Kas yra 3D Secure (3DS)
- EMV 3D Secure specifikaciją kuria EMVCo; 2025 m. rugpjūčio 11 d. paskelbta 2.2.0–2.3.1.1 specifikacijų versija, o 2026 m. birželio 3 d. – 2.4 versijos juodraštis.
- Visa ir Mastercard 3D Secure 1 palaikymą nutraukė 2022 m. spalį, todėl ES el. parduotuvės naudoja tik 3DS 2.
- Griežtas kliento autentiškumo patvirtinimas ES kortelių mokėjimams internetu taikomas nuo 2019 m. rugsėjo 14 d. pagal Reglamentą (ES) 2018/389.
- Sėkmingai autentifikavus mokėjimą per 3DS, atsakomybė už sukčiavimo ginčus paprastai pereina kortelę išdavusiam bankui.
- 3DS 2 leidžia bankui patvirtinti dalį mokėjimų be pirkėjo veiksmo (frictionless), jei operacijos rizika maža arba taikoma SCA išimtis.
- Visa 3DS paslaugą vadina Visa Secure, Mastercard – Identity Check, American Express – SafeKey.
3D Secure (3DS) išsamiai
Kas yra 3D Secure paprastais žodžiais
3D Secure (trumpinys 3DS) – tai papildomas kortelės mokėjimo internetu patikrinimo žingsnis, kai kortelę išdavęs bankas įsitikina, kad mokėjimą atlieka tikrasis kortelės savininkas. Pirkėjui tai atrodo kaip langas „Patvirtinkite mokėjimą banko programėlėje“ arba SMS kodo įvedimas. Kartais pirkėjas nieko nepastebi – bankas patvirtina mokėjimą fone pagal parduotuvės atsiųstus duomenis.
„3D“ reiškia tris sritis (angl. domains): pardavėjo (ekvairio) sritį, kortelę išdavusio banko sritį ir tarpinę kortelių schemos sritį, kuri juos sujungia. Kortelių schemos savo 3DS paslaugas vadina skirtingai: Visa – Visa Secure (anksčiau Verified by Visa), Mastercard – Mastercard Identity Check (anksčiau SecureCode), American Express – SafeKey.
Kuo skiriasi 3D Secure 1 ir 3D Secure 2
Pirmoji versija nukreipdavo pirkėją į banko puslapį su statiniu slaptažodžiu, neveikė gerai mobiliuosiuose ir garsėjo atmestais mokėjimais. Antrąją kartą – EMV 3-D Secure – kuria ir prižiūri EMVCo, bendra kortelių schemų organizacija. Visa ir Mastercard 3DS 1 palaikymą nutraukė 2022 m. spalį, todėl šiandien visos ES el. parduotuvės naudoja 3DS 2.
| Savybė | 3D Secure 1 | EMV 3D Secure 2.x |
|---|---|---|
| Patvirtinimas | Visada pirkėjo veiksmas, dažnai statinis slaptažodis | Be trinties (frictionless) arba su patvirtinimu (challenge) |
| Duomenys bankui | Minimalūs | Daug duomenų apie įrenginį, naršyklę, pristatymą, pirkėjo istoriją |
| Mobiliosios programėlės | Nepritaikyta | Atskiras SDK programėlėms |
| SCA atitiktis | Neatitinka PSD2 reikalavimų | Atitinka; leidžia prašyti išimčių |
| Būsena 2026 m. | Nutraukta 2022 m. spalį | Galioja 2.2–2.3.1 versijos; 2026 m. birželį paskelbtas 2.4 juodraštis |
EMVCo rekomenduoja naudoti bent 2.2 versiją, nes nuo jos palaikomos visos SCA išimtys ir mokėjimai, kuriuos inicijuoja pats prekybininkas (pvz., prenumeratos nuskaitymas be pirkėjo).
Kaip veikia 3D Secure 2: žingsnis po žingsnio
- Pirkėjas įveda kortelės duomenis mokėjimų tiekėjo formoje (Stripe, Paysera, Montonio, MakeCommerce ir kt.).
- Tiekėjo 3DS serveris per Visa ar Mastercard katalogo serverį (angl. Directory Server) nusiunčia kortelės bankui operacijos duomenis: sumą, valiutą, naršyklės ir įrenginio informaciją, pristatymo adresą, ar pirkėjas prisijungęs, kiek kartų pirko anksčiau.
- Kortelės banko prieigos kontrolės serveris (angl. Access Control Server, ACS) įvertina riziką ir pasirenka: patvirtinti be trinties arba paprašyti pirkėjo veiksmo.
- Jei reikia patvirtinimo, pirkėjas patvirtina mokėjimą banko programėlėje, Smart-ID, biometrija ar vienkartiniu kodu. Tai ir yra griežtas kliento autentiškumo patvirtinimas pagal PSD2.
- Rezultatas (autentifikavimo reikšmė, ECI kodas) pridedamas prie autorizacijos užklausos, ir bankas patvirtina arba atmeta mokėjimą.
3D Secure ir SCA: ar tai tas pats
Ne visai. SCA – teisinis reikalavimas (PSD2 97 straipsnis ir Reglamentas (ES) 2018/389), o 3D Secure – techninis protokolas, kuriuo šis reikalavimas įgyvendinamas kortelių mokėjimams internetu. Per 3DS taip pat perduodamos SCA išimčių užklausos: mažos vertės mokėjimas iki 30 €, operacijos rizikos analizė (TRA), patikimi gavėjai. Ar išimtį taikyti, galiausiai sprendžia kortelės bankas – jis gali bet kada pareikalauti patvirtinimo.
Banko mokėjimams per internetinę bankininkystę 3D Secure nenaudojamas – ten SCA atlieka pats bankas, kai pirkėjas prisijungia ir patvirtina mokėjimą (žr. mokėjimo inicijavimas).
Atsakomybės perkėlimas: kodėl 3DS svarbus parduotuvei
Jei mokėjimas sėkmingai autentifikuotas per 3D Secure, o vėliau pirkėjas bankui pareiškia „šio mokėjimo neatlikau“, už sukčiavimo chargeback paprastai atsako kortelės bankas, ne parduotuvė. Tai vadinama atsakomybės perkėlimu (angl. liability shift).
- Taikoma: sukčiavimo ginčams (Visa 10 kategorija, Mastercard 4837 – neautorizuota operacija).
- Netaikoma: ginčams „prekė negauta“, „neatitinka aprašymo“, „negautas grąžinimas“, prenumeratos atšaukimo ginčams.
- Netaikoma arba ribota: kai mokėjimas praeina be SCA dėl prekybininko ar ekvairio prašytos išimties (pvz., TRA) – tada sukčiavimo rizika paprastai lieka prekybininko ir jo tiekėjo pusėje.
Kodėl 3D Secure mokėjimai kartais nepavyksta
- Pirkėjas neturi įdiegtos banko programėlės ar Smart-ID ir nežino, kaip patvirtinti.
- Patvirtinimo langas atidaromas iššokančiame lange, kurį blokuoja naršyklė, arba neveikia programėlės viduje (WebView).
- Baigiasi patvirtinimo laikas, kol pirkėjas persijungia į banko programėlę.
- Kortelė išduota ne ES, o jos bankas 3DS palaiko prastai.
- Tiekėjo integracija pasenusi ir nepalaiko 2.2 versijos funkcijų.
Mokėjimų tiekėjų skydeliuose (Stripe, Adyen, Mollie) galima matyti, kiek 3DS bandymų baigiasi nesėkme – tai vienas svarbiausių atsiskaitymo konversijos rodiklių kortelėms.
Kaip įjungti 3D Secure Shopify, WooCommerce ir PrestaShop
| Platforma | Kaip veikia 3DS | Ką patikrinti |
|---|---|---|
| Shopify | Shopify Payments ir dauguma tiekėjų 3DS paleidžia automatiškai, kai to reikia pagal SCA | Ar trečiųjų šalių tiekėjo programėlė palaiko 3DS 2, ar testavote su testinėmis kortelėmis |
| WooCommerce | 3DS vykdo mokėjimų tiekėjo papildinys (Stripe, Paysera, Montonio, MakeCommerce) | Ar papildinys atnaujintas, ar mokėjimo langas neblokuojamas temos ar talpyklos |
| PrestaShop | Per tiekėjo modulį | Modulio versija, PHP versija, ar mokėjimo puslapis neperrašytas kitų modulių |
| Programėlė (iOS, Android) | Reikia tiekėjo 3DS SDK | Ar patvirtinimas grąžina pirkėją atgal į programėlę |
Apple Pay ir Google Pay mokėjimai su įrenginio žetonu paprastai jau atitinka SCA, nes pirkėjas patvirtina mokėjimą biometrija ar kodu telefone, todėl atskiro 3DS lango nereikia (žr. Apple Pay ir Google Pay).
Kaip padidinti mokėjimų be trinties dalį
Kuo daugiau patikimų duomenų gauna kortelės bankas, tuo dažniau jis patvirtina mokėjimą be pirkėjo veiksmo. Praktiniai žingsniai el. parduotuvei:
- Perduokite pirkėjo kontaktus ir adresus – el. paštą, telefoną, atsiskaitymo ir pristatymo adresą. Daugelis tiekėjų API šiuos laukus turi, bet papildiniai jų ne visada užpildo.
- Naudokite išsaugotas korteles su pirmojo mokėjimo autentifikavimu – grįžtančio pirkėjo mokėjimai bankui atrodo mažiau rizikingi.
- Leiskite tiekėjui prašyti išimčių – mažos vertės (iki 30 €) ir operacijos rizikos analizės (TRA), jei tiekėjo sukčiavimo rodikliai tai leidžia.
- Testuokite su tiekėjo testinėmis kortelėmis abu scenarijus – be trinties ir su patvirtinimu – po kiekvieno papildinio ar temos atnaujinimo.
- Rodykite paprastą užuominą šalia kortelės formos: „Mokėjimą gali tekti patvirtinti banko programėlėje“. Tai sumažina pirkėjų, kurie uždaro langą nesupratę, kas vyksta, skaičių.
Kada 3D Secure netaikomas
- Prekybininko inicijuoti mokėjimai (MIT) – prenumeratų nuskaitymai be pirkėjo dalyvavimo, kai pirmas mokėjimas buvo autentifikuotas.
- Telefonu ar paštu priimti užsakymai (MOTO) – jiems SCA netaikomas.
- Vienas iš bankų ne EEE – „vienos kojos“ (angl. one-leg-out) operacijoms SCA taikomas „kiek įmanoma“.
- Išimtys – mažos vertės, TRA, patikimi gavėjai, jei bankas su jomis sutinka.
Pavyzdys: ką 3D Secure kainuoja ir ką sutaupo 1 000 mokėjimų per mėnesį
Parduotuvė per mėnesį priima 1 000 kortelių mokėjimų, vidutinis krepšelis – 60 €, bendroji marža – 35 %. Lyginami du scenarijai: 3DS taikomas visiems mokėjimams (bankas daliai jų pritaiko patvirtinimą be trinties) ir 3DS išjungtas, kai įmanoma (pvz., per ne ES tiekėją ar MOTO). Prielaidos – iliustracinės, savo skaičius rasite tiekėjo skydelyje.
| Rodiklis | Su 3DS | Be 3DS | Skaičiavimas |
|---|---|---|---|
| Nebaigti mokėjimai dėl patvirtinimo (prielaida) | 3 % = 30 mokėjimų | 0 | 1 000 × 3 % |
| Prarasta bendroji marža | −630 € | 0 € | 30 × 60 € × 35 % |
| Sukčiavimo ginčai (prielaida 0,4 %) | 4, bet atsakomybė bankui | 4, atsakomybė parduotuvei | 1 000 × 0,4 % |
| Ginčų nuostolis (suma + 20 € mokestis + 21 € savikaina ir siuntimas) | 0 € | −404 € | 4 × (60 + 20 + 21) |
| Rizika tiekėjo stebėsenoje | Žema | Ginčų santykis 0,4 % – arti tiekėjų rizikos ribų | – |
| Grynasis skirtumas per mėnesį | 3DS kainuoja 630 − 404 = 226 € daugiau prarastos maržos | tik šioje prielaidoje |
Išvada. Skaičiai rodo, kad 3DS nėra nemokamas – kiekvienas pirkėjas, nepatvirtinęs mokėjimo, yra prarastas pardavimas. Tačiau ES parduotuvei 3DS išjungti dažniausiai negalima: PSD2 reikalauja SCA, ir pirkėjo bankas mokėjimą be jo tiesiog atmes (kodas „SCA required“). Realus pasirinkimas – ne „įjungti ar išjungti“, o kaip padidinti be trinties patvirtinimų dalį: siųsti kuo daugiau duomenų (el. paštas, telefonas, pristatymo adresas), naudoti 2.2+ versiją, leisti tiekėjui prašyti mažos vertės ir TRA išimčių, siūlyti Apple Pay ir Google Pay.
Jei nebaigtų mokėjimų dalis sumažėja nuo 3 % iki 1,5 %, prarasta marža sumažėja nuo 630 € iki 315 €, o apsauga nuo sukčiavimo ginčų išlieka.
Dažniausios klaidos
- Manoma, kad 3D Secure apsaugo nuo visų chargeback. Atsakomybė pereina bankui tik dėl sukčiavimo ginčų, ne dėl „negavau prekės“ ar „neatitinka aprašymo“.
- Naudojamas pasenęs mokėjimų papildinys be 3DS 2 palaikymo. Tada ES bankai dalį mokėjimų atmeta, o parduotuvė mato tik „mokėjimas nepavyko“.
- Mokėjimo patvirtinimo langas atidaromas iššokančiame lange arba blokuojamas talpyklos ar slapukų papildinio. Pirkėjas nemato patvirtinimo užklausos.
- Tiekėjui nesiunčiami pirkėjo duomenys (el. paštas, telefonas, adresas). Bankas turi mažiau informacijos ir dažniau prašo patvirtinimo vietoj patvirtinimo be trinties.
- Prenumeratos pirmas mokėjimas nėra autentifikuojamas su 3DS. Vėlesni prekybininko inicijuoti nuskaitymai tada atmetami arba lieka be atsakomybės perkėlimo.
- Nestebima 3DS nesėkmių dalis. Tai vienas iš pagrindinių kortelių atsiskaitymo konversijos rodiklių, ir jo pokytis dažnai rodo integracijos klaidą.
3D Secure (3DS) Lietuvoje
Lietuvoje 3D Secure tapo privalomas praktiškai visiems ES kortelių mokėjimams internetu nuo SCA taikymo pradžios 2019 m. rugsėjo 14 d., kai įsigaliojo Reglamentas (ES) 2018/389. Europos bankininkystės institucija leido nacionalinėms priežiūros institucijoms suteikti pereinamąjį laikotarpį kortelių el. prekybai iki 2020 m. gruodžio 31 d. Lietuvos mokėjimų įstatyme (Nr. VIII-1370) šis reikalavimas vadinamas „saugesniu autentiškumo patvirtinimu“ (58 straipsnis), o ES teisės aktų lietuviškame vertime – „griežtu kliento autentiškumo patvirtinimu“.
Lietuvos bankai kortelių mokėjimus internetu dažniausiai prašo patvirtinti savo programėlėje, Smart-ID arba vienkartiniu kodu – konkretų būdą nustato kortelę išdavęs bankas, ne parduotuvė. Todėl paieškose dažnos užklausos „3d secure swedbank“, „3d secure seb“ ar „3d secure revolut“: pirkėjai ieško, kaip įjungti ar patvirtinti mokėjimą savo banke. Parduotuvei verta šalia kortelės mokėjimo formos trumpai parašyti, kad mokėjimą gali tekti patvirtinti banko programėlėje.
Lietuvos pirkėjai didžiąją dalį el. pirkinių apmoka banko mokėjimais per Neopay, Montonio, Paysera, Swedbank ar SEB sprendimus, kur 3DS nenaudojamas. Kortelių mokėjimai ir 3DS svarbiausi eksportui, prenumeratoms ir užsienio pirkėjams. Mokėjimų įstaigas ir jų taikomas saugumo priemones prižiūri Lietuvos bankas.
Susiję terminai
- Įdiegiame mokėjimų tiekėjų integracijas su 3D Secure 2 palaikymu ir išbandome jas testinėmis kortelėmis.
- Perduodame tiekėjui pirkėjo ir užsakymo duomenis, kad daugiau mokėjimų būtų patvirtinama be trinties.
- Patikriname, ar patvirtinimo langas veikia mobiliuosiuose, programėlėse ir neblokuojamas kitų papildinių.
- Pridedame Apple Pay ir Google Pay mygtukus, kurie SCA įvykdo pačiame telefone.
Dažni klausimai
Kas yra 3D Secure?
3D Secure (3DS) – tai kortelės mokėjimo internetu patikrinimo protokolas, kuriuo kortelę išdavęs bankas įsitikina, kad mokėjimą atlieka kortelės savininkas. Mokėjimą tenka patvirtinti banko programėlėje, Smart-ID ar kodu, arba bankas jį patvirtina fone.
Kaip įjungti 3D Secure savo kortelei?
Daugumoje Lietuvos bankų 3D Secure įjungtas automatiškai visoms kortelėms. Jei mokėjimo patvirtinti nepavyksta, patikrinkite, ar turite įdiegtą banko programėlę ar Smart-ID, ir kreipkitės į kortelę išdavusį banką.
Kodėl 3D Secure mokėjimas nepavyksta?
Dažniausios priežastys – nepatvirtinta banko programėlėje laiku, naršyklė užblokavo patvirtinimo langą, pasenęs parduotuvės mokėjimų papildinys arba kortelės bankas atmetė operaciją dėl rizikos.
Ar 3D Secure privalomas?
ES kortelių mokėjimams internetu griežtas kliento autentiškumo patvirtinimas privalomas nuo 2019-09-14, o 3D Secure – pagrindinis būdas jį įvykdyti. Išimtys galimos mažos vertės, rizikos analizės ir kai kuriais kitais atvejais.
Kuo skiriasi 3D Secure ir SCA?
SCA yra teisinis reikalavimas pagal PSD2, o 3D Secure – techninis protokolas, kuriuo jis įgyvendinamas kortelių mokėjimams internetu.
Ar 3D Secure apsaugo nuo chargeback?
Tik nuo sukčiavimo ginčų: sėkmingai autentifikavus mokėjimą, atsakomybė už juos paprastai pereina kortelės bankui. Ginčams dėl nepristatytos ar neatitinkančios prekės 3DS neturi įtakos.
Kas yra Visa Secure ir Mastercard Identity Check?
Tai Visa ir Mastercard 3D Secure paslaugų pavadinimai. Anksčiau jos vadinosi Verified by Visa ir Mastercard SecureCode.
Ar Apple Pay ir Google Pay reikia 3D Secure?
Paprastai ne. Mokėjimai su įrenginio žetonu jau patvirtinami biometrija ar kodu telefone, todėl atitinka SCA be papildomo 3DS lango.
Šaltiniai
- EMV 3-D Secure – EMVCo
- Deleguotasis reglamentas (ES) 2018/389 dėl griežto kliento autentiškumo patvirtinimo – EUR-Lex
- Direktyva (ES) 2015/2366 (PSD2) – EUR-Lex
- Lietuvos Respublikos mokėjimų įstatymas – e-TAR
- Dispute Management Guidelines for Visa Merchants – Visa
- 3D Secure authentication – Stripe Docs
- Visa Will Discontinue Support of 3-D Secure 1.0.2 – Visa