Com o crescimento do e-commerce, cada vez mais pagamentos que antes eram feitos em dinheiro passaram a ser digitais, tanto online quanto nas lojas físicas. A história dos pagamentos online remonta a 1994, quando a Stanford Federal Credit Union passou a oferecer internet banking aos seus associados. O crescimento acelerado das compras online, do internet banking e de outros serviços, somado aos avanços tecnológicos, provocou um salto nos pagamentos digitais. Segundo a Statista, a projeção é que os pagamentos digitais no mundo cheguem a US$ 37,45 trilhões em valor transacionado em 2026.
Com o aumento das transações online, cresce também a fraude em pagamentos online. Segundo a Juniper Research, o valor das fraudes no e-commerce foi estimado em cerca de US$ 44 bilhões em 2024, com projeção de chegar a US$ 107 bilhões em 2029. Para reduzir o risco de perdas, fraudes e roubo de identidade, os sistemas de pagamento estão adotando novas tecnologias de autenticação. O 3D Secure (3DS) é o padrão do setor de cartões para isso. A seguir, explicamos como o 3DS funciona, o que mudou com o 3DS2 e como ele afeta as aprovações e a desistência no checkout.
O que é o protocolo 3D Secure e como ele funciona?
O 3DS é um protocolo de autenticação para pagamentos online com cartão: antes de o pagamento ser autorizado, o banco do titular do cartão verifica se quem está pagando é mesmo o titular. Por exemplo, um usuário precisa fazer um pagamento em uma plataforma de e-commerce. Ele informa seus dados e o código CVV e, em seguida, digita em uma janela pop-up o código enviado para o seu número de telefone. Isso confirma que o usuário por trás da tela é o verdadeiro dono do cartão, já que esse número de telefone está vinculado ao cartão.
O nome “3D Secure” não tem nada a ver com realidade aumentada. Ele se refere a três domínios: o domínio adquirente (uma plataforma de e-commerce), o domínio emissor (os bancos) e o domínio de interoperabilidade. As bandeiras de cartão operam o 3DS com nomes próprios: Visa Secure (antigo Verified by Visa), Mastercard Identity Check e American Express SafeKey.
O fluxo de mensagens original do 3D Secure 1.0 entre os três domínios.
- O domínio emissor corresponde aos bancos que emitem os cartões que os usuários usam para comprar produtos ou serviços. No protocolo 3DS, o banco emissor precisa implantar um Access Control Server (ACS) para processar as mensagens do 3D Secure e autenticar o usuário.
- O domínio de interoperabilidade é a camada intermediária entre os domínios emissor e adquirente. Ele permite a troca de informações entre as partes por meio do Directory Server e viabiliza o processo 3DS. O Directory Server recebe as mensagens do MPI e confere o número do cartão no diretório de faixas de BIN antes de enviar a mensagem ao banco emissor correto. Em seguida, o banco emissor faz a sua parte e autentica o usuário.
- O domínio adquirente reúne o gateway de pagamento, o comerciante e os bancos adquirentes. É nele que começa a transação que precisa ser verificada. Nesse domínio, é preciso implantar um MPI (merchant plug-in, ou plug-in do comerciante).
No 3DS2, o 3DS Server assume o papel do plug-in do comerciante, e um 3DS SDK viabiliza a autenticação dentro de apps móveis. O mercado ainda costuma chamar esse componente de MPI, e ele pode rodar internamente ou como um MPI externo.
O 3DS foi lançado em 2001, mas exigia que todo cliente passasse pelo processo de autenticação e fosse redirecionado para uma página pop-up de segurança. Como os clientes precisavam cumprir várias etapas a cada compra online, a taxa de abandono de carrinho começou a subir. O 3DS2 substituiu essa versão, e a Visa desativou o 3D Secure 1.0 em 15 de outubro de 2022; a maioria das outras grandes bandeiras de cartão o desligou no mesmo mês.
3D Secure 2.0 (3DS2)
O 3D Secure 2 (3DS2), também grafado 3DS 2.0 e chamado oficialmente de EMV 3DS, é a versão atual do protocolo 3D Secure. A EMVCo o publicou em 2016 para substituir o 3DS1. O 3DS2 dá ao emissor muito mais dados sobre cada pagamento, então pagamentos de baixo risco podem passar sem desafio. O protocolo também é a principal forma de os pagamentos online com cartão cumprirem as regras de autenticação forte do cliente (SCA) da PSD2.
O 3DS2 não depende de senhas estáticas. Ele permite autenticação dinâmica por códigos de uso único, confirmação no app do banco ou biometria, e também funciona com cartões tokenizados. Em muitos casos, não é preciso digitar dados manualmente. O protocolo fica totalmente integrado à experiência de checkout do comerciante e deixa o pagamento mais fluido para quem compra. No fluxo frictionless (sem interação do cliente), toda a autenticação acontece em segundo plano. Isso reduz a desistência no checkout.
As bandeiras de cartão encerraram o suporte à versão 2.1 do EMV 3DS em setembro de 2024. Em 2026, a versão 2.2 é a mínima, e as bandeiras estão passando a aceitar a versão 2.3.1.
Uma autenticação 3DS2 típica tem seis etapas:
- Coleta de dados. No checkout, o comerciante reúne os detalhes da transação junto com dados do navegador ou do dispositivo. Em apps móveis, um 3DS SDK coleta os dados do dispositivo.
- Solicitação de autenticação. O 3DS Server do comerciante envia uma Authentication Request (AReq) ao Directory Server da bandeira, que a encaminha ao Access Control Server (ACS) do emissor.
- Avaliação de risco. O ACS pontua o pagamento e responde com uma Authentication Response (ARes) por meio do Directory Server. A resposta informa se o pagamento está autenticado, se precisa de um desafio ou se foi rejeitado.
- Fluxo frictionless. Se o emissor considera o pagamento de baixo risco, a ARes já traz o resultado, e o cliente não precisa fazer nada. No Espaço Econômico Europeu (EEE) e no Reino Unido, isso exige uma isenção de SCA, a menos que o pagamento esteja fora do escopo da SCA, por exemplo, quando o cartão foi emitido fora da região.
- Fluxo de desafio (challenge). Caso contrário, o ACS desafia o cliente por meio das mensagens Challenge Request e Challenge Response (CReq/CRes). O cliente confirma no app do banco, digita um código de uso único ou usa biometria. Em seguida, o ACS envia o resultado pelo Directory Server ao 3DS Server em uma Results Request (RReq), e o 3DS Server confirma o recebimento com uma Results Response (RRes).
- Autorização. O comerciante envia a solicitação de autorização por meio da sua adquirente com os dados de autenticação anexados (o valor ECI e o valor de autenticação, chamado de CAVV na Visa e de AAV na Mastercard), e o emissor aprova ou recusa o pagamento.
A tabela abaixo mostra como o 3DS2 se diferencia do 3DS1.
| Aspecto comparado | 3DS1 | 3DS2 |
|---|---|---|
| Como o cliente é autenticado | Senha estática ou código de uso único em uma página separada, em quase todos os pagamentos | Com base em risco. Pagamentos de baixo risco podem passar sem ação do cliente, no EEE e no Reino Unido apenas com uma isenção de SCA. Os demais recebem um desafio no app do banco, por código de uso único ou com biometria |
| Dados compartilhados com o emissor | Um pequeno conjunto de dados do cartão e da transação | Dados muito mais completos, incluindo detalhes do dispositivo, do navegador e da transação |
| Experiência de checkout | Pop-up ou redirecionamento na maioria dos pagamentos, o que aumentava o abandono de carrinho | Desafio apenas quando o emissor o solicita, exibido dentro do checkout |
| Suporte a dispositivos móveis e apps | Feito para navegadores de desktop, sem fluxo nativo dentro de apps | Autenticação nativa dentro de apps por meio de um 3DS SDK |
| Mensagens usadas | VEReq/VERes e PAReq/PARes | AReq/ARes, CReq/CRes e RReq/RRes |
| Status atual | Desativado pela Visa em 15 de outubro de 2022 e pela maioria das outras grandes bandeiras no mesmo mês | A versão 2.2 é a mínima, e as bandeiras estão passando a aceitar a versão 2.3.1 |
Por que implementar a autenticação 3D Secure 2.0?
O 3DS 2.0 é uma versão melhor que o 3DS 1.0 porque oferece aos consumidores uma experiência de pagamento consistente, seja qual for o dispositivo usado. Os comerciantes podem se beneficiar muito das mudanças trazidas pelo 3D Secure 2 para aumentar as vendas. Veja os principais benefícios do 3DS2 para comerciantes online.
Mais aprovações
Os emissores recebem muito mais dados sobre cada pagamento. Isso os ajuda a aprovar mais transações legítimas e a recusar menos por engano.
Menores taxas de desistência
O 3D Secure 2 permite que muitos pagamentos de baixo risco sejam concluídos sem desafio. Quando o desafio é necessário, ele aparece dentro do checkout ou no app do banco, e não em uma página separada. Assim, menos clientes abandonam o carrinho. Quando anunciou o suporte ao 3DS2 em maio de 2017, a Visa citou estudos indicando que o abandono de carrinho poderia cair até 70%. Isso pesa no EEE, onde a EBA (Autoridade Bancária Europeia) definiu 31 de dezembro de 2020 como prazo para a SCA nos pagamentos com cartão no e-commerce. Também pesa para comerciantes que vendem no Reino Unido, onde a FCA espera conformidade total com a SCA no e-commerce desde 14 de março de 2022.
Mas, antes de colher os benefícios do 3DS2, é preciso integrá-lo ao seu sistema de pagamento. Do ponto de vista técnico, podem surgir alguns desafios. Por isso, recomendamos usar uma plataforma de gateway de pagamento white label como a Akurateco, que oferece a infraestrutura e as funcionalidades necessárias para uma experiência de pagamento fluida e segura.
Transferência de responsabilidade por fraude
Quando um pagamento é autenticado pelo 3D Secure, a responsabilidade pelos chargebacks relacionados a fraude geralmente passa do comerciante para o emissor do cartão (o chamado liability shift). As regras exatas dependem da bandeira e da região. Em geral, essa transferência não se aplica quando o comerciante ou a sua adquirente solicita uma isenção de SCA e o pagamento é concluído sem desafio.
Como a Akurateco oferece suporte à autenticação 3DS 2.0
A Akurateco oferece suporte ao 3DS2 em três modelos e não fica presa a uma única versão do protocolo: trabalha com a versão que o conector aceitar. No modelo principal, o 3DS roda do lado da adquirente. A adquirente é dona do 3DS Server, e a plataforma cuida do redirecionamento, da coleta de dados do navegador e do desafio. Os prestadores de serviços de pagamento (PSPs) também podem usar um MPI externo gerenciado pela Akurateco. Comerciantes com MPI próprio podem enviar o resultado (ECI, CAVV e DS Transaction ID) pela API. A autenticação em apps também funciona, com o comerciante recebendo as instruções pela API ou pelo SDK.
Isso também mostra na prática como funciona um gateway de pagamento white label. A plataforma cuida da lógica de autenticação e do roteamento de transações em segundo plano, enquanto os PSPs e os comerciantes mantêm o controle da experiência do cliente.
Não há mudança automática para um fluxo sem 3DS, porque nem todo MID (identificador do estabelecimento) aceita pagamentos com e sem 3DS. Se a autenticação for bem-sucedida, mas a autorização receber uma recusa temporária (soft decline), a plataforma faz o roteamento em cascata do pagamento para outro MID. O resultado do 3DS é reaproveitado, então não é preciso autenticar de novo.
Em um dos nossos casos, um MPI externo simplificou o roteamento em cascata. O pagador precisou se autenticar apenas uma vez e não foi solicitado de novo quando o pagamento passou para outro provedor. A partir daí, o roteamento em cascata não exigiu nenhuma ação a mais do pagador. Assim, o pagamento teve mais chance de ser concluído com sucesso em outro provedor do que quando o pagador precisava digitar um código de uso único três vezes ou mais.
O MPI externo também permite que a plataforma solicite um tipo específico de 3DS, mas não uma versão específica. As opções são Not Enrolled, Frictionless, Challenge Needed e No Liability Shift. Se a plataforma solicitar Frictionless, mas o emissor não processar o pagamento dessa forma, o MPI passa automaticamente para Challenge.
Conclusão
O setor bancário continua evoluindo e lançando novos produtos que estão transformando os pagamentos online. O 3DS é, sem dúvida, uma solução sofisticada de autenticação de pagamentos, com potencial para melhorar muito a segurança das transações e a experiência do usuário. Esses fatores são importantes para os clientes e para que os comerciantes mantenham altas as taxas de conversão. Por isso, implementar o protocolo de autenticação 3DS 2.0 é vantajoso para os dois lados.
Perguntas frequentes
O que é o 3D Secure (3DS)?
O 3D Secure é um protocolo de segurança que acrescenta uma camada extra de autenticação aos pagamentos online com cartão, por exemplo, a confirmação de um código de uso único enviado para o celular do titular, para verificar se quem está pagando é mesmo o titular do cartão.
O que significa o “3D” de 3D Secure?
Refere-se a três domínios, e não a realidade aumentada: o domínio adquirente (o comerciante e o banco adquirente), o domínio emissor (o banco do titular do cartão) e o domínio de interoperabilidade, que faz a mediação entre eles.
O que é o 3DS2?
O 3DS2, também chamado de 3DS 2.0 ou EMV 3DS, é a versão atual do protocolo 3D Secure, publicada pela EMVCo em 2016. Ele envia ao emissor muito mais dados sobre cada pagamento. Pagamentos de baixo risco podem passar sem desafio, no EEE e no Reino Unido apenas com uma isenção de SCA. Os demais são confirmados no app do banco, com um código de uso único ou por biometria. O 3DS2 também funciona dentro de apps móveis.
Qual é a diferença entre o 3DS1 e o 3DS2?
O 3DS 1.0 exigia que os clientes concluíssem a autenticação em um pop-up de redirecionamento, o que aumentava o abandono de carrinho. O 3DS 2.0 compartilha muito mais dados com o emissor, então pagamentos de baixo risco podem passar em um fluxo frictionless, e os demais recebem um desafio pelo app do banco, por código de uso único ou por biometria. A Visa desativou o 3DS 1.0 em 15 de outubro de 2022, e a maioria das outras grandes bandeiras de cartão o desligou no mesmo mês.
Por que os comerciantes devem implementar o 3D Secure 2.0?
O 3DS 2.0 dá aos emissores acesso a mais pontos de dados, para que possam aprovar mais transações legítimas e reduzir as recusas indevidas, enquanto o seu fluxo frictionless reduz a desistência. Quando anunciou o suporte ao 3DS2 em 2017, a Visa afirmou que estudos mostravam que o abandono de carrinho poderia cair até 70%.
O 3DS 1.0 ainda é aceito?
Não nas principais bandeiras de cartão. A Visa desativou o 3DS 1.0 em 15 de outubro de 2022, e a maioria das outras grandes bandeiras o desligou no mesmo mês. O suporte à versão 2.1 do EMV 3DS terminou em setembro de 2024, então a versão 2.2 é hoje a mínima. A Akurateco não fica presa a uma versão do 3DS: trabalha com a versão que cada conector aceita e coleta os dados que essa versão exige.
