Con el crecimiento del comercio electrónico, cada vez más pagos que antes se hacían en efectivo ahora son digitales, tanto en línea como en tiendas físicas. La historia de los pagos en línea se remonta a 1994, cuando la Stanford Federal Credit Union empezó a ofrecer banca en línea a sus socios. El rápido crecimiento de las compras en línea, de la banca en línea y de otros servicios, junto con los avances tecnológicos, provocó un auge de los pagos digitales. Según Statista, se proyecta que los pagos digitales en el mundo alcancen un valor de transacciones de USD 37.45 billones (millones de millones) en 2026.
Con el aumento de las transacciones en línea, también crece el fraude en los pagos en línea. Según Juniper Research, el valor del fraude en el comercio electrónico se estimó en unos USD 44 mil millones en 2024, y se proyecta que llegue a USD 107 mil millones en 2029. Para reducir el riesgo de pérdidas, fraude y robo de identidad, los sistemas de pago están adoptando nuevas tecnologías de autenticación. 3D Secure (3DS) es el estándar de la industria de tarjetas para esto. A continuación, explicamos cómo funciona el 3DS, qué cambió con el 3DS2 y cómo afecta a las aprobaciones y al abandono en el checkout.
¿Qué es el protocolo 3D Secure y cómo funciona?
El 3DS es un protocolo de autenticación para pagos en línea con tarjeta: antes de que se autorice un pago, el banco del titular de la tarjeta verifica que quien paga sea realmente el titular. Por ejemplo, un usuario necesita hacer un pago en una plataforma de comercio electrónico. Ingresa sus datos y el código CVV y luego debe escribir, en una ventana emergente, el código que se envió a su número de teléfono. Esto confirma que el usuario detrás de la pantalla es el verdadero dueño de la tarjeta, ya que ese número de teléfono está asociado a la tarjeta.
El nombre “3D Secure” no tiene nada que ver con la realidad aumentada. Se refiere a tres dominios: el dominio adquirente (una plataforma de comercio electrónico), el dominio emisor (los bancos) y el dominio de interoperabilidad. Las marcas de tarjetas operan el 3DS con nombres propios: Visa Secure (antes Verified by Visa), Mastercard Identity Check y American Express SafeKey.
El flujo de mensajes original de 3D Secure 1.0 entre los tres dominios.
- El dominio emisor corresponde a los bancos que emiten las tarjetas que los usuarios utilizan para comprar productos o servicios. En el protocolo 3DS, el banco emisor debe implementar un Access Control Server (ACS) para procesar los mensajes de 3D Secure y autenticar al usuario.
- El dominio de interoperabilidad es la capa intermedia entre los dominios emisor y adquirente. Permite el intercambio de información entre las partes a través del Directory Server y hace posible el proceso 3DS. El Directory Server recibe los mensajes del MPI y verifica el número de tarjeta en el directorio de rangos de BIN antes de enviar el mensaje al banco emisor correcto. Luego, el banco emisor hace su parte y autentica al usuario.
- El dominio adquirente abarca la pasarela de pago, el comercio y los bancos adquirentes. Es donde se inicia la transacción que debe verificarse. En este dominio hay que implementar un MPI (merchant plug-in, o plug-in del comercio).
En el 3DS2, el 3DS Server asume la función del plug-in del comercio, y un 3DS SDK permite la autenticación dentro de las apps móviles. La industria todavía suele llamar MPI a este componente, que puede operar internamente o como un MPI externo.
El 3DS se lanzó en 2001, pero implicaba que todos los clientes pasaran por el proceso de autenticación y fueran redirigidos a una página emergente de seguridad. Como los clientes tenían que completar muchos pasos cada vez que compraban en línea, la tasa de abandono del carrito empezó a subir. El 3DS2 lo reemplazó, y Visa retiró 3D Secure 1.0 el 15 de octubre de 2022; la mayoría de las demás grandes marcas de tarjetas lo desactivó ese mismo mes.
3D Secure 2.0 (3DS2)
3D Secure 2 (3DS2), también escrito 3DS 2.0 y llamado formalmente EMV 3DS, es la versión actual del protocolo 3D Secure. EMVCo lo publicó en 2016 para reemplazar al 3DS1. El 3DS2 le da al emisor muchos más datos sobre cada pago, por lo que los pagos de bajo riesgo pueden pasar sin desafío. El protocolo también es la principal vía para que los pagos en línea con tarjeta cumplan las reglas de autenticación reforzada de clientes (SCA) de la PSD2.
El 3DS2 no depende de contraseñas estáticas. Permite la autenticación dinámica mediante códigos de un solo uso, confirmación en la app del banco o biometría, y también funciona con tarjetas tokenizadas. En muchos casos, no hace falta ingresar datos manualmente. El protocolo está totalmente integrado en la experiencia de checkout del comercio y hace que el pago sea más fluido para los compradores. En el flujo frictionless (sin intervención del cliente), toda la autenticación ocurre en segundo plano. Esto reduce el abandono en el checkout.
Las marcas de tarjetas dejaron de admitir la versión 2.1 de EMV 3DS en septiembre de 2024. En 2026, la versión 2.2 es la mínima, y las marcas están incorporando la compatibilidad con la versión 2.3.1.
Una autenticación 3DS2 típica tiene seis pasos:
- Recopilación de datos. En el checkout, el comercio reúne los detalles de la transacción junto con datos del navegador o del dispositivo. En las apps móviles, un 3DS SDK recopila los datos del dispositivo.
- Solicitud de autenticación. El 3DS Server del comercio envía una Authentication Request (AReq) al Directory Server de la marca de tarjeta, que la reenvía al Access Control Server (ACS) del emisor.
- Evaluación de riesgo. El ACS califica el pago y responde con una Authentication Response (ARes) a través del Directory Server. La respuesta indica si el pago está autenticado, si necesita un desafío o si fue rechazado.
- Flujo frictionless. Si el emisor considera que el pago es de bajo riesgo, la ARes ya incluye el resultado y el cliente no tiene que hacer nada. En el Espacio Económico Europeo (EEE) y el Reino Unido, esto requiere una exención de SCA, salvo que el pago esté fuera del alcance de la SCA, por ejemplo, cuando la tarjeta se emitió fuera de la región.
- Flujo de desafío (challenge). En caso contrario, el ACS desafía al cliente mediante los mensajes Challenge Request y Challenge Response (CReq/CRes). El cliente confirma en la app del banco, ingresa un código de un solo uso o usa biometría. Después, el ACS envía el resultado a través del Directory Server al 3DS Server en una Results Request (RReq), y el 3DS Server confirma la recepción con una Results Response (RRes).
- Autorización. El comercio envía la solicitud de autorización a través de su adquirente con los datos de autenticación adjuntos (el valor ECI y el valor de autenticación, llamado CAVV en Visa y AAV en Mastercard), y el emisor aprueba o rechaza el pago.
La siguiente tabla muestra en qué se diferencia el 3DS2 del 3DS1.
| Aspecto comparado | 3DS1 | 3DS2 |
|---|---|---|
| Cómo se autentica al cliente | Una contraseña estática o un código de un solo uso en una página aparte, en casi todos los pagos | Basada en el riesgo. Los pagos de bajo riesgo pueden pasar sin acción del cliente; en el EEE y el Reino Unido, solo con una exención de SCA. El resto recibe un desafío en la app del banco, con un código de un solo uso o con biometría |
| Datos compartidos con el emisor | Un conjunto reducido de datos de la tarjeta y de la transacción | Datos mucho más completos, incluidos detalles del dispositivo, del navegador y de la transacción |
| Experiencia de checkout | Una ventana emergente o una redirección en la mayoría de los pagos, lo que aumentaba el abandono del carrito | Un desafío solo cuando el emisor lo solicita, mostrado dentro del checkout |
| Compatibilidad con móviles y apps | Diseñado para navegadores de escritorio, sin un flujo nativo dentro de las apps | Autenticación nativa dentro de las apps mediante un 3DS SDK |
| Mensajes utilizados | VEReq/VERes y PAReq/PARes | AReq/ARes, CReq/CRes y RReq/RRes |
| Estado actual | Retirado por Visa el 15 de octubre de 2022 y por la mayoría de las demás grandes marcas ese mismo mes | La versión 2.2 es la mínima, y las marcas están incorporando la compatibilidad con la versión 2.3.1 |
¿Por qué implementar la autenticación 3D Secure 2.0?
El 3DS 2.0 es una versión mejor que el 3DS 1.0 porque ofrece a los consumidores una experiencia de pago coherente, sin importar el dispositivo que usen. Los comercios pueden sacar mucho provecho de los cambios que trajo 3D Secure 2 para impulsar sus ventas. Estos son los principales beneficios del 3DS2 para los comercios en línea.
Más aprobaciones
Los emisores reciben muchos más datos sobre cada pago. Eso los ayuda a aprobar más transacciones legítimas y a rechazar menos por error.
Menores tasas de abandono
3D Secure 2 permite que muchos pagos de bajo riesgo se completen sin desafío. Cuando se necesita un desafío, aparece dentro del checkout o en la app del banco, no en una página aparte. Así, menos clientes abandonan el carrito. Cuando Visa anunció la compatibilidad con 3DS2 en mayo de 2017, citó estudios que sugerían que el abandono del carrito podría bajar hasta un 70 %. Esto importa en el EEE, donde la EBA (Autoridad Bancaria Europea) fijó el 31 de diciembre de 2020 como plazo para aplicar la SCA en los pagos con tarjeta del comercio electrónico. También importa para los comercios que venden en el Reino Unido, donde la FCA espera el pleno cumplimiento de la SCA en el comercio electrónico desde el 14 de marzo de 2022.
Pero antes de aprovechar los beneficios del 3DS2, tienes que integrarlo en tu sistema de pagos. Desde el punto de vista técnico, puede haber algunos desafíos. Por eso recomendamos usar una plataforma de pasarela de pago de marca blanca como Akurateco, que ofrece la infraestructura y las funcionalidades necesarias para brindar una experiencia de pago fluida y segura.
Transferencia de responsabilidad por fraude
Cuando un pago se autentica mediante 3D Secure, la responsabilidad por los contracargos relacionados con fraude suele pasar del comercio al emisor de la tarjeta (lo que se conoce como liability shift). Las reglas exactas dependen de la marca de tarjeta y de la región. Por lo general, esta transferencia no se aplica cuando el comercio o su adquirente solicita una exención de SCA y el pago se completa sin desafío.
Cómo Akurateco admite la autenticación 3DS 2.0
Akurateco admite el 3DS2 mediante tres modelos y no está atada a una sola versión del protocolo: trabaja con la versión que admita el conector. En el modelo principal, el 3DS se ejecuta del lado del adquirente. El adquirente es dueño del 3DS Server, y la plataforma se encarga de la redirección, la recopilación de datos del navegador y el desafío. Los proveedores de servicios de pago (PSP) también pueden usar un MPI externo gestionado por Akurateco. Los comercios con MPI propio pueden enviar el resultado (ECI, CAVV y DS Transaction ID) a través de la API. La autenticación desde apps también funciona: el comercio recibe las instrucciones a través de la API o del SDK.
Esto también muestra en la práctica cómo funciona una pasarela de pago de marca blanca. La plataforma se encarga de la lógica de autenticación y del enrutamiento de transacciones en segundo plano, mientras los PSP y los comercios mantienen el control de la experiencia del cliente.
No hay un cambio automático a un flujo sin 3DS, porque no todos los MID (identificador del comercio) aceptan pagos con y sin 3DS. Si la autenticación es exitosa, pero la autorización recibe un rechazo temporal (soft decline), la plataforma hace el enrutamiento en cascada del pago hacia otro MID. El resultado del 3DS se reutiliza, así que no hace falta una nueva autenticación.
En uno de nuestros casos, un MPI externo simplificó el enrutamiento en cascada. El pagador tuvo que autenticarse una sola vez y no se le volvió a pedir cuando el pago pasó a otro proveedor. A partir de ahí, el enrutamiento en cascada no le exigió ninguna acción adicional. Así, el pago tuvo más probabilidades de completarse con otro proveedor que cuando el pagador tenía que ingresar un código de un solo uso tres veces o más.
El MPI externo también permite que la plataforma solicite un tipo específico de 3DS, aunque no una versión específica. Las opciones son Not Enrolled, Frictionless, Challenge Needed y No Liability Shift. Si la plataforma solicita Frictionless, pero el emisor no procesa el pago de esa forma, el MPI pasa automáticamente a Challenge.
Conclusión
El sector bancario sigue evolucionando y lanzando nuevos productos que están transformando los pagos en línea. Sin duda, el 3DS es una solución sofisticada de autenticación de pagos, con potencial para mejorar mucho la seguridad de las transacciones y la experiencia del usuario. Estos factores son importantes para los clientes y para que los comercios mantengan altas sus tasas de conversión. Por eso, implementar el protocolo de autenticación 3DS 2.0 beneficia a ambas partes.
Preguntas frecuentes
¿Qué es 3D Secure (3DS)?
3D Secure es un protocolo de seguridad que agrega una capa extra de autenticación a los pagos en línea con tarjeta, por ejemplo, la confirmación de un código de un solo uso enviado al celular del titular, para verificar que quien paga sea realmente el titular de la tarjeta.
¿Qué significa el “3D” de 3D Secure?
Se refiere a tres dominios, no a la realidad aumentada: el dominio adquirente (el comercio y el banco adquirente), el dominio emisor (el banco del titular de la tarjeta) y el dominio de interoperabilidad, que actúa como intermediario entre ambos.
¿Qué es el 3DS2?
El 3DS2, también llamado 3DS 2.0 o EMV 3DS, es la versión actual del protocolo 3D Secure, publicada por EMVCo en 2016. Envía al emisor muchos más datos sobre cada pago. Los pagos de bajo riesgo pueden pasar sin desafío; en el EEE y el Reino Unido, solo con una exención de SCA. El resto se confirma en la app del banco, con un código de un solo uso o con biometría. El 3DS2 también funciona dentro de las apps móviles.
¿Cuál es la diferencia entre el 3DS1 y el 3DS2?
El 3DS 1.0 obligaba a los clientes a completar la autenticación en una ventana emergente de redirección, lo que aumentaba el abandono del carrito. El 3DS 2.0 comparte muchos más datos con el emisor, así que los pagos de bajo riesgo pueden pasar por un flujo frictionless, y el resto recibe un desafío en la app del banco, con un código de un solo uso o con biometría. Visa retiró el 3DS 1.0 el 15 de octubre de 2022, y la mayoría de las demás grandes marcas de tarjetas lo desactivó ese mismo mes.
¿Por qué los comercios deberían implementar 3D Secure 2.0?
El 3DS 2.0 da a los emisores acceso a más puntos de datos, para que puedan aprobar más transacciones legítimas y reducir los rechazos indebidos, mientras su flujo frictionless reduce el abandono. Cuando Visa anunció la compatibilidad con 3DS2 en 2017, afirmó que, según estudios, el abandono del carrito podría bajar hasta un 70 %.
¿Se sigue admitiendo el 3DS 1.0?
No en las principales marcas de tarjetas. Visa retiró el 3DS 1.0 el 15 de octubre de 2022, y la mayoría de las demás grandes marcas lo desactivó ese mismo mes. La compatibilidad con la versión 2.1 de EMV 3DS terminó en septiembre de 2024, así que hoy la versión mínima es la 2.2. Akurateco no está atada a una sola versión de 3DS: trabaja con la versión que admita cada conector y recopila los datos que esa versión exige.
