Что такое 3D Secure и как он влияет на оформление заказа
Основы3 минРедакция Innovialabs
Коротко
3D Secure — дополнительная проверка банка-эмитента, что платит настоящий владелец карты; она перекладывает ответственность за мошеннические платежи с магазина на банк, а в версии 3DS2 большинство покупателей проходят её без лишних шагов.
Коротко
3D Secure (3DS) — протокол, с помощью которого банк, выпустивший карту, подтверждает, что онлайн-платёж совершает её настоящий владелец. У платёжных систем свои названия — Visa Secure, Mastercard Identity Check и другие, — но суть одна: прежде чем одобрить платёж, эмитент может проверить покупателя.
Магазину это даёт две вещи:
- Меньше мошенничества. Украденных реквизитов карты недостаточно, чтобы оплатить заказ.
- Перенос ответственности (liability shift). Если платёж прошёл аутентификацию 3DS, а потом оказался мошенническим, расходы по чарджбэку, как правило, несёт банк-эмитент, а не магазин.
Цена — возможный дополнительный шаг при оплате. Будет ли он снижать конверсию, зависит прежде всего от версии 3DS и качества внедрения.
Кто участвует в проверке
Протокол назван по трём «доменам»:
- Домен эквайера — магазин, его платёжный провайдер и 3DS Server, который запускает аутентификацию. Обычно его предоставляет платёжный шлюз, самому писать не нужно.
- Домен взаимодействия — Directory Server платёжной системы, который направляет запрос в нужный банк.
- Домен эмитента — ACS (Access Control Server) банка, который решает, доверять ли покупателю.
3DS1 и 3DS2: в чём разница
Первая версия почти всегда перенаправляла покупателя на страницу банка для ввода пароля или SMS-кода. Страницы часто были неудобны на телефоне, и люди бросали оплату.
3DS2 (EMV 3-D Secure) изменил логику:
- Магазин передаёт банку гораздо больше контекста: данные устройства, адрес плательщика и доставки, email, телефон, историю покупок.
- Банк проводит оценку риска на основе этих данных.
- При низком риске платёж проходит по frictionless-сценарию — покупатель не видит никаких дополнительных шагов.
- При повышенном риске банк запускает challenge: одноразовый код, подтверждение в банковском приложении или биометрию.
- Есть нативные мобильные SDK: проверка показывается внутри приложения, а не через неуклюжий веб-редирект.
| 3DS1 | 3DS2 | |
|---|---|---|
| Дополнительный шаг | Почти всегда | Только при повышенном риске |
| Данные для банка | Минимум | Подробный контекст заказа и устройства |
| Мобильные приложения | Веб-редирект | Нативный SDK |
| Способы подтверждения | Пароль, SMS | Код, банковское приложение, биометрия |
Где теряются платежи
Конверсию снижает не сама проверка, а детали внедрения:
- SMS-код приходит с задержкой или не приходит, сессия истекает.
- Окно проверки открывается в сломанном iframe или новой вкладке, которую покупатель не замечает.
- Магазин передаёт минимум данных, и банк отправляет на challenge почти всех.
- После неудачной проверки показывается невнятная «ошибка оплаты» без подсказки, что делать дальше.
Как снизить трение
- Подключите шлюз с поддержкой 3DS2 и включите её полностью, а не в режиме совместимости со старой версией.
- Передавайте все доступные данные: email, телефон, адрес плательщика и доставки. Чем больше контекста, тем больше платежей проходит без challenge.
- Используйте мобильный SDK в нативных приложениях вместо WebView.
- Предупредите о шаге: короткая фраза «Банк может попросить подтвердить платёж» снимает удивление.
- Понятно обрабатывайте отказы: по возможности покажите причину, предложите повторить или выбрать другую карту.
- Считайте метрики отдельно: доля frictionless-платежей, успешность challenge, отвалы на этапе проверки, результаты по банкам-эмитентам.
- Проверьте все сценарии на тестовых картах провайдера до запуска.
В некоторых регионах регулятор требует строгую аутентификацию клиента и определяет исключения — например, для небольших сумм или регулярных списаний по инициативе магазина. Можно ли их запрашивать, зависит от региона и платёжного провайдера.
Локальные карты и 3DS
3DS — механизм международных платёжных систем. В Узбекистане платежи локальными картами Uzcard и Humo через Payme, Click и аналогичные сервисы, как правило, подтверждаются собственным одноразовым SMS-кодом. Если вы принимаете ещё и Visa и Mastercard — например, через Stripe или международного эквайера, — к этим платежам будет применяться 3DS.