3D Secure 2 (Visa Secure) : comment fonctionne EMV 3DS

Comment fonctionne le flux EMV 3DS

EMVCo décrit le processus en trois étapes. Un acheteur paie par carte sur un téléphone, une tablette ou un ordinateur. Le commerçant utilise l'EMV 3DS pour envoyer à l'émetteur des détails sur la transaction, le mode de paiement et l'appareil. L'émetteur utilise ces données pour décider : pour de nombreuses transactions, le paiement passe sans interruption, souvent appelé sans friction, et pour les transactions à risque plus élevé, l'émetteur peut demander à l'acheteur de compléter un défi, comme un code à usage unique, des questions basées sur la connaissance ou la biométrie. EMVCo indique que les spécifications prennent en charge les paiements en application et dans un navigateur, plusieurs méthodes d'authentification renforcée, et la vérification de compte initiée par le commerçant. La décision de déclencher un défi appartient à l'émetteur, pas au commerçant, même si les données que vous envoyez l'influencent.

3D Secure 2, EMV 3DS et Visa Secure

Les noms se chevauchent. Visa affirme avoir été pionnier du protocole 3-D Secure original et avoir collaboré avec d'autres réseaux de paiement pour développer la génération suivante, l'EMV 3-D Secure, et que Visa Secure est son programme mondial EMV 3DS. EMVCo maintient les spécifications EMV 3DS, les publie sans redevance, et approuve des produits et fournisseurs de services par rapport à celles-ci. Pour un commerçant, le 3DS est habituellement activé via une passerelle de paiement ou un fournisseur de serveur 3DS plutôt que construit à partir de zéro. La page de Visa dirige les commerçants vers son site de services Visa Secure pour la liste approuvée de fournisseurs 3DS. Demandez à votre fournisseur quelle version d'EMV 3DS il prend en charge; EMVCo indique que la version 2.1 prend en charge l'authentification forte du client, mais recommande d'envisager la 2.2 ou une version supérieure.

Ce que le résultat signifie dans un litige

Les règles fondamentales de Visa dressent la liste des litiges invalides pour la condition 10.4, la fraude sans carte présente. Elles incluent une transaction de commerce électronique sécurisée envoyée avec ECI 5, où l'émetteur a confirmé l'authentification via Visa Secure avec EMV 3DS et où la valeur d'authentification (CAVV) figurait dans la demande d'autorisation. Elles incluent aussi une transaction ECI 6 où l'émetteur, ou Visa en son nom, a renvoyé une réponse de tentative avec un CAVV, sauf pour une carte prépayée non rechargeable. Aux États-Unis, les règles de Visa exigent que les acquéreurs informent les commerçants de certaines catégories, y compris les virements et mandats-poste, la cryptomonnaie, les chargements de valeur stockée et les paris, que leurs transactions de commerce électronique sécurisées ne sont pas admissibles à la protection de la condition 10.4. L'authentification concerne la fraude : les conditions de litige de consommation de Visa, comme la marchandise non reçue ou non conforme, sont distinctes. Notre guide sur le filtrage antifraude explique comment le 3DS s'intègre avec les vérifications d'adresse et de code de sécurité.

Où le 3DS est exigé

Visa exige que les acquéreurs informent les commerçants de commerce électronique que Visa Secure est disponible et qu'ils le fournissent sur demande. Son tableau des exigences régionales liste les pays où les commerçants de commerce électronique, ou les commerçants de certaines catégories, doivent traiter les transactions avec Visa Secure et EMV 3DS, y compris l'Inde, Hong Kong et plusieurs autres marchés d'Asie-Pacifique, les transactions domestiques au Nigéria, d'autres pays de sa région CEMEA, et tous les pays de sa région Europe. Le tableau ne mentionne pas d'exigence générale pour les États-Unis ou le Canada. Au Canada, les règles de Visa exigent que les émetteurs qui participent à Visa Secure prennent en charge l'authentification fondée sur le risque. EMVCo note que l'Autorité bancaire européenne a reconnu en 2019 que des protocoles comme l'EMV 3DS donnent aux commerçants et aux émetteurs un moyen de soutenir l'authentification forte du client en vertu de la DSP2. Si vous vendez à des acheteurs dans ces régions, vérifiez auprès de votre acquéreur.

Règles que les commerçants oublient parfois

Les règles de Visa précisent qu'un acquéreur peut utiliser ECI 5 ou 6 dans le relevé de compensation seulement si la demande d'autorisation incluait le CAVV. Aux États-Unis, un commerçant de commerce électronique ne doit pas envoyer les données d'authentification d'une transaction avec une autre transaction, sauf pour un paiement anticipé partiel ou une commande qui ne peut être expédiée d'un coup. Un commerçant qui affiche le badge Visa Secure doit respecter les normes de marque de Visa. Exemple illustratif seulement, avec des chiffres ronds inventés : un magasin authentifie une commande de 300 $, mais l'article est expédié en deux parties. L'exception d'expédition fractionnée permet aux mêmes données d'authentification d'accompagner la seconde partie, tandis qu'une nouvelle commande distincte la semaine suivante nécessite sa propre authentification.

L'utiliser sans nuire à la conversion

L'objectif énoncé d'EMVCo pour l'EMV 3DS est de prévenir la fraude sans carte présente sans friction inutile, laquelle mène souvent à des achats abandonnés, et il indique que des données plus riches aident les émetteurs à approuver davantage de transactions légitimes. Cela dépend des données que vous envoyez. Transmettez des informations complètes sur l'appareil et la commande via votre fournisseur, assurez-vous que les écrans de défi fonctionnent dans votre application et sur les navigateurs mobiles, et surveillez les résultats d'authentification et d'approbation par type de carte. Notre guide sur la friction au moment du paiement traite du même problème du côté du formulaire.