Что такое 3D Secure и как он работает?

3D Secure (3DS) играет важную роль в защите онлайн-платежей по банковским картам. Согласно отчету Merchant Risk Council Global eCommerce Payments and Fraud Report 2026, мошеннические операции с платежами составляют приблизительно 3,2% годовой выручки продавцов от электронной коммерции во всем мире.

Для компаний, принимающих онлайн-платежи, кража данных банковских карт может привести к несанкционированным покупкам, финансовым потерям и спорам по платежам. Поэтому поиск способов проверки держателей карт без добавления лишних этапов при оформлении заказа стал важной частью обеспечения безопасности платежей.

3D Secure решает эту задачу, добавляя аутентификацию держателя карты к онлайн-транзакциям. Протокол позволяет банкам-эмитентам оценивать риски операций и при необходимости запрашивать дополнительную проверку, одновременно обеспечивая проведение многих платежей с низким уровнем риска без прерывания процесса покупки.

Что такое 3D Secure?

3D Secure — это протокол аутентификации, разработанный для защиты онлайн-транзакций с кредитными и дебетовыми картами. Он позволяет продавцам и эмитентам карт обмениваться информацией о транзакциях, чтобы проверить, имеет ли человек, совершающий покупку, право использовать данную карту.

Название протокола связано с тремя доменами, участвующими в процессе аутентификации:

• Домен эквайера (Acquirer Domain): охватывает продавца, банк-эквайер и связанные с ними системы обработки платежей.

• Домен эмитента (Issuer Domain): включает банк или финансовое учреждение, выпустившее карту.

• Домен взаимодействия (Interoperability Domain): обеспечивает инфраструктуру, которая соединяет участников и поддерживает обмен сообщениями аутентификации.

Основные сервисы аутентификации 3D Secure

Крупнейшие платежные системы предлагают собственные сервисы аутентификации на основе протокола 3DS.

• Visa Secure: сервис аутентификации Visa для онлайн-транзакций по картам.

• Mastercard Identity Check: решение Mastercard для проверки держателей карт при совершении онлайн-платежей.

Несмотря на разные названия, эти сервисы преследуют одну цель: помогать эмитентам проверять держателей карт и сокращать количество несанкционированных онлайн-транзакций.

Что такое EMV 3-D Secure 2.x?

EMV 3DS — это современная версия протокола, разработанная для повышения безопасности и одновременного сокращения количества прерываний при оформлении заказа.

По сравнению с предыдущими версиями, 3DS 2.x поддерживает обмен более подробной информацией, включая:

• Суммы транзакций и сведения о платежах.

• Информацию о держателе карты и его учетной записи.

• Данные об устройстве и браузере.

• Информацию о продавце и предыдущих транзакциях.

Эмитенты могут использовать эти сведения для оценки рисков и определения необходимости дополнительной проверки. Благодаря этому многие легитимные платежи могут проходить аутентификацию в фоновом режиме без необходимости вводить OTP-код или подтверждать уведомление.

Как работает 3D Secure?

Когда клиент оплачивает покупку онлайн, платежная система продавца передает соответствующую информацию о транзакции через инфраструктуру 3DS. Эмитент карты анализирует полученные данные и определяет, можно ли провести аутентификацию без участия клиента или требуется дополнительная проверка.

Процесс аутентификации 3D Secure

Типичная транзакция включает следующие этапы:

1. Инициирование платежа: клиент вводит данные карты и подтверждает покупку.

2. Обмен информацией: продавец передает сведения о транзакции и устройстве через инфраструктуру 3DS.

3. Оценка рисков: эмитент изучает доступную информацию и оценивает транзакцию.

4. Аутентификация: транзакция проходит по сценарию без дополнительных действий (frictionless flow) или по сценарию с дополнительной проверкой (challenge flow).

5. Результат аутентификации: результат передается соответствующим участникам платежного процесса.

6. Авторизация платежа: транзакция переходит на этап авторизации, на котором эмитент решает, одобрить или отклонить платеж.

Главное различие между двумя сценариями аутентификации заключается в том, требуется ли клиенту выполнять дополнительные действия.

Frictionless Flow: аутентификация без дополнительных действий

Сценарий frictionless flow позволяет эмитенту аутентифицировать транзакцию без необходимости проходить дополнительную проверку.

Например, если клиент совершает обычную покупку с привычного устройства, он может не получить запрос на ввод OTP-кода или уведомление в банковском приложении.

При этом в фоновом режиме происходят следующие действия:

• Продавец передает информацию о транзакции и устройстве.

• Эмитент оценивает доступные данные с помощью своих систем анализа рисков.

• Если транзакция соответствует требованиям эмитента к аутентификации, проверка может быть завершена без дальнейшего участия клиента.

Клиент просто продолжает оформление заказа. Дополнительный экран проверки не требуется.

Challenge Flow: когда требуется дополнительная проверка

Если эмитенту нужна дополнительная информация для подтверждения транзакции, он может запросить дополнительную аутентификацию.

Это может произойти, если покупка совершается с незнакомого устройства, содержит необычные параметры транзакции или сопровождается другими признаками повышенного риска.

К распространенным методам проверки относятся:

• Одноразовый пароль (OTP): временный код, отправленный через поддерживаемый канал проверки.

• Аутентификация через банковское приложение: клиент получает уведомление и подтверждает транзакцию в приложении своего банка.

• Биометрическая аутентификация: поддерживаемые системы могут использовать отпечаток пальца или распознавание лица для проверки держателя карты.

После того как клиент завершит запрошенную проверку, эмитент оценивает результат аутентификации.

Важно различать аутентификацию и авторизацию. Успешное прохождение проверки 3DS не гарантирует одобрения платежа. Эмитент по-прежнему оценивает запрос на авторизацию, учитывая доступные средства, статус карты и другие параметры контроля транзакции.

Какие преимущества дает 3D Secure?

3D Secure предоставляет эмитентам больше информации и дополнительные способы проверки онлайн-транзакций. К основным преимуществам протокола относятся:

Снижение уровня мошенничества при онлайн-платежах

При онлайн-оплате картой ее физическое предъявление не требуется, поэтому продавцам сложнее проверить, кто именно совершает покупку.

3DS помогает решить эту проблему, позволяя эмитентам оценивать детали транзакции, информацию об учетной записи и данные устройства. Если платеж выглядит подозрительно, дополнительная аутентификация может затруднить совершение покупки с использованием украденных данных карты.

Протокол не устраняет мошенничество полностью, но предоставляет эмитентам дополнительный уровень защиты при оценке транзакций без физического присутствия карты.

Более надежная аутентификация держателя карты

Одного номера карты и срока ее действия не всегда достаточно, чтобы подтвердить, что покупку совершает законный держатель карты.

3DS предоставляет дополнительные варианты проверки в зависимости от реализации протокола эмитентом. К ним могут относиться:

• Одноразовые пароли.

• Подтверждения через банковское приложение.

• Поддерживаемые методы биометрической аутентификации.

Это дает эмитентам больше возможностей для проверки держателей карт, особенно когда транзакция требует дополнительных проверок.

Перенос ответственности за чарджбэки

Одной из важных особенностей соответствующих требованиям транзакций 3DS является возможность переноса ответственности за чарджбэки.

Согласно применимым правилам платежных систем, ответственность за определенные подходящие под условия чарджбэки, связанные с мошенничеством, после успешной аутентификации может перейти от продавца к эмитенту.

Однако такая защита не предоставляется автоматически. Она зависит от платежной системы, типа транзакции, результата аутентификации и действующих правил. Продавцам не следует считать, что каждая транзакция, обработанная через 3DS, автоматически получает защиту от ответственности за чарджбэки.

Какие недостатки есть у 3D Secure?

Дополнительная аутентификация может повысить безопасность платежей, но не всегда упрощает оформление заказа. Компаниям также необходимо учитывать ее влияние на добросовестных клиентов.

Дополнительные действия при оформлении заказа

Клиент может быть готов завершить покупку, но ему приходится покидать страницу оформления заказа, открывать банковское приложение или вводить код подтверждения.

Такие дополнительные действия могут быть неудобными, особенно при использовании мобильных устройств. Если процесс занимает слишком много времени или оказывается сложным для понимания, некоторые клиенты могут отказаться от покупки.

Сбои аутентификации

Не каждый клиент может успешно завершить запрос на аутентификацию. К распространенным проблемам относятся:

• Задержка доставки OTP-сообщений или их полное отсутствие.

• Недоступность банковских приложений или сложности с доступом к ним.

• Неправильно введенные данные для проверки.

• Истечение времени ожидания при попытке аутентификации.

У клиента могут быть действительные данные карты и достаточный баланс, но он все равно не сможет завершить платеж, если не удастся пройти этап аутентификации.

Затраты на внедрение и интеграцию

Продавцам также может потребоваться инвестировать в платежную инфраструктуру, техническую интеграцию, тестирование и постоянное обслуживание для поддержки 3DS.

Объем необходимых работ зависит от платежного провайдера и существующей системы оформления заказов. Компаниям, работающим на нескольких рынках, также может потребоваться учитывать различные требования платежных систем и настройки аутентификации.

Как 3D Secure связан с платежами виртуальными картами

Поддерживают ли виртуальные карты 3D Secure?

Да. Виртуальные карты также можно использовать для транзакций, требующих аутентификации 3D Secure.

Несмотря на отсутствие физической формы, виртуальные карты работают через платежные сети. Поэтому к их онлайн-транзакциям могут применяться те же требования аутентификации, что и к операциям с физическими картами.

Необходимость прохождения 3DS при оплате виртуальной картой зависит от нескольких факторов:

• Эмитента карты и доступных ему возможностей аутентификации.

• Требований продавца к оплате.

• Деталей транзакции и результатов оценки рисков.

• Методов проверки, поддерживаемых карточной программой.

Если требуется дополнительная аутентификация, держателю карты может понадобиться пройти проверку с помощью OTP-кода или подтвердить транзакцию через поддерживаемый канал проверки.

Виртуальная карта не позволяет автоматически обходить 3DS. Кроме того, действительные данные карты сами по себе не гарантируют одобрения транзакции.

Как виртуальные карты помогают обеспечить безопасность онлайн-платежей

Виртуальные карты предоставляют компаниям еще один способ организации онлайн-платежей. Если 3D Secure ориентирован на аутентификацию держателя карты, то управление виртуальными картами помогает разделять платежные средства и контролировать расходы на различные сервисы.

BUVEI предлагает виртуальные карты Visa и Mastercard с функциями, предназначенными для различных задач онлайн-оплаты:

• Поддержка нескольких BIN: различные варианты BIN в разных регионах выпуска обеспечивают большую гибкость при использовании карт для поддерживаемых сценариев оплаты.

• Широкая совместимость с платежными сервисами: карты поддерживают оплату таких сервисов, как Google Ads, Meta Ads, TikTok Ads, Microsoft Ads, ChatGPT и Canva, с учетом требований продавцов и эмитентов.

• Управление несколькими картами: выпускайте несколько карт в рамках одной учетной записи, назначайте их для разных сервисов или проектов и устанавливайте индивидуальные лимиты расходов. При необходимости карты также можно заморозить или закрыть.

Эти функции помогают компаниям упорядочивать онлайн-расходы и эффективнее управлять отдельными платежными средствами. Они дополняют такие меры защиты платежей, как 3D Secure, но не заменяют процесс аутентификации.

Заключение

3D Secure помогает защищать онлайн-платежи по картам, предоставляя эмитентам дополнительную информацию для оценки транзакций и проверки держателей карт. Сценарии frictionless и challenge обеспечивают разные уровни аутентификации в зависимости от обстоятельств каждого платежа.

Для компаний, использующих виртуальные карты на рекламных платформах и в SaaS-сервисах, понимание требований к аутентификации — лишь одна из составляющих управления онлайн-платежами. Не менее важно выбирать подходящие карты и поддерживать порядок в расходах.