Protocolo 3D Secure
¿Qué es 3D Secure? Definición
3D Secure (Three-Domain Secure) es un protocolo de autenticación desarrollado por EMVCo que verifica la identidad del titular de una tarjeta en pagos online. Los tres dominios que intervienen son: el emisor (banco del comprador), el adquirente (entidad que procesa el cobro) y la infraestructura de interoperabilidad de los esquemas.
Es el mecanismo que permite cumplir con la Autenticación Reforzada de Cliente (SCA) 2FA, obligatoria en el Espacio Económico Europeo bajo la Directiva PSD2. Cada marca opera su implementación: Verified by Visa, Mastercard Identity Check y American Express SafeKey.
Cómo funciona el 3D Secure
La versión actual, 3DS2, opera de forma nativa en el checkout sin redirecciones. El flujo se ejecuta en milisegundos:
- El comprador introduce los datos de su tarjeta en la página de pago.
- La pasarela consulta al Directory Server del esquema para confirmar si la tarjeta está adherida al protocolo.
- El emisor recibe la solicitud junto con más de 100 datos contextuales (IP, dispositivo, historial, geolocalización).
- El Access Control Server (ACS) del emisor aplica RBA (análisis de riesgo en tiempo real). Si el riesgo es bajo, aprueba sin fricción. Si detecta anomalías, lanza un reto: OTP, confirmación en app bancaria o biometría.
- El resultado viaja de vuelta al adquirente, que procede con la autorización.
Con 3DS2, hasta el 95 % de las transacciones se aprueban sin reto visible gracias al análisis de riesgo contextual, reduciendo el abandono de carrito frente al antiguo 3DS1.
Impacto normativo y seguridad aplicable del 3D Secure
El marco legal de 3D Secure en Europa descansa sobre tres pilares.
PSD2 y RTS de la EBA. El artículo 97 de la Directiva (UE) 2015/2366 obliga a aplicar SCA en pagos electrónicos. El Reglamento Delegado (UE) 2018/389 define las exenciones aplicables:
- Operaciones de bajo importe (inferior a 30 €, con límites acumulativos de 100 € o 5 operaciones consecutivas).
- Análisis de riesgo de la transacción (TRA), aplicable si la tasa de fraude del proveedor está por debajo de los umbrales de la EBA.
- Beneficiarios de confianza, donde el titular marca al comercio como destinatario habitual.
Real Decreto-ley 19/2018. Transpone la PSD2 al ordenamiento español y limita la responsabilidad del titular a 50 € en operaciones no autorizadas.
PCI DSS v4.0. Exige cifrado, control de acceso y monitorización continua en todos los componentes del flujo 3DS (ACS, Directory Server, 3DS Server).
Ventajas y desventajas del 3D
| Ventajas | Desventajas |
|---|---|
| Reducción de fraude en operaciones CNP | Fricción si el emisor lanza reto al comprador |
| Responsabilidad: el contracargo pasa al emisor tras autenticación | Dependencia de la disponibilidad del ACS |
| Cumplimiento directo de SCA/PSD2 | Integración compleja en pasarelas antiguas |
| Mayor tasa de aprobación con 3DS2 y RBA | Emisores fuera del EEE pueden no soportar 3DS2 |
Para un ecommerce, la estrategia óptima es aplicar SCA inteligente: activar 3D Secure por defecto y usar las exenciones (TRA, bajo importe) coordinadas con el adquirente para proteger la conversión.
Fuentes y lecturas relacionadas
- Diferencias entre 3D Secure y Tokenización: Guía completa de seguridad en pagos - Artículo LinkedIn
- Procesador de pagos y emisión de tarjetas: guía esencial - Artículo LinkedIn
- 🛡️3D Secure vs Tokenización: LOS 2 GUARDIANES de tus pagos 💳 - YouTube