в скриншоты действующие OTP, полные номера карт или коды безопасности.
Выделенная виртуальная карта может помочь командам определить, к какому поставщику, проекту или бюджету относится транзакция, однако она не заменяет аутентификацию у эмитента или внутреннее согласование расходов.
Обеспечьте резервное покрытие без использования одной общей учетной записи
Один финансовый менеджер не всегда может быть доступен для каждой покупки.
Командам следует учитывать:
- Отпуска
- Разные часовые пояса
- Уход сотрудников из компании
- Срочные покупки для мероприятий
- Регулярные подписки
- Платежи в нерабочее время
Если провайдер поддерживает такую возможность, используйте надлежащим образом авторизованные роли или учетные записи администраторов вместо передачи логина или метода аутентификации одного сотрудника другим людям.
Если провайдер не поддерживает резервного ответственного за аутентификацию, команде может потребоваться планировать чувствительные покупки заранее или использовать другой одобренный способ оплаты.
Решение должно поддерживаться операционными процессами, а не создаваться импровизированно.
Ведите простой внутренний учет команды
Для важных продавцов храните простую внутреннюю запись, содержащую:
- Ответственного за покупку
- Утверждающего расходы
- Название карты
- Ответственного за аутентификацию
- Утвержденный резервный процесс
- URL аккаунта поставщика
- Контакт службы поддержки
Не храните:
Цель не в том, чтобы создавать большой документ по вопросам соответствия требованиям.
Нужно лишь убедиться, что покупатель знает, с кем связаться еще до начала оформления заказа.
Три похожие проблемы, которые требуют разных решений
Некоторые ситуации с 3DS могут выглядеть одинаково, но требуют разных действий.
Запрос приходит правильному человеку, но показывает неправильную сумму
Отклоните его и проверьте корзину, продавца и наличие дублирующихся сессий оформления заказа.
Запрос приходит бывшему сотруднику
Обновите владельца аккаунта через официальный процесс провайдера.
Никто не получает запрос
Проверьте перенаправление браузера, приложение провайдера, настройки карты и уточните у службы поддержки, было ли инициировано событие аутентификации.
Ориентируйтесь на конкретное событие, которое вы наблюдали, а не предполагайте, что любая проблема означает просто «3DS не прошел».
После проблемы с аутентификацией
Краткий анализ ситуации поможет предотвратить повторение той же проблемы.
Зафиксируйте:
- Продавца
- Время и часовой пояс
- Название карты
- Сумму
- То, что отображалось на экране покупателя
- То, что отображалось на устройстве ответственного за аутентификацию
- Был ли запрос подтвержден
- Статус заказа у продавца
- Статус авторизации по карте
Затем назначьте одного человека ответственным за устранение основной проблемы.
Это может означать обновление устаревшего номера телефона, смену владельца аккаунта, добавление авторизованной роли, если такая возможность поддерживается, или улучшение внутреннего процесса покупки.
Правило, которое стоит помнить при следующем оформлении заказа
Перед вводом данных карты убедитесь:
Кто совершает покупку?
Кто одобрил расходы?
Кто может выполнить аутентификацию 3D Secure?
Ответственный за аутентификацию должен самостоятельно проверить запрос в поддерживаемом интерфейсе эмитента и подтвердить продавца, сумму и валюту.
Если данные не совпадают или нужный человек недоступен, остановитесь и сначала выясните статус заказа, прежде чем повторять платеж.
Успешный процесс — это не просто «код сработал».
Это: действительная покупка + корректная аутентификация + подтвержденный заказ у продавца + четкое распределение ответственности за каждое решение.
