¿Qué es 3D Secure? Guía para comercios sobre la autenticación 3DS

Puntos clave

• Descubre cómo 3DS autentica a los titulares de tarjetas en pagos online y facilita el cumplimiento de los requisitos de SCA de PSD2.
• Entiende cómo funcionan los flujos sin fricción y con desafío, las exenciones y las reglas sobre el traspaso de responsabilidad.
• Aprende a activar, optimizar y solucionar problemas de 3DS como comercio.

Todo pago online con tarjeta conlleva un riesgo inherente, ya que el cliente no está físicamente delante de ti para confirmar que es quien realiza la compra. Si una transacción resulta ser fraudulenta, alguien tiene que asumir la pérdida y, por defecto, ese alguien es el comercio. Sin embargo, la autenticación 3D Secure cambia quién asume la responsabilidad en estos casos.

3DS es un protocolo de autenticación que verifica la identidad del titular de la tarjeta con su emisor antes de autorizar una transacción con tarjeta no presente. Para los comercios del EEE y Reino Unido, 3DS permite cumplir los requisitos de autenticación reforzada de clientes (SCA) establecidos por PSD2. En otros mercados, ayuda a trasladar la responsabilidad fuera del comercio y a proteger las tasas de aprobación.

En este artículo explicamos todo lo que necesitas saber sobre el funcionamiento práctico de 3DS, cuándo las exenciones de SCA permiten evitar el desafío, qué cubre realmente el traspaso de responsabilidad y cómo activar 3DS como comercio.
 

3DS está regulado por EMVCo, propiedad conjunta de las principales redes de tarjetas y gestionado por ellas: Visa, Mastercard, American Express, Discover, JCB y UnionPay.

Cada una de estas redes utiliza su propia implementación de 3DS, pero todas se basan en el mismo protocolo EMV 3DS.

En la práctica, 3DS puede consistir, por ejemplo, en que un cliente realice una compra online y su banco le envíe una contraseña de un solo uso (OTP) para completar la transacción. Como el cliente no está físicamente presente ante el comercio, esta autenticación adicional aporta una capa de seguridad para verificar la identidad del titular de la tarjeta.

Recuerda que 3D Secure se utiliza para la autenticación y funciona junto con los sistemas de detección de fraude y evaluación de riesgos para reforzar la seguridad. Una transacción 3DS puede seguir siendo identificada como fraudulenta o rechazada por el emisor, pero, cuando se implementa correctamente, 3DS puede trasladar la responsabilidad en caso de fraude.

¿Cómo funciona la autenticación 3DS?

3DS se ejecuta después de que el cliente introduzca sus datos de pago, pero antes de que el emisor autorice la transacción. Su funcionamiento depende del nivel de riesgo. Así es un flujo 3DS2 habitual:
 

• El cliente inicia el pago introduciendo los datos de su tarjeta en la página de pago online del comercio.
• Antes de que ocurra nada visible para el cliente, el proveedor de pagos del comercio envía datos de la transacción al emisor para que evalúe el riesgo. Estos datos pueden incluir la huella digital del dispositivo, la dirección de facturación, el importe de la transacción, el comportamiento de compra y otros factores. El emisor utiliza toda esta información para evaluar el riesgo de la transacción.
• En función de esa evaluación, el emisor puede aprobar la autenticación en segundo plano y autorizar la transacción, lo que se conoce como flujo sin fricción, o pedir al cliente que verifique su identidad mediante un flujo con desafío.
• Si es necesario realizar el desafío, el cliente completa una fase adicional de autenticación, por ejemplo, una verificación biométrica a través de la aplicación bancaria, una notificación push o una OTP enviada por SMS.
• Una vez completada la autenticación, la transacción continúa con el proceso habitual de autorización del pago y se aprueba o se rechaza.

 
Flujo sin fricción frente a flujo con desafío en 3DS

Las transacciones 3DS pueden variar de un cliente a otro. Algunas se aprueban en segundo plano, mientras que otras requieren un paso adicional de verificación.

En un flujo sin fricción, el emisor aprueba la autenticación únicamente a partir de los datos de riesgo. El cliente no recibe ninguna solicitud adicional y la transacción se completa como si 3DS no estuviera presente. Es el flujo preferido para las transacciones de bajo riesgo.

En un flujo con desafío, el emisor necesita más pruebas de que el cliente es realmente quien dice ser. Se solicita al cliente que se autentique y, una vez completado el desafío de 3DS, la transacción continúa. Por lo general, según los requisitos de SCA de PSD2, se requiere un desafío cuando una transacción no puede acogerse a una exención de SCA, como explicamos a continuación.

Relación entre 3DS y SCA

Según PSD2, un cliente debe demostrar su identidad mediante al menos dos de estos tres factores: algo que sabe, algo que tiene y algo que es. Este requisito está regulado por la SCA y puede aplicarse mediante el protocolo 3DS.

Anteriormente, 3DS se utilizaba como una herramienta opcional de prevención del fraude. Sin embargo, con la entrada en vigor de PSD2, 3DS2 se convirtió en una de las formas más prácticas de cumplir los requisitos de SCA para transacciones CNP en el EEE y Reino Unido.

Por tanto, cuando un emisor solicita un desafío mediante 3DS, está aplicando la SCA. Cuando una transacción se procesa mediante un flujo sin fricción, el emisor ha determinado que presenta un riesgo suficientemente bajo como para aplicar una exención de SCA o que está fuera del ámbito de aplicación de SCA.

Evitar el desafío de 3DS mediante exenciones de SCA

La SCA no es obligatoria para todas las transacciones. PSD2 contempla diferentes exenciones que permiten que determinadas transacciones de bajo riesgo se procesen sin necesidad de un desafío. Los comercios y adquirentes pueden solicitar determinadas exenciones durante la autorización, pero la decisión final corresponde al emisor.

Las principales exenciones de SCA son:

• Análisis de riesgo de la transacción (TRA): puede solicitarse cuando las tasas de fraude del adquirente o del emisor son suficientemente bajas, en función del valor de la transacción. El importe depende de la tasa de fraude, pero, por lo general, TRA no se aplica a transacciones superiores a 500 €.
• Pago de bajo valor (LVP): las transacciones inferiores a 30 € pueden quedar exentas de SCA, hasta un máximo de cinco transacciones exentas consecutivas o un importe acumulado de 100 €. Superados estos límites, vuelve a ser necesaria la SCA.
• Transacción iniciada por el comercio (MIT): incluye operaciones como renovaciones de suscripciones, cobros recurrentes y otras transacciones en las que el cliente no está presente en el momento del cargo. La transacción inicial debe incluir SCA, pero las MIT recurrentes suelen estar exentas.
• Beneficiario de confianza: el cliente puede añadir determinados comercios a una lista de confianza a través de su banco, de modo que las futuras transacciones puedan quedar exentas de SCA.
• Pagos corporativos seguros: determinadas transacciones B2B realizadas con tarjetas corporativas específicas pueden quedar exentas.

Traspaso de responsabilidad por fraude con 3DS

Uno de los principales motivos para utilizar 3DS incluso cuando SCA no es estrictamente necesaria es el traspaso de responsabilidad. Cuando una transacción se autentica correctamente mediante 3DS y posteriormente se disputa por fraude, la responsabilidad por el contracargo pasa del comercio al emisor.

Sin 3DS, los contracargos por fraude son responsabilidad del comercio. Esto significa que puede tener que asumir el coste de los productos, la comisión del contracargo y posibles penalizaciones del sistema de tarjetas si su tasa de fraude alcanza niveles demasiado elevados. Con 3DS, el emisor autentica al titular de la tarjeta y, por tanto, asume las pérdidas correspondientes en los casos cubiertos.

Esto también puede aplicarse a los flujos sin fricción en los que no existe un desafío visible. Siempre que la transacción se autentique mediante 3DS y el emisor devuelva una autenticación correcta, la responsabilidad puede trasladarse fuera del comercio independientemente de que el cliente haya visto o no un desafío.

Sin embargo, es importante recordar que este traspaso de responsabilidad solo cubre disputas por fraude. Los contracargos por productos no recibidos, productos que no se corresponden con la descripción, procesamiento duplicado o errores de autorización siguen siendo responsabilidad del comercio, independientemente de 3DS.

Además, si solicitas una exención y el emisor devuelve un soft decline, pero no vuelves a intentar la operación mediante 3DS, la transacción original no se considera autenticada. En ese caso, como comercio, sigues siendo responsable de futuras disputas por fraude.

3D Secure en diferentes situaciones comerciales

Como comercio, es importante entender cuándo y por qué interviene 3DS, ya que la autenticación no funciona de la misma manera en todos los tipos de transacción. Estos son algunos casos habituales:

• Transacciones CNP puntuales: es el escenario habitual en el que el cliente introduce los datos de su tarjeta y 3DS utiliza un flujo sin fricción o con desafío.
• Pagos recurrentes y suscripciones: la primera transacción se autentica mediante 3DS y SCA. Las renovaciones posteriores se procesan como MIT y no necesitan 3DS siempre que el mandato original siga siendo válido.
• Pagos tokenizados: cuando un cliente paga con una cartera digital como Apple Pay o Google Pay, la SCA se realiza a nivel del dispositivo mediante biometría, por lo que normalmente no vuelve a activarse 3DS durante el proceso de pago.
• Transacciones transfronterizas: 3DS sigue siendo relevante cuando el emisor o el adquirente se encuentra en el EEE o Reino Unido. Fuera de ese ámbito, 3DS puede ser opcional, aunque sigue influyendo en el traspaso de responsabilidad por fraude.

Cómo activar 3D Secure como comercio

Los comercios pueden activar 3DS a través de su proveedor de servicios de pago (PSP) o adquirente. El proceso suele ser el siguiente:

1. Confirma que tu PSP admite EMV 3DS2. Es fundamental, ya que muchos emisores han dejado de admitir 3DS1.
2. Activa 3DS a nivel de cuenta o procesador. Muchos PSP modernos, como Planet, activan 3DS de forma predeterminada para el tráfico del EEE y Reino Unido.
3. Envía tantos datos como sea posible en la solicitud de autenticación para favorecer los flujos sin fricción. Puedes incluir la huella digital del dispositivo, la dirección de facturación, el correo electrónico, los datos de envío y el historial de compras del cliente. Cuanta más información tenga el emisor, mayores serán las posibilidades de que apruebe la autenticación sin fricción.
4. Configura la lógica de las exenciones. Como comercio, puedes decidir cuándo solicitar exenciones TRA, LVP o MIT y cómo gestionar los soft declines.
5. Prueba el flujo en un entorno sandbox antes de pasar a producción. La mayoría de los PSP permiten realizar transacciones de prueba en modo desafío y sin fricción utilizando tarjetas de prueba.

3DS es solo una parte de la estrategia contra el fraude en operaciones CNP. Los controles antifraude de tu PSP, las señales de riesgo de las redes de tarjetas y tus propias reglas de riesgo funcionan conjuntamente con 3DS.

¿Por qué falla 3DS y qué se puede hacer?

3DS puede fallar en distintos puntos del proceso y por diferentes motivos. Estos son algunos de los más habituales:
 

• OTP incorrecta: el cliente introduce un código incorrecto. Normalmente puede volver a intentarlo.
• OTP no recibida: puede que el número de teléfono del cliente esté desactualizado o que se haya producido un retraso en la entrega del SMS. Cambiar a la autenticación dentro de la aplicación suele resolver este problema.
• Tiempo de autenticación agotado: el cliente no completa el desafío de 3DS dentro del tiempo establecido y la autenticación falla.
• ACS del emisor no disponible: en casos poco frecuentes, el Access Control Server (ACS) del emisor puede no estar disponible. El comercio solo puede volver a intentar la operación.
• Tarjeta no registrada en 3DS: es menos habitual, pero puede ocurrir con algunos emisores minoritarios.
• Soft decline (SCA requerida): el emisor ha rechazado la solicitud de exención y exige un desafío 3DS. Se debe volver a intentar la transacción con 3DS.
• Rechazo definitivo durante la autorización: el emisor rechaza la transacción durante la autorización y no durante la autenticación. Se trata de una decisión relacionada con el fraude o el riesgo y, por motivos de seguridad, no debería volver a intentarse.

Cuando se producen fallos de 3DS en el lado del comercio, se recomienda registrar el código de resultado para determinar si el problema corresponde a la autenticación o a la autorización y decidir, a partir de esa información, si debe repetirse la operación.

¿Qué novedades hay con EMV 3DS 2.3?

3DS 2.3 fue publicado por EMVCo en octubre de 2021 y su adopción continúa avanzando. 

PSD2 no obliga a utilizar esta versión, pero es recomendable mantenerse al día con la evolución de las tecnologías y funciones de autenticación para mejorar tanto la seguridad como la experiencia de pago del cliente.

Las principales novedades de 3DS 2.3 son:
 

• Mejor compatibilidad con la autenticación desacoplada: introducida en 3DS 2.2, la autenticación desacoplada permite realizar el desafío fuera del flujo de pago. De esta forma, el cliente puede autenticarse posteriormente en su aplicación bancaria y la transacción puede completarse. Resulta especialmente útil en escenarios con credenciales almacenadas y pagos recurrentes.
• Secure Payment Confirmation (SPC): permite que el navegador gestione el desafío de 3DS utilizando credenciales FIDO y WebAuthn, lo que reduce la fricción al aprovechar los métodos biométricos ya configurados en el dispositivo.
• Mejor intercambio de datos: la ampliación de los elementos de datos proporciona al emisor más información para evaluar el riesgo, lo que puede aumentar el porcentaje de transacciones procesadas sin fricción.
• Flujos con varias tarjetas: 3DS 2.3 ofrece mejor compatibilidad con pagos divididos y escenarios con varias tarjetas dentro de un mismo proceso de pago.

• Gestión mejorada de las exenciones: incorpora mecanismos más explícitos para solicitar exenciones desde el lado del comercio.

   

   

Debido a que la implantación varía entre proveedores y mercados, conviene confirmar que tu PSP admite los protocolos actuales de 3DS 2.3 en lugar de dar por hecho que están disponibles en todos los casos.

El futuro de la autenticación 3D Secure

El futuro de la autenticación 3DS avanza principalmente en dos direcciones.

La primera es la reducción de la fricción. El porcentaje de transacciones sin fricción continúa aumentando a medida que los emisores mejoran sus sistemas de evaluación de riesgos gracias a una mayor cantidad de datos procedentes de los comercios. Las API web como Secure Payment Confirmation (SPC) y los flujos biométricos irán sustituyendo progresivamente las OTP, con el objetivo final de lograr una autenticación prácticamente invisible en las transacciones de bajo riesgo.

La segunda dirección es una ampliación del ámbito de aplicación. La Comisión Europea publicó propuestas para PSD3 y el Reglamento de Servicios de Pago (PSR) en junio de 2023, que plantean cambios en determinadas reglas sobre exenciones de SCA y la ampliación de la autenticación a más tipos de transacciones. Las propuestas continúan su proceso legislativo en la UE. 3DS seguirá desempeñando un papel fundamental como protocolo, aunque las reglas que determinan cuándo debe utilizarse evolucionarán.

Para los comercios, las implicaciones más prácticas pasan por asegurarse de que su PSP utiliza versiones actualizadas de 3DS, aportar más datos en las solicitudes de autenticación y revisar periódicamente la estrategia de exenciones en lugar de configurarla una vez y olvidarse de ella. De esta forma, se puede encontrar un equilibrio entre unos pagos suficientemente seguros como para reducir la exposición al fraude y una experiencia suficientemente fluida como para que los clientes legítimos apenas perciban la autenticación.

FAQs

¿Qué significa 3DS?
3DS significa Three Domain Secure. Los tres dominios son el dominio del emisor, el dominio del adquirente y el dominio de interoperabilidad, es decir, la infraestructura de la red de tarjetas que conecta al emisor con el adquirente.

¿3DS y SCA son lo mismo?
3DS y SCA están estrechamente relacionados, pero no son lo mismo. SCA es el requisito regulatorio que exige autenticar al cliente en determinadas operaciones, mientras que 3DS es uno de los principales protocolos utilizados para realizar esa autenticación.

¿3DS traslada la responsabilidad?
Uno de los principales beneficios que ofrece 3DS a los comercios es el traspaso de responsabilidad por fraude. Cuando una transacción autenticada mediante 3DS se disputa posteriormente como fraudulenta, la responsabilidad puede pasar del comercio al emisor. Esta es una de las principales razones por las que los comercios utilizan 3DS incluso cuando SCA no lo exige.

¿Se aplica 3DS a Apple Pay y Google Pay?
Cuando se utiliza una cartera digital, la SCA puede realizarse mediante la autenticación biométrica del dispositivo. El token de la cartera se considera autenticado y, por este motivo, normalmente no es necesario volver a realizar una autenticación 3DS durante el proceso de pago.

¿Todas las tarjetas son compatibles con 3DS?
La mayoría de las tarjetas de consumo son compatibles con 3DS. Algunas tarjetas comerciales o de prepago pueden presentar una compatibilidad desigual, aunque normalmente esto depende del emisor y no del PSP.