Jak działa 3D Secure? Proces uwierzytelnienia płatności kartą od strony technicznej
Większość osób korzystających z płatności internetowych spotkała się z dodatkowym potwierdzeniem transakcji kodem SMS, powiadomieniem w aplikacji bankowej albo biometrią. Za ten etap odpowiada najczęściej 3D Secure, czyli standard służący do uwierzytelnienia użytkownika podczas płatności kartą w internecie. Z perspektywy kupującego cały proces trwa zwykle kilka sekund, jednak po jego drugiej stronie współpracują ze sobą sklep internetowy, operator bramki płatniczej, agent rozliczeniowy, organizacja płatnicza, procesor oraz bank lub instytucja, która wydała kartę.
Spis treści:
Czym jest 3D Secure?
3D Secure, w skrócie 3DS, to dodatkowa warstwa bezpieczeństwa stosowana przede wszystkim przy internetowych transakcjach kartowych, czyli transakcjach Card Not Present. Jej zadaniem jest sprawdzenie, czy osoba dokonująca płatności jest rzeczywiście uprawniona do użycia danej karty. Samo podanie numeru karty, daty ważności i kodu CVC nie zawsze wystarcza. Użytkownik może zostać poproszony o wpisanie jednorazowego kodu OTP otrzymanego SMS-em, zatwierdzenie płatności w aplikacji mobilnej albo potwierdzenie operacji za pomocą biometrii.
W przypadku Mastercard rozwiązanie funkcjonuje jako Mastercard Identity Check, natomiast w przypadku Visa jako Visa Secure. Oba rozwiązania korzystają ze standardu EMV 3-D Secure.
Nazwa „3D” odnosi się do trzech domen uczestniczących w procesie: domeny merchanta i jego agenta rozliczeniowego, domeny wydawcy karty oraz domeny interoperacyjnej obsługiwanej przez organizację płatniczą.
Kto uczestniczy w procesie 3DS?
W procesie uwierzytelnienia bierze udział kilka podmiotów:
Cardholder – użytkownik karty.
Merchant – sklep lub usługodawca przyjmujący płatność.
Payment Gateway lub PSP – bramka płatnicza obsługująca proces po stronie sklepu.
Acquirer – agent rozliczeniowy obsługujący merchanta.
Issuer – bank albo instytucja, która wydała kartę.
ACS, czyli Access Control Server – system odpowiedzialny za przeprowadzenie uwierzytelnienia po stronie wydawcy.
Pomiędzy tymi podmiotami działają także 3DS Server oraz Directory Server organizacji płatniczej. Merchant nie kontaktuje się więc bezpośrednio z bankiem klienta. Informacja przechodzi przez bramkę płatniczą, agenta rozliczeniowego, organizację płatniczą oraz procesora obsługującego wydawcę karty.
Jak przebiega proces 3D Secure?
Jak działa 3D Secure? W uproszczeniu cały proces wygląda następująco:
Użytkownik podaje dane karty i zatwierdza zakup.
Merchant przekazuje dane płatności do bramki płatniczej lub PSP.
System 3DS wysyła zapytanie uwierzytelniające przez organizację płatniczą do wydawcy karty.
Wydawca analizuje informacje dotyczące transakcji, urządzenia, użytkownika i merchanta.
Wydawca decyduje, czy transakcja może zostać uwierzytelniona w tle, czy użytkownik musi wykonać dodatkową czynność.
Wynik uwierzytelnienia zostaje przekazany do merchanta.
Następuje właściwa autoryzacja transakcji, podczas której wydawca sprawdza saldo, limity, status karty oraz pozostałe reguły bezpieczeństwa.
Warto odróżnić uwierzytelnienie od autoryzacji. Prawidłowe przejście procesu 3DS nie oznacza jeszcze, że płatność zostanie zaakceptowana. Transakcja może zostać odrzucona później, na przykład z powodu braku środków, przekroczenia limitu albo blokady karty.
Frictionless Flow i Challenge Flow
Nowoczesny standard 3D Secure 2 nie oznacza, że użytkownik zawsze musi wpisywać kod lub otwierać aplikację. Proces może zostać przeprowadzony na dwa sposoby.
Frictionless Flow
W tym wariancie użytkownik nie wykonuje żadnej dodatkowej czynności. Wydawca analizuje dane otrzymane podczas transakcji i na ich podstawie ocenia ryzyko. Pod uwagę mogą być brane między innymi kwota i waluta transakcji, dane urządzenia i przeglądarki, adres IP, historia zakupów, wcześniejsze płatności u danego merchanta oraz sposób korzystania z karty.
Jeżeli ryzyko zostanie ocenione jako niskie, uwierzytelnienie kończy się w tle. Dla użytkownika płatność wygląda wtedy jak zwykła transakcja kartowa, mimo że proces 3DS został przeprowadzony.
Challenge Flow
Jeżeli wydawca potrzebuje dodatkowego potwierdzenia, uruchamiany jest Challenge Flow. Użytkownik może zostać poproszony o wpisanie kodu OTP, zatwierdzenie płatności w aplikacji albo potwierdzenie operacji biometrią. Po wykonaniu zadania ACS przekazuje wynik uwierzytelnienia do pozostałych uczestników procesu płatniczego.
Potwierdzenie płatności kodem SMS
Kod OTP wysyłany SMS-em jest jedną z najbardziej rozpoznawalnych metod 3DS. Procesor wyświetla użytkownikowi formularz z informacjami dotyczącymi transakcji oraz polem do wpisania kodu. Bank lub instytucja płatnicza wysyła jednorazowy kod na numer telefonu przypisany do użytkownika, a system sprawdza jego poprawność.
Zaletą tej metody jest stosunkowo proste wdrożenie oraz brak konieczności tworzenia pełnego procesu potwierdzania płatności w aplikacji mobilnej. Rozwiązanie działa także dla użytkowników, którzy nie korzystają z aplikacji bankowej.
SMS ma jednak istotne ograniczenia. Każda wiadomość generuje koszt, którego wysokość zależy od kraju i operatora. Kod może dotrzeć z opóźnieniem, nie zostać dostarczony albo być niedostępny, gdy użytkownik nie ma dostępu do numeru przypisanego do karty.
Problem jest szczególnie widoczny w międzynarodowych programach kartowych, gdzie wysyłka wiadomości do niektórych krajów może kosztować nawet kilka złotych, a skuteczność dostarczenia zależy od lokalnej infrastruktury telekomunikacyjnej. SMS jest również mniej odporny na niektóre rodzaje ataków niż prawidłowo zabezpieczona autoryzacja w aplikacji mobilnej.
Potwierdzenie płatności w aplikacji mobilnej
Coraz więcej nowoczesnych banków i instytucji płatniczych korzysta z uwierzytelnienia Out of Band, w którym użytkownik potwierdza transakcję w aplikacji mobilnej. Po rozpoczęciu procesu otrzymuje powiadomienie push, a następnie widzi najważniejsze dane płatności, takie jak nazwa merchanta, kwota, waluta oraz czas wykonania operacji.
Użytkownik zatwierdza płatność kodem do aplikacji, odciskiem palca albo rozpoznawaniem twarzy. Implementacja jest bardziej wymagająca, ponieważ trzeba obsłużyć aplikacje na iOS i Androida, backend, powiadomienia push oraz komunikację z ACS. Po zakończeniu integracji metoda nie generuje jednak kosztu każdej wiadomości SMS i działa wszędzie tam, gdzie użytkownik ma dostęp do internetu.
Dodatkową zaletą jest możliwość pokazania użytkownikowi pełnych informacji o transakcji. Dzięki temu nie potwierdza on jedynie abstrakcyjnego kodu, lecz widzi, komu i jaką kwotę ma zapłacić.
Która metoda uwierzytelnienia jest najlepsza?
Najlepszym rozwiązaniem jest zwykle model mieszany, który wykorzystuje powiadomienia push oraz kody SMS. Podstawową metodą może być aplikacja mobilna, a SMS może pełnić funkcję awaryjną, gdy użytkownik nie posiada aplikacji, urządzenie nie odbiera powiadomień albo system nie ma ważnego tokenu push.
Dobór kanału może odbywać się automatycznie na podstawie danych dostępnych u wydawcy. System może sprawdzić, czy użytkownik aktywnie korzysta z aplikacji, kiedy ostatnio się do niej logował, czy poprzednie powiadomienia zostały dostarczone oraz czy numer telefonu jest aktualny.
Możliwe jest również wyświetlenie użytkownikowi wyboru metody bezpośrednio na ekranie 3DS, jeżeli procesor i ACS obsługują taką funkcję.
Kto decyduje o zastosowaniu 3D Secure?
Merchant lub jego PSP może zainicjować proces 3DS i określić preferowany sposób obsługi transakcji. Nie oznacza to jednak, że sklep samodzielnie decyduje o całym przebiegu uwierzytelnienia. Ostateczna decyzja o zastosowaniu Frictionless Flow lub Challenge Flow należy najczęściej do wydawcy karty.
W Europejskim Obszarze Gospodarczym wiele transakcji podlega również wymogom Strong Customer Authentication wynikającym z PSD2. W określonych przypadkach mogą być stosowane wyjątki, między innymi dla transakcji o niskiej wartości, płatności ocenionych jako niskiego ryzyka, zaufanych odbiorców, płatności cyklicznych oraz niektórych transakcji inicjowanych przez merchanta. Nawet gdy merchant lub PSP wnioskuje o zastosowanie wyjątku, wydawca nadal może zażądać pełnego uwierzytelnienia.
Duże sklepy internetowe i platformy często wykorzystują analizę ryzyka oraz dostępne wyjątki, aby ograniczyć liczbę dodatkowych ekranów. Każda dodatkowa czynność może zwiększać bezpieczeństwo, ale jednocześnie obniżać konwersję i prowadzić do przerwania zakupu.
Dlaczego merchantom zależy na 3DS?
Najważniejszym powodem jest ograniczenie oszustw oraz możliwość zastosowania mechanizmu liability shift. Jeżeli użytkownik twierdzi, że nie wykonał transakcji, może zgłosić ją do banku, który następnie rozpocznie procedurę chargeback. Przy prawidłowo przeprowadzonym 3DS odpowiedzialność za część fraudowych chargebacków może przejść z merchanta na wydawcę karty.
Nie oznacza to jednak pełnej ochrony przed wszystkimi reklamacjami. 3DS nie chroni automatycznie przed chargebackami wynikającymi z niedostarczenia towaru, niezgodności produktu z opisem, podwójnego obciążenia, błędu w rozliczeniu, niewłaściwego anulowania subskrypcji albo braku należnego zwrotu.
3DS ogranicza przede wszystkim ryzyko związane z nieautoryzowanym wykorzystaniem karty.
Więcej informacji o bezpieczeństwie płatności kartowych i procedurze chargeback znajduje się w naszym artykule: Najbezpieczniejsza metoda płatności w internecie – płatność kartą.
Czy 3D Secure jest płatne dla merchanta?
Nie istnieje jedna opłata obowiązująca wszystkich merchantów. Koszt zależy od umowy z PSP, agentem rozliczeniowym oraz dostawcą usługi 3DS. W części ofert obsługa jest wliczona w standardową prowizję za płatność. W innych może być naliczana osobna opłata za każdą próbę uwierzytelnienia, również wtedy, gdy sama płatność nie zostanie później zakończona.
Przykładowo Stripe wskazuje w swoim cenniku dla Polski, że w standardowej ofercie Payments obsługa 3DS jest wliczona w koszt, natomiast przy indywidualnym cenniku może zostać naliczona osobna opłata za próbę uwierzytelnienia. Nie jest to jednak uniwersalna stawka rynkowa.
Merchant powinien sprawdzić przede wszystkim, czy opłata jest naliczana za każdą próbę, czy tylko za skuteczne uwierzytelnienie, czy obejmuje Frictionless Flow i Challenge Flow oraz czy nieudane próby również są płatne.
Koszt 3DS jest zazwyczaj znacznie niższy niż potencjalny koszt fraudu, chargebacku, obsługi reklamacji oraz utraty wysłanego towaru.
Jak wygląda wdrożenie 3DS po stronie wydawcy?
Po stronie banku lub instytucji wydającej kartę proces jest bardziej złożony niż przygotowanie formularza do wpisania kodu OTP. Wydawca albo jego procesor musi:
zarejestrować program kartowy w systemie organizacji płatniczej,
skonfigurować komunikację z ACS,
powiązać zakresy BIN z procesem uwierzytelnienia,
ustalić reguły analizy ryzyka,
skonfigurować obsługiwane metody uwierzytelnienia,
zapewnić wysyłkę OTP lub integrację z aplikacją mobilną,
przygotować ekrany wyświetlane użytkownikowi,
przeprowadzić wymagane testy i certyfikację.
W zależności od możliwości procesora można przygotować osobny wygląd ekranu 3DS dla konkretnego programu kartowego. Na ekranie może pojawić się logo wydawcy, partnera lub marki korzystającej z programu. Aby procesor wiedział, który wariant wyświetlić, program kartowy musi być odpowiednio wydzielony i powiązany z właściwą konfiguracją.
Podobny model personalizacji i integracji z aplikacjami opisaliśmy również w artykule: Apple Web Push Provisioning – co dalej po zakończeniu integracji?.
Podsumowanie: Jak działa 3D Secure
3D Secure jest dodatkową warstwą uwierzytelnienia stosowaną przy internetowych transakcjach kartowych. Pozwala wydawcy sprawdzić, czy płatność jest wykonywana przez uprawnionego użytkownika, oraz ogranicza ryzyko oszustw po stronie klienta i merchanta.
Nowoczesny 3DS nie musi oznaczać każdorazowego wpisywania kodu. Transakcja o niskim ryzyku może zostać uwierzytelniona w tle jako Frictionless Flow, natomiast w przypadku podwyższonego ryzyka użytkownik przechodzi Challenge Flow i potwierdza operację SMS-em, w aplikacji albo za pomocą biometrii.
Dla merchanta ważną korzyścią jest możliwość przeniesienia odpowiedzialności za część fraudowych chargebacków. Dla wydawcy wdrożenie oznacza natomiast konieczność połączenia procesora, ACS, organizacji płatniczej, systemu powiadomień oraz aplikacji użytkownika.
W Sparados przeszliśmy ten proces w praktyce. Wspieramy partnerów w uruchamianiu programów kartowych, integracji uwierzytelnienia 3DS, obsłudze kodów OTP oraz przekazywaniu powiadomień 3DS do zewnętrznych aplikacji i systemów.
Powiązane artykuły i materiały:
