Cos’è l’autenticazione 3D Secure e come funziona?

Il 3D Secure (3DS) è un protocollo di autenticazione utilizzato nei pagamenti online con carta per aiutare la banca a verificare l’identità di chi effettua un acquisto. Contribuisce a ridurre il rischio di frodi, aggiungendo un controllo di sicurezza durante il pagamento.

Con le versioni moderne di EMV 3-D Secure, molte transazioni vengono autenticate senza interrompere l’acquisto. Quando serve un’ulteriore verifica, la banca può chiedere al cliente di confermare il pagamento tramite la propria app, un codice temporaneo o un altro metodo supportato.

Per chi gestisce un e-commerce, conoscere il funzionamento del 3D Secure è importante per offrire un checkout affidabile e rispettare le regole europee sull’autenticazione dei pagamenti.

In questa guida vedremo come funziona il protocollo, qual è la differenza rispetto alla Strong Customer Authentication (SCA), quando viene richiesta una verifica aggiuntiva e come gestire correttamente il processo di pagamento.

Cos’è il 3D Secure?

Il 3D Secure è un protocollo di autenticazione per i pagamenti online con carta, sviluppato per aiutare gli istituti emittenti a verificare che un acquisto sia effettuato dal legittimo titolare.

Viene utilizzato soprattutto nelle transazioni in cui la carta non è fisicamente presente, come gli acquisti effettuati attraverso un sito e-commerce.

Il nome deriva dai tre domini che partecipano al processo:

• Dominio dell’esercente: comprende il commerciante e i sistemi del suo fornitore di servizi di pagamento.
  
• Dominio dell’emittente: riguarda la banca o l’istituto che ha emesso la carta e gestisce l’autenticazione del cliente.
  
• Dominio di interoperabilità: collega i sistemi coinvolti attraverso l’infrastruttura del circuito di pagamento.

La prima versione del protocollo, nota come 3DS1, richiedeva spesso al cliente di inserire una password o un codice all’interno di una finestra separata. Questa procedura poteva creare confusione e, in alcuni casi, essere scambiata per un tentativo di phishing.

Le versioni moderne, comunemente indicate come 3DS2 o EMV 3-D Secure, permettono invece di condividere più informazioni sulla transazione, così che la banca possa valutare il rischio e scegliere il percorso di autenticazione più appropriato.

Il protocollo aiuta a verificare l’identità di chi paga. L’approvazione finale del pagamento avviene attraverso un successivo processo di autorizzazione.

Chi partecipa a una transazione 3D Secure?

Durante un pagamento online intervengono diversi soggetti, ognuno con una responsabilità specifica:

• Cliente: avvia il pagamento ed eventualmente completa la verifica della propria identità.
  
• Commerciante: gestisce il sito e-commerce e utilizza un’integrazione di pagamento che supporta il protocollo.
  
• Fornitore di servizi di pagamento o acquirer: mette a disposizione l’infrastruttura per elaborare il pagamento e comunicare con i sistemi coinvolti.
  
• Circuito della carta: fornisce l’infrastruttura che permette lo scambio dei messaggi di autenticazione.
  
• Banca emittente: valuta la richiesta e decide se autenticare il titolare senza ulteriori passaggi oppure richiedere una verifica aggiuntiva.

La banca emittente utilizza un sistema chiamato Access Control Server (ACS), che analizza le informazioni ricevute e gestisce l’eventuale richiesta di autenticazione.

Il commerciante si occupa soprattutto di integrare correttamente il servizio di pagamento e fornire i dati necessari. La scelta del metodo con cui il cliente deve confermare la propria identità spetta invece all’emittente.

Come funziona il 3D Secure?

Il funzionamento del 3D Secure può essere suddiviso in cinque fasi, dall’inserimento dei dati della carta fino alla decisione finale sul pagamento.

1. Il cliente avvia il pagamento con carta

Il processo inizia quando il cliente raggiunge il checkout del negozio online e inserisce o seleziona i dati della propria carta di credito o di debito.

Il sistema di pagamento utilizzato dal commerciante avvia il processo 3D Secure secondo la configurazione del servizio e le regole applicabili.

Se stai creando un e-commerce, puoi utilizzare un gateway o un plugin che gestisca il protocollo, seguendo le indicazioni del fornitore.

2. I dati della transazione vengono inviati per l’autenticazione

Il sistema trasmette le informazioni necessarie alla valutazione del pagamento.

Tra queste possono rientrare importo, valuta, dati del commerciante, caratteristiche della transazione e informazioni tecniche sul dispositivo o sul browser del cliente.

La disponibilità di dati completi e coerenti aiuta la banca a valutare il rischio di frode e può favorire un’autenticazione senza interruzioni.

Le informazioni richieste variano in base al servizio utilizzato. Per questo è importante seguire le specifiche tecniche del proprio fornitore di pagamenti.

3. La banca emittente valuta la richiesta

La banca che ha emesso la carta analizza le informazioni ricevute attraverso il proprio sistema di autenticazione.

In base al rischio e alle regole applicabili, può completare l’autenticazione senza richiedere altre azioni oppure chiedere al cliente di confermare la propria identità.

Il processo può anche terminare senza un’autenticazione riuscita, ad esempio in presenza di problemi tecnici o quando le verifiche necessarie non vengono completate.

4. La transazione segue un flusso frictionless o challenge

Le versioni moderne di 3D Secure prevedono due modalità principali di autenticazione.

Frictionless flow

Nel frictionless flow, la banca valuta la transazione utilizzando le informazioni disponibili, senza chiedere al cliente un passaggio interattivo.

L’acquirente può quindi proseguire normalmente nel checkout.

Questo non significa che il pagamento sia privo di controlli: la verifica viene effettuata attraverso lo scambio di informazioni tra i sistemi coinvolti.

Challenge flow

Nel challenge flow, la banca richiede un’ulteriore verifica dell’identità.

Il cliente potrebbe dover:

• Inserire un codice temporaneo 3D Secure ricevuto via SMS.
• Confermare una notifica push nell’app bancaria.
• Utilizzare il riconoscimento facciale o l’impronta digitale.
• Completare un’altra procedura di autenticazione prevista dall’emittente.

Il metodo utilizzato dipende dalla banca, dalla carta e dalle funzionalità disponibili.

5. L’autenticazione termina e il pagamento viene autorizzato

Al termine del processo, il 3D Secure restituisce un risultato di autenticazione.

La transazione passa quindi al normale processo di autorizzazione, durante il quale l’istituto emittente decide se approvare o rifiutare il pagamento.

Anche un pagamento autenticato correttamente può essere rifiutato, ad esempio per fondi insufficienti, limiti della carta o altri controlli effettuati dall’emittente.

Per questo il commerciante deve verificare lo stato finale della transazione prima di considerare un ordine pagato.

3D Secure e Strong Customer Authentication: qual è la differenza?

Il 3D Secure e la Strong Customer Authentication (SCA) sono strettamente collegati, ma svolgono funzioni differenti.

Il 3D Secure è un protocollo tecnico utilizzato per autenticare i pagamenti online con carta.

La SCA, o autenticazione forte del cliente, è invece un requisito normativo europeo che prevede l’utilizzo di almeno due elementi indipendenti per verificare l’identità del pagatore.

Questi elementi appartengono a tre categorie:

• Conoscenza: qualcosa che il cliente conosce, come una password o un PIN.
  
• Possesso: qualcosa che il cliente possiede, come uno smartphone registrato o un dispositivo di sicurezza.
  
• Inerenza: una caratteristica personale, come l’impronta digitale o il riconoscimento del volto.

Il quadro normativo comprende la direttiva PSD2 e il Regolamento delegato (UE) 2018/389, che disciplina i requisiti tecnici dell’autenticazione forte.

Il protocollo EMV 3-D Secure è uno degli strumenti che permettono ai fornitori di pagamenti di supportare questi requisiti nelle transazioni e-commerce.

Per approfondire le regole europee, consulta anche la guida myPOS sull’autenticazione forte del cliente.

Il 3D Secure riguarda in particolare i pagamenti online con carta non presente. I pagamenti contactless effettuati presso un punto vendita o attraverso Tap to Pay seguono modalità di autenticazione differenti.

Quando un pagamento online può procedere senza una challenge 3D Secure?

Non tutti i pagamenti online richiedono al cliente di inserire un codice o confermare una notifica.

Come abbiamo visto, il 3D Secure può completarsi attraverso un frictionless flow, nel quale l’autenticazione avviene senza interazioni aggiuntive.

Il quadro normativo europeo prevede inoltre specifiche esenzioni dall’autenticazione forte, applicabili quando vengono rispettate determinate condizioni.

Tra i principali casi troviamo:

• Pagamenti online di basso importo: alcune transazioni possono beneficiare di un’esenzione, nel rispetto dei limiti individuali e cumulativi previsti.
  
• Transazioni a basso rischio: i prestatori di servizi di pagamento possono applicare un’esenzione basata sull’analisi del rischio, quando soddisfano i requisiti normativi.
  
• Beneficiari attendibili: un cliente può inserire un beneficiario tra quelli considerati affidabili, attraverso le procedure previste dalla propria banca.
  
• Pagamenti ricorrenti: una serie di pagamenti dello stesso importo verso lo stesso beneficiario può beneficiare delle condizioni previste per le transazioni successive alla prima autenticazione.

Esistono inoltre operazioni avviate dal commerciante sulla base di un accordo precedente con il cliente, note come merchant-initiated transactions (MIT). Quando rispettano i requisiti applicabili, queste operazioni possono rientrare fuori dall’ambito della SCA, secondo il loro corretto inquadramento.

Le esenzioni sono disciplinate dalle norme tecniche europee. La loro applicazione dipende dai prestatori coinvolti, dal tipo di pagamento e dalle condizioni della transazione.

Per un commerciante, la scelta più efficace è utilizzare un servizio di pagamento aggiornato, che gestisca correttamente i flussi di autenticazione e le eventuali esenzioni previste.

Che cosa comporta il 3D Secure per un commerciante e-commerce?

Per chi vende online, il 3D Secure contribuisce alla protezione delle transazioni e può influire sul completamento degli acquisti.

Conoscerne vantaggi e limiti aiuta a gestire meglio il checkout e i problemi che possono verificarsi durante un pagamento.

Rischio di frode e dati di autenticazione

Il 3D Secure fornisce alla banca informazioni aggiuntive per valutare se un acquisto sia effettuato dal legittimo titolare della carta. Questa verifica contribuisce a ridurre il rischio di alcune frodi nei pagamenti online.

Il protocollo rappresenta però una delle misure di protezione necessarie a un e-commerce. Restano importanti la sicurezza del sito, la gestione dei dati e gli eventuali controlli sugli ordini sospetti.

Anche i clienti devono prestare attenzione a richieste insolite di credenziali e verificare di trovarsi sul sito corretto prima di inserire informazioni personali o di pagamento.

Chargeback e responsabilità

L’autenticazione 3D Secure può influire sulla responsabilità per determinate contestazioni relative a pagamenti fraudolenti. In alcuni casi, le regole dei circuiti prevedono il cosiddetto liability shift, cioè uno spostamento della responsabilità economica per specifiche operazioni.

Questo meccanismo non si applica automaticamente a tutti i chargeback. Le condizioni dipendono dal circuito, dall’esito dell’autenticazione, dal tipo di carta e dalla natura della contestazione.

Ad esempio, una contestazione per merce non ricevuta o servizio non erogato segue regole diverse da una contestazione per utilizzo fraudolento della carta.

Per conoscere le condizioni applicabili alla tua attività, consulta la documentazione del fornitore di pagamenti e le regole del circuito. Puoi approfondire il funzionamento del protocollo anche nella guida di Visa sul 3D Secure.

Conversione del checkout ed esperienza del cliente

Un frictionless flow permette di completare l’autenticazione senza aggiungere passaggi visibili al checkout.

La challenge, invece, richiede un’azione del cliente e può rallentare l’acquisto, soprattutto se il codice non arriva, la notifica non viene visualizzata o il reindirizzamento presenta problemi.

Per un e-commerce, è importante che il processo sia chiaro e funzioni correttamente anche da smartphone. L’obiettivo è ridurre le difficoltà tecniche e le interruzioni evitabili, mantenendo le verifiche di sicurezza richieste.

Problemi di autenticazione 3D Secure e controlli utili

Durante un pagamento online possono verificarsi errori legati all’autenticazione, alla connessione o alla successiva autorizzazione. Per risolverli, è utile individuare il momento in cui la transazione si è interrotta.

Ecco alcune situazioni frequenti e i relativi controlli:

• Il cliente non riceve il codice o la notifica: la procedura è gestita dalla banca emittente. Il cliente dovrebbe verificare il numero di cellulare associato alla carta, controllare l’app bancaria e, se necessario, contattare l’assistenza della banca. Le modalità di attivazione del 3D Secure dipendono dall’emittente.
  
• L’autenticazione riesce, ma il pagamento viene rifiutato: controlla l’esito finale comunicato dal fornitore. Il rifiuto potrebbe dipendere da fondi insufficienti, limiti della carta o altri controlli di autorizzazione.
  
• La verifica si interrompe o scade: consulta lo stato della transazione prima di chiedere al cliente di ripetere il pagamento. In questo modo puoi evitare tentativi duplicati.
  
• Il problema si presenta soprattutto da smartphone: verifica il funzionamento dei reindirizzamenti, il passaggio all’app bancaria e il ritorno al checkout dopo la conferma.
  
• Aumentano improvvisamente gli errori: controlla se sono stati effettuati aggiornamenti al sito, al plugin o all’integrazione di pagamento. Confronta inoltre i dati disponibili per individuare eventuali problemi ricorrenti.

Se l’errore persiste, comunica al fornitore di pagamenti l’identificativo della transazione, l’orario e il messaggio ricevuto. Queste informazioni aiutano a individuare più rapidamente la causa del problema e a stabilire se sia necessario intervenire sul sito o coinvolgere l’emittente.

Come implementare correttamente il 3D Secure

Per utilizzare il protocollo in un e-commerce, il primo passo è scegliere un sistema di pagamento che supporti le versioni attuali di EMV 3-D Secure e le regole SCA applicabili.

Molti gateway e plugin gestiscono direttamente il processo di autenticazione. Al commerciante spetta soprattutto configurare l’integrazione, controllare i dati trasmessi e gestire correttamente gli esiti dei pagamenti.

Usa un’integrazione di pagamento aggiornata

Verifica che il gateway, il plugin o le API utilizzate supportino EMV 3-D Secure. Se usi una piattaforma e-commerce, controlla che l’estensione di pagamento sia aggiornata e compatibile con la versione del software installata.

È utile sapere anche quali parti del processo vengono gestite dal fornitore, comprese le richieste di autenticazione e l’applicazione delle eventuali esenzioni.

Seguire la documentazione ufficiale evita configurazioni non supportate e problemi che potrebbero compromettere il checkout.

Invia dati completi e corretti

I sistemi 3D Secure utilizzano informazioni sulla transazione per consentire alla banca di valutare il rischio. Per questo è importante trasmettere i dati richiesti dall’integrazione, assicurandosi che importo, valuta, identificativo dell’ordine e altre informazioni siano coerenti.

Dati corretti e completi possono aiutare l’emittente a effettuare una valutazione più accurata e, quando appropriato, completare l’autenticazione senza ulteriori richieste al cliente.

Utilizza i campi previsti dal tuo fornitore, rispettando gli obblighi di protezione dei dati.

Prepara il checkout per entrambi i flussi

Il checkout deve funzionare correttamente sia quando l’autenticazione avviene senza interruzioni sia quando la banca richiede una verifica aggiuntiva.

Controlla soprattutto:

• Visualizzazione delle richieste di autenticazione.
• Funzionamento dei reindirizzamenti.
• Passaggio tra browser e app bancaria.
• Ritorno alla pagina di checkout.
• Gestione di errori, annullamenti e timeout.

Un messaggio come «La tua banca potrebbe chiederti di confermare il pagamento» aiuta il cliente a comprendere cosa sta accadendo.

Utilizza sempre le modalità di integrazione e visualizzazione supportate dal fornitore, soprattutto sui dispositivi mobili.

Gestisci correttamente gli esiti dei pagamenti

Il completamento dell’autenticazione non deve essere utilizzato come unica conferma dell’acquisto.

Prima di evadere un ordine, verifica che il pagamento risulti effettivamente approvato secondo gli stati previsti dal fornitore.

Distingui quindi le transazioni autorizzate da quelle rifiutate, annullate o ancora in sospeso.

Collega ogni pagamento a un identificativo univoco dell’ordine e conserva il riferimento della transazione. In caso di errore, potrai controllare l’esito prima di effettuare un nuovo tentativo.

Monitora i risultati dopo ogni aggiornamento

Controlla periodicamente l’andamento dei pagamenti e, quando il servizio mette a disposizione queste informazioni, distingui gli errori di autenticazione dai rifiuti di autorizzazione.

Dopo un aggiornamento del sito o del plugin, confronta i risultati con quelli precedenti. Se aumentano le transazioni interrotte, verifica se il problema interessa particolari dispositivi, browser o fasi del checkout.

Un monitoraggio regolare permette di individuare i malfunzionamenti e intervenire prima che coinvolgano molti clienti.

Usare il 3D Secure con myPOS Checkout

Per chi gestisce un e-commerce, myPOS Checkout è una soluzione per accettare pagamenti online con carta attraverso un gateway integrabile nel proprio sito o nella propria applicazione.

La documentazione tecnica ufficiale di myPOS conferma il supporto a 3-D Secure e indica che gli esercenti che utilizzano il servizio sono inclusi automaticamente nel relativo processo.

Quando previsto, il cliente viene autenticato attraverso i sistemi della banca emittente, secondo le modalità supportate dal servizio e dalla carta.

Per utilizzare correttamente myPOS Checkout, il commerciante deve:

• Scegliere un metodo di integrazione supportato, ad esempio un plugin o le API disponibili.
• Seguire la documentazione tecnica aggiornata.
• Verificare il funzionamento dei pagamenti nell’ambiente di test previsto.
• Controllare lo stato finale delle transazioni prima di confermare gli ordini.

I servizi di pagamento e moneta elettronica nell’area SEE sono forniti da myPOS Ltd, istituto di moneta elettronica autorizzato e regolamentato dalla Central Bank of Ireland.

Gli incassi dei pagamenti con carta approvati vengono resi disponibili istantaneamente sul conto business myPOS, secondo le condizioni del servizio.

Per conoscere le soluzioni disponibili e scegliere quella più adatta alla tua attività, consulta la pagina myPOS dedicata a ricevere pagamenti online.

Domande frequenti

Un rimborso richiede l’autenticazione forte del cliente?

In genere, un rimborso effettuato sulla carta utilizzata per l’acquisto non richiede una nuova autenticazione SCA, perché si tratta di un accredito avviato dal commerciante e non di un nuovo pagamento disposto dal cliente. Le modalità operative dipendono dal servizio utilizzato e dalle regole applicabili al rimborso.

Come funziona il 3D Secure quando cambia il prezzo di un abbonamento?

Quando cambia l’importo di un abbonamento, è necessario verificare se l’autenticazione precedente copre ancora i pagamenti successivi. La gestione dipende dalle condizioni dell’accordo con il cliente, dal tipo di transazione e dalle regole del fornitore. In alcuni casi può essere richiesta una nuova autenticazione prima di addebitare il nuovo importo.

Che cosa succede se l’importo finale cambia dopo l’autenticazione?

Se l’importo cambia dopo l’autenticazione 3D Secure, il commerciante deve verificare se il pagamento può essere elaborato secondo le condizioni originarie oppure se è necessaria una nuova richiesta. La procedura dipende dal tipo di operazione e dalle regole del circuito e del fornitore, soprattutto quando la variazione non era stata concordata con il cliente.

Le carte emesse fuori dallo Spazio economico europeo seguono le stesse regole SCA?

Non necessariamente. Le regole europee sulla SCA dipendono anche dalla localizzazione dei prestatori di servizi di pagamento coinvolti. Una carta emessa fuori dallo Spazio economico europeo può comunque essere soggetta a controlli 3D Secure, secondo le regole del circuito, dell’emittente e del fornitore. Per gestire correttamente queste operazioni, verifica le condizioni del tuo servizio di pagamento.

Quali informazioni sul 3D Secure deve conservare un commerciante?

È utile conservare identificativo della transazione, data, importo, stato dell’autenticazione e risultato del pagamento, secondo le informazioni rese disponibili dal fornitore e gli obblighi applicabili. Questi dati permettono di collegare le operazioni agli ordini e facilitano la gestione di errori e contestazioni. Evita di archiviare informazioni sensibili della carta non necessarie.

Come testare il 3D Secure prima di modificare il checkout?

Prima di pubblicare un aggiornamento, utilizza l’ambiente di test del fornitore per verificare i flussi frictionless e challenge, oltre ai casi di autenticazione fallita, annullamento e rifiuto del pagamento. Esegui le prove anche da smartphone e controlla che il cliente possa tornare correttamente al checkout. Verifica infine che tentativi ripetuti non generino ordini o addebiti duplicati.

Quando è necessario autenticare nuovamente una carta salvata?

Una carta salvata può richiedere una nuova autenticazione in base al tipo di pagamento, alle condizioni concordate con il cliente e alle regole del fornitore. Un nuovo acquisto avviato dal cliente e un addebito ricorrente disposto dal commerciante possono seguire procedure differenti. La presenza dei dati della carta in archivio non esclude automaticamente l’applicazione della SCA.