ИНВЕСТИЦИОННЫЙ ПОРТАЛ ВОЛГОГРАДСКОЙ ОБЛАСТИ

что это такое, и как перейти на новый протокол без лишних затрат

Рассматриваем, как перейти на новый протокол 3‑D Secure 2.0, не затрачивая на это много ресурсов. А главное, как не потерять в конверсии и не навредить проходимости платежей во время переходного периода.

К концу 2021 года все банки ЕС будут применять новые правила безопасности для интернет-платежей внутри Еврозоны (и подлежат большим штрафам, если этого не сделают). Онлайн-бизнес, который не перейдет на протокол 3DS2, столкнется с серьезной потерей конверсии. Количество отказов по платежам без аутентификации 3DS2 уже сейчас быстро возрастает. Скоро все онлайн-платежи по картам, не прошедшим аутентификацию 3DS2, будут отклоняться эмитентами без рассмотрения.

Mastercard планирует вывести прежний протокол безопасности 3DS1 из эксплуатации в октябре 2022 года. VISA уже в октябре 2021.

Что такое 3DS2?

Техническая суть новшеств – в изменении некоторых программных кодов и автоматических параметров оповещений и запросов на платежный сервер и далее, для проверки и одобрения эмитенту.

Новый протокол формирует два пути прохождения платежей: frictionless flow и challenge flow. В первом случае система верифицирует знакомое устройство пользователя и одобряет платеж без подтверждения SMS-паролем. Во втором случае банковская система сомневается в аутентификации плательщика, и требует предоставить пароль или биометрическую информацию. Она перенаправляет пользователя на ACS-страницу банка-эмитента для ввода одноразового SMS-пароля.

Сервер Управления Доступом (ACS) ответственен за управление процессами аутентификации между покупателем и эмитентом, и гарантирует проведение платежных транзакций для торговца. Система сравнивает собранные данные с предыдущими (историческими) данными о транзакциях держателя карты для вывода значения риска мошенничества, соответствующего новой транзакции.

Что значит введение нового протокола 3DS2 для бизнеса?

Для онлайн-бизнеса и потребителей введение нового протокола 3DS2 на основе стандарта строгой аутентификации SCA означает гарантию безопасности, бесшовности и высокой конверсии платежей. Эмитентам карт для подтверждения каждой операции автоматически отправляется набор параметров о держателе карты и его устройстве, «цифровой отпечаток» плательщика. Если программа проверки «узнает» держателя карты, то обычной процедуры подтверждения платежа одноразовым SMS-паролем не потребуется. Большинство транзакций будет успешно совершаться в одну стадию.

Важно и то, что 3DS2-аутентификация (как и 3DS1) возлагает ответственность за возможный неправомерный платеж на эмитента и снимает ее с онлайн-бизнеса. Еще более значима для бизнеса и поддержка 3DS2 платежей в мобильных приложениях.

Как перейти на новый протокол 3DS 2.0: варианты — от сложного к простому

Для самостоятельного перехода на новую конфигурацию онлайн-бизнесу потребуется команда IT-специалистов и несколько недель работы (в зависимости от существующей схемы платежей на сайте).

Но есть способ лучше. Единичные платежные провайдеры научили свою платежную платформу проводить платежи с поддержкой 3-D Secure 2.0 самостоятельно. Со стороны бизнеса не требуется никаких доработок сайта, а платежная схема для онлайн-продавца и пользователя остается такой же, как и для 3‑D Secure 1.

Так, внутри ECOMMPAY этот сервис называется Proxy 3DS, а в документации значится как базовая схема аутентификации. Это своеобразный «переходник» между ядром нашей платформы (Core) и сервером управления доступом (Access Control Server или ACS).

Proxy 3DS – бесплатный сервис. Он уже работает для существующих клиентов ECOMMPAY и по умолчанию включается, если интеграция с сайтом идет через API (host2host). При подключении через платежную страницу вся обработка платежей, включая 3DS-аутентификацию, как и раньше, идет на стороне платежного провайдера.

Как работает 3DS 2.0 через Proxy 3DS на практике: разные сценарии

Если банк-эмитент держателя карты поддерживает протокол 3-D Secure 2.0, то платежная платформа в ответ на запрос формирует оповещение в привычном формате 3‑D Secure 1, но в качестве URL-адреса вместо ACS будет указан адрес нашего сервиса Proxy 3DS.

При перенаправлении пользователя на Proxy 3DS возможны два сценария:

• frictionless flow — отображение скрытого для пользователя окна (iframe) и обмен данными с ACS в фоновом режиме. Другими словами, Frictionless Flow позволяет эмитентам одобрить транзакцию, не требуя ручного ввода данных от владельца карты.

• challenge flow — перенаправление пользователя на ACS-страницу банка-эмитента для ввода подтверждающей информации (например, одноразового пароля).

Выполняться может как один из этих сценариев, так и два сценария последовательно. Выбор за эмитентом.

Как перейти на 3-D Secure 2 в одно действие?

Proxy 3DS работает по базовой схеме аутентификации. Сервис поддерживает протокол 3-D Secure 2 на основе предыдущей версии без доработок, но требует дополнительных перенаправлений пользователя.

Расширенная схема оптимизирована под особенности протокола 3-D Secure 2.0 и исключает промежуточные перенаправления. Однако, она предполагает, что торговый сайт уже умеет работать со схемами frictionless и challenge flow.

Для максимально легкого перехода на расширенный вариант сервиса наша команда реализовала обратную совместимость между схемами аутентификации. От системного администратора сайта требуется самостоятельно изменить только один параметр в одном из запросов. Подробности – в нашей документации.

Переход платежных систем и банков по всему миру на новый протокол 3DS2 – вопрос самого ближайшего будущего. Но в условиях, когда не все банки-эмитенты даже в ЕС осуществили этот переход, любой онлайн-бизнес может столкнуться с неожиданным снижением конверсии или частым отказами по транзакциям какого-либо эмитента. Proxy 3DS – оптимальный инструмент для переходного периода в европейской системе безопасности онлайн-платежей.

Клиенты ECOMMPAY, которые интегрируют платежный шлюз через API, работают с 3-D Secure 2 через Proxy 3DS. Это избавляет их от многочисленных доработок для поддержки новой версии протокола.

Чтобы узнать, как упростить переход на новый протокол, свяжитесь с нашими экспертами!

Что такое 3D Secure? Принцип работы технологии

В тех местах, где люди тратят деньги, всегда есть риск нарваться на мошенников. Интернет не исключение. Скорее, наоборот: здесь жуликов значительно больше.

Прожженные аферисты, сидя за решеткой, находят способы подключиться к сети, чтобы украсть деньги добропорядочных обывателей. Даже школьники, которых не научили уважать закон, пользуясь мнимой анонимностью, рады обмануть в интернете.

Поэтому безопасность платежей с помощью банковской карты в виртуальном пространстве находится на высоком уровне. Если пользователь сам не сообщит мошенникам конфиденциальную информацию, у них не будет ни единого шанса.

Технология 3D Secure как раз об этом. Авторизация платежей происходит максимально надежно, и беспокоиться стоит только о собственной внимательности в интернет-магазинах, где пользователь вводит данные карты.

3D Secure: что это

3D Secure – это протокол защиты при авторизации, без присутствия карты, когда происходит оплата товара или услуг. Впервые он был задействован международной платежной системой Visa, затем, с небольшими изменениями, был принят и другими МПС.

Протокол добавляет дополнительную ступень аутентификации пользователя при совершении сделки онлайн. Это позволяет банку или торговой точке убедиться, что операцию проводит держатель карты, а не мошенники.

3D в этом случае означает, конечно, не спецэффекты, как в кинотеатре. Это система, когда в процессе оплаты происходит проверка трех доменов: домена банка, сотрудничающего с интернет-магазином, домена банка владельца карты и домена платежной системы.

Как работает технология 3D Secure

Чаще всего, с помощью СМС.

Клиент, совершая покупку на сайте, перенаправляется на страницу банка, выпустившего карту. Здесь, в специальном поле, надо ввести одноразовый код, который пришел в сообщении на телефон, привязанный к карте. Срок действия кода не превышает 5 минут, затем придется запросить новый пароль.

Не сообщайте пароль из СМС посторонним людям, даже сотрудникам банка. Эта информация только для вас.

Некоторые банки не используют одноразовые коды, а требуют только пароль, который пользователь задал при регистрации, что не так надежно.

Функция бесплатна и является стандартной для карт Visa и MasterCard. Если она не подключена, есть четыре способа исправить ситуацию:

1. Через интернет банкинг, в личном кабинете.
2. В банкомате, принадлежащем финансовому учреждению, выпустившему карту.
3. Совершив звонок в банк.
4. Сделав заявку менеджеру в офисе.

Не все интернет-магазины поддерживают технологию 3D Secure. На таких ресурсах для покупки необходимо знать только реквизиты: номер и код CVV2/CVC2. Любой, кто обладает этой информацией, может воспользоваться картой, так как платежи пройдут без подтверждения по СМС или логину и паролю.

Если торговая площадка поддерживает безопасные платежи, это отмечается надписью: Verified by Visa (VbV) или MasterCard Secure Code.

Иногда возникает необходимость отключить услугу, например, за границей или сменив номер телефона. Если такой возможности нет в личном кабинете онлайн-банкинга, придется обращаться в банк с письменным заявлением. Некоторые банки дают возможность изменить номер телефона без отключения защиты.

Еще немного о безопасности

Технологии сделали все возможное для повышения безопасности онлайн-платежей. Сохранность сбережений зависит, в основном, от действий пользователя.

• Игнорируйте звонки и сообщения с вопросами о личных данных и реквизитах карты. Это конфиденциальная информация.
• Проверяйте остаток средств на карте. Если подозреваете несанкционированное списывание денег со счета – свяжитесь с банком.
• Запомните номер банка, с которого приходят СМС с информацией. Не доверяйте другим коротким номерам.
• Контролируйте документы с реквизитами карты: выписки, чеки и тому подобные. Если они не нужны, лучше их уничтожить.
• Проверяйте надежность сайта, где вводите данные карты. Это можно увидеть в адресной строке: защищенный протокол https://.
• Проверяйте на вирусы программное обеспечение на компьютере и смартфоне.

В случае, если и телефон и карта утеряны владельцем, стоит немедленно связаться с сотрудниками банка и заблокировать движения по счету.

3-D Secure (3DS): как работает механизм и почему его использование является важным при приеме платежей через вебсайт?

Сегодняшнюю серию блога о приеме платежей через вебсайт команда Finance Business Service хочет посвятить одному из важных аспектов процесса безопасного эквайринга платежных карт – 3-D Secure. Мы глубоко убеждены, что каждый из нас, кто хотя бы раз в своей жизни совершал оплату товаров и услуг в сети Интернет, уже заочно знаком с этим механизмом. Тем не менее, для лучшего понимая схемы его работы и необходимости практического использования, вашему вниманию предлагается следующий материал. Он будет полезен не только для держателей банковских карт (покупателей), но и для владельцев онлайн-бизнеса.

Что такое 3-D Secure?

3-D Secure (Three-Domain Secure) – это протокол защиты, используемый для авторизации платёжного средства (банковской карты) при совершении CNP-оплаты (Card Not Present Payment) за товары и услуги. Впервые данный механизм был задействован оператором платёжных карт Visa, вследствие чего появилась система безопасности Verified by Visa. Чуть позже этому примеру последовал оператор MasterCard и внедрил свой собственный протокол MasterCard Secure Code. Для того, чтобы понять, гарантирует ли тот или иной вебсайт дополнительный уровень защиты интернет-платежей, необходимо обратить внимание на наличие специальных логотипов операторов Visa и MasterCard на его страницах.

Поскольку технология 3-D Secure является технологией повышенной безопасности, она создает ещё одну ступень аутентификации пользователей для подтверждения онлайн-платежей, осуществляемых при помощи платёжных карт. В свою очередь, это позволяет бизнесу (к примеру, интернет-магазину) и его банку-эквайеру убедиться в том, что операции действительно проводятся держателями карт, а не мошенниками.

Схема работы 3-D Secure

Для того, чтобы понять, как работает 3-D Secure, нужно вспомнить алгоритм действий обычного покупателя, например, при оплате онлайн-заказа на вебсайте.

• В большинстве случаев покупатель формирует свой заказ в «Корзине» и выбирает способ оплаты «Банковской картой Visa или MasterCard», после чего система переправляет его на форму для внесения реквизитов платёжной карты.
• В этой форме обычно требуется внесение следующих данных: номер банковской карты, срок её действия, CVV2/СVC2-код и имя держателя.
• После заполнения платёжных реквизитов, подключается протокол безопасности 3-D Secure, при помощи которого покупателю отправляется SMS-оповещение с уникальным паролем для подтверждения операции. Этот пароль всегда одноразовый и действует достаточно короткий промежуток времени (от 30 секунд до 5 минут). Особенность подобного SMS-оповещения заключается в том, что покупатель получает уведомление на свой мобильный телефон, который привязан к банковской карте, или же в приложении мобильного банкинга, для входа в который также требуется аутентификация паролем, отпечатком пальца (Touch ID) или фейс-сканером (Face ID).
• Корректное и своевременное введение пароля из SMS-оповещения в форме оплаты на вебсайте разрешает банку безопасное списание денежных средств со счёта покупателя.
  

Стоит отметить, что 3-D Secure авторизация проходит по трём доменам:

• домену банка-эквайера, который обслуживает интернет-магазин;
• домену банка-эмитента, который выпустил платёжную карту покупателя;
• домену платёжной системы.

Отсюда, собственно говоря, и возникло название Three-Domain Secure. Вся передаваемая информация по платежу сохраняется на домене банка-эмитента, а интернет-магазин не имеет к ней никакого доступа. Но интернет-магазин может хранить часть информации по реквизитам банковской карты, если покупатель даёт своё согласие. Обычно это происходит после нажатия кнопки «Запомнить карту» на вебсайте для ускоренного проведения транзакций в дальнейшем.

Необходимость практического использования 3-D Secure

Несмотря на очевидное преимущество 3-D Secure, не все интернет-торговцы и банки поддерживают данную технологию, так как она не является обязательной. Результаты исследований, проводимых в США, показывают, что ввиду применения 3-D Secure аутентификации, количество «брошенных корзин» в онлайн-магазинах существенно возрастает. Это останавливает мошенников на пути осуществления fraud-платежей. Тем не менее очень часто покупатели критикуют рассматриваемый механизм безопасности из-за неудобства и необходимости заполнения дополнительной формы с кодом авторизации.

По нашему мнению, в использовании 3-D Secure видится реальная практическая необходимость, поскольку пароль из SMS-оповещения является своеобразной гарантией надлежащего владения банковской картой. Кроме этого, поддержка стандарта 3-D Secure продавцом (онлайн-магазином) нивелирует его ответственность в случае попытки проведения несанкционированного платежа. Таким образом бизнес перекладывает бремя ответственности на банк-эмитент, который выпустил ту или иную платёжную карту.

Тем не менее механизм 3-D Secure постепенно устаревает. Недобросовестные покупатели (мошенники) приспособились перехватывать SMS-оповещения банков, тем самым получая доступ к чужим кодам аутентификации. В свою очередь, это наталкивает на мысль о том, что существующие протоколы безопасности требуют модернизации.

Ошибка при проведении 3DS-аутентификации: что это такое

Ошибка при проведении 3DS-аутентификации – проблема, встречающаяся в момент оплаты товаров и услуг в сети. Для ее решения необходимо знать нюансы подтверждения данных.

Особенности аутентификации

3DS-аутентификация – уникальная система защиты данных банковских карт от совершения финансовых операций без согласия держателя.

Для оплаты покупок в интернет-магазинах нужно указывать следующую информацию:

• номер и срок действия карты, указанный на лицевой стороне;
• код с оборотной стороны карты – CVV (CVC).

Если для карты подключена дополнительная защита 3DS-Secure, то пользователю при оплате онлайн следует пройти еще одну процедуру, направленную на противодействие потенциальным мошенникам. Одноразовые пароли поступают в виде смс-сообщения на номер держателя карты. Ввод данных осуществляется на официальной странице одного из банков: ПАО “Сбербанк России”, “ВТБ”, ” Альфа-Банк” и другие.

После прохождения 3DS-аутентификации происходит оплата с учетом последующей переадресации покупателя на сайт продавца. Транзакция не может быть осуществлена без данной операции, ни при каких обстоятельствах.

Плюсы и минусы технологии

Метод защиты 3DS-аутентификации имеет очевидные преимущества и недостатки. В целях самостоятельной оценки работоспособности технологии следует ознакомиться с возможными рисками.

Плюсы	Описание
Безопасность транзакций	Клиенты всех финансовых организаций заинтересованы в индивидуальном сохранении доступа к денежным средствам. В подавляющем большинстве случаев пароли действуют исключительно для единичных операций.
Удобство покупок	Применение одноразовых кодов автоматически освобождает покупателей от необходимости повторного ввода платежных данных.
Простота пользования	Технология доступна для всех категорий лиц, даже для тех, кто проводит электронные транзакции в первый раз.
Массовость	Большинство точек интернет-магазинов поддерживают подключение к 3D-Secure. Продавцы используют технологию в целях защиты клиентской информации и собственной репутации.

 

Среди наиболее весомых недостатков 3DS-аутентификации пользователи выделяют:

• невозможность проверки чистоты операций – многие пользователи сходятся во мнении, что технология позволяет обеспечить должную защиту только для магазинов, а не для клиентов.
• длительность переводов – на практике покупатели заинтересованы в снижении времени оплаты товаров и услуг в интернете. В 3D-Secure затрачивается больше времени на каждую транзакцию, чем в незащищенных вариантах;
• электронные платежи считаются более опасными для магазинов, чем офлайн-способы. Многие продавцы используют 3DS-аутентификацию исключительно для перенаправления ответственности на банки-эмитенты в случае участия мошенников.
• процесс покупки прекращается из-за длительности обработки данных. Товары остаются в виртуальных корзинах и больше не используются, что ограничивает возможность получения прибыли и подсчета активности потенциальных потребителей. По статистике более 50% покупателей бросают заполнение анкет именно в связи с применением защищенных протоколов.

Основные причины блокировки транзакции

В ряде случаев при попытке онлайн-оплаты на экране используемого устройства высвечивается сообщение: “Authentication failed: неверный CVV код”. Существует несколько причин появления такого уведомления:

1. Функция не была подключена при первоначальном взаимодействии с банком.
2. Истекло время платежного кода.
3. Задержка на серверах по банковской линии.
4. Эмитент отклонил аутентификацию – случается, если обслуживающая организация считает, что карта была украдена у пользователя.
5. Сбой во внутреннем функционале интернет-магазина.
6. Не пройдена авторизация в системе.
7. Недостаточность денежных средств на платежном счету.

При неудачной 3DS-аутентификации на экран выводится один из доступных кодов ошибки.

Код	Описание
05	Отказ без указания причины
17	Отклонение операции держателем карты
19	Техническая ошибка со стороны обслуживающего банка
51	Недостаточно средств
61	Превышение доступного лимита за одну операцию
62	Невозможность транзакции по причине блокировки карты
65	Превышение доступного количества операций
75	Превышение максимального количества неверно введенных паролей
91	Невозможность отправления запроса на обработку платежа по техническим причинам
95	Сбой связи с банком
Z3	Отсутствие онлайн-соединения. Отключение терминалом возможности приема средств в режиме офлайн.

 

3DS-аутентификация уязвима для вирусных атак. Если телефон, на который поступают сообщения с паролем, работает на операционной системе Android, то пользователям рекомендуется установить антивирусное приложение. Ряд вирусов направлены на инициирование карточных операций и кражу данных.

Специалисты не рекомендуют сохранять реквизиты карт в настольных браузерах. Мошенники могут получить информацию и им не будут нужны одноразовые коды, чтобы воспользоваться чужими деньгами.

Порядок исправления проблемы некорректной аутентификации

Если на экране при оплате появилась надпись “Ваш платеж был отклонен”, то поводов для паники нет. Защитные алгоритмы системы постоянно развиваются и процент несанкционированного доступа злоумышленников к данным предельно низкий.

Оперативное исправление проблемы возможно путем звонка на горячую линию обслуживающего банка.

Представители центра обслуживания проверят настройки карты и дадут первичную консультацию по поводу причин возникшей проблемы. Если это произошло по вине банка или платежной системы, решение займет не более 10 минут.

Минимизация рисков мошенничества

Для снижения рисков необходимо следовать общепринятому алгоритму действий описанных в таблице.

Действие	Описание
Оформление отдельной карты	Для электронных платежей не рекомендуется использовать зарплатные карты, на которые поступает основная часть дохода держателя. Оптимальным вариантом считаются виртуальные карты с предустановленной функцией возврата части суммы покупки.
Проверка адреса сайта продавца	Сайт платежной страницы должен в обязательном порядке начинаться с https.
Снятие части денег с карты через банкоматы перед транзакцией	Покупателям не следует держать все имеющиеся средства на карте. Идеальный вариант – сохранение суммы, равной цене покупки. 10% от общей стоимости закладывается на возможную комиссию.
Совершение покупок только в проверенных магазинах	Перед покупкой важно ознакомиться с отзывами о продавце на страницах популярных агрегаторов.

 

Заключение

Дополнительная мера защиты 3DS-аутентификация дает возможность обеспечения безопасности платежей, совершаемых в режиме онлайн. Снять деньги с карты без согласия владельца практически невозможно. Протокол защиты не обеспечивает 100% гарантию безопасности.

3D Secure 2.0 для безопасных интернет-покупок » Мнения экспертов

Сергей Парфёнов, технический директор ООО «Фаззи Лоджик Лабс», о необходимости перехода на 3D Secure 2.0 и новых возможностях протокола.

3DSecure. Исторический экскурс

Протокол 3D Secure появился 20 лет назад на фоне бурного роста интернета и электронной коммерции, когда все участники рынка (торгово-сервисные предприятия, платежные системы, банки и потребители) оказались остро заинтересованы в росте возможностей интернет-торговли. 3D Secure был призван снизить риск мошенничества при онлайн-платежах платежными картами, которые появились еще в «доинтернетную» эпоху и не предоставляли почти никаких средств для защиты при интернет-платежах.

Первой на рынок вышла компания Visa со своим брендом Verified by Visa. Услуги на базе стандарта 3D Secure были вскоре предложены и другими крупнейшими платежными системами: Mastercard SecureCode, Discover ProtectBuy, J/Secure, American Express SafeKey.

В настоящее время стандарт поддерживается и развивается консорциумом EMVCo как EMV 3D Secure.

3DSecure 1.0 vs 2.0

 

Очевидно, что с момента появления идет постоянное развитие протокола 3D Secure. Так, например, в версии 1.0 протокола 3D Secure в процесс покупки был добавлен один шаг: перенаправление на веб-сайт эмитента для аутентификации владельца карты с помощью статических или одноразовых паролей. Плюсы такого решения:

• для владельца карты – защита от мошенничества путем хищения реквизитов карты;
• для ТСП – перенос ответственности за мошеннический платеж (Liability Shift) на эмитента.

Все это должно было повысить привлекательность электронной коммерции, но на практике из-за ряда недостатков протокола ожидаемого роста рынка не произошло, а в некоторых странах в момент включения 3D Secure 1.0 объем операций даже упал.

Основная причина – дополнительная сложность для пользователя: лишнее перенаправление в браузере (которое часто могло завершаться просто ошибкой загрузки страницы), необходимость помнить одноразовый пароль (большая часть банков-эмитентов использовала именно такой способ аутентификации). Многим пользователям, столкнувшись с такими трудностями, проще было не завершать текущую покупку, а либо использовать карту другого эмитента, либо покупать у другого продавца.

К другим недостаткам 1.0 можно отнести следующие моменты:

• поддержка только браузерного интерфейса. Особенно это ухудшает удобство пользователя в мобильных приложениях;
• стиль страницы, на которую перенаправляется пользователь, полностью отличается от сайта продавца, что вызывает у пользователя вполне законное подозрение в фишинге;
• аутентификация на основе оценки риска практически невозможна из-за недостаточного количества данных, пересылаемых мерчантом.

3D Secure 2.0 призван устранить болевые точки версии 1.0 и значительно повысить как привлекательность технологии в целом для участников рынка, так и

качество оценки легитимности транзакции и необходимости ее аутентификации.

С учетом этих задач в 3D Secure 2.0 сделаны следующие изменения:

• добавлена поддержка различных устройств и каналов. Новые мобильные SDK позволяют проводить аутентификацию непосредственно в мобильном приложении, без необходимости перенаправления на сайт эмитента;
• вместо статических паролей используются более удобные методы аутентификации, такие как биометрия и токены;
• значительно увеличено количество передаваемых для аутентификации данных, что позволяет качественно проводить Risk-Based-Authentication (RBA).

Рис. 1. Сравнение протоколов 3DS 2.0 c 3DS 1.0

3DS 2.0 становится необходим и в связи с новыми законодательными требованиями в европейских (и некоторых АТР-странах) странах (даже при наличии контрагента вне данной страны) на дополнительную аутентификацию.

Главное нововведение 3D Secure 2.0 – Frictionless Flow, возможность проводить транзакцию без дополнительных действий по аутентификации со стороны пользователя. Если по итогам RBA транзакция признана низкорисковой, то эмитент разрешает продавцу проводить транзакцию без дополнительных запросов пользователю.

• По оценке Visa, 95% транзакций можно проводить без дополнительной верификации покупателя.
• Для клиентов это значительно повышает удобство. Большую часть регулярных платежей можно будет проводить без необходимости подтверждения по одноразовому паролю.
• Банки смогут значительно сэкономить на SMS-оповещениях.
Оценка риска 3DS 2.0 транзакции на стороне эмитента

При оценке риска транзакции на стороне эмитента важно не ошибиться и не пропустить мошенническую транзакцию без дополнительной аутентификации, т. к. в этом случае вся ответственность за возврат средств ложится на эмитента. Важно использовать как можно больше информации о транзакции, ее контексте, профиле клиента, продавца и т. п. В том числе – из других каналов обслуживания.

Рис. 2. Эволюция протокола 3DS

До появления 3DS 2.0 оценка риска многих карточных транзакций была недостаточно качественной, в частности, при CNP-транзакциях (card not present) зачастую просто не хватало информации, чтобы оценить все аспекты риска. Чаще всего были доступны лишь финансовые аспекты транзакции.

Для нашей компании «Фаззи Лоджик Лабс», которая развивает кросс-канальную систему выявления и предотвращения мошеннических транзакций в режиме реального времени Smart Fraud Detection, доступность данных 3DS 2.0 позволяет предоставлять кредитным организациям более эффективную оценку интернет-покупок (Risk-Based Authentication).

С использованием данных операции, полученных благодаря 3DS 2.0, появляется возможность использовать в оценке риска и анализе транзакций:

• типичные параметры для операций в интернет-банке и мобильном приложении о клиентских устройствах и их местоположении, скорости перемещения устройств,
• важные для профилирования операций в электронной коммерции данные, которые раньше было затруднительно получить, например, данные о платеже.

Построение сквозного кросс-канального профиля клиентских устройств и платежных операций пользователя при выполнении интернет-покупок и при работе в системах ДБО банка позволяет существенно повысить качество оценки риска.

Появляются следующие возможности:

• в режиме реального времени строить более точные профили объектов, вовлеченных в операции различных каналов, а также связей между различными объектами: клиентами, мерчантами, IP-адресами, реквизитами и геолокацией клиентских устройств, получателями платежа.
• определять кросс-канальные регулярные платежи, типовые характеристики используемых устройств, скорость перемещения – по их IP;
• сверять транзакцию с реквизитами и устройствами известных мошеннических операций, проведенных в других банковских каналах;
• ранжировать операции от наименее рискованных до наиболее рискованных путем присвоения оценки риска каждому событию, позволяя операторам системы форсировать дополнительную аутентификацию операций – как на основе риска, так и на основе дополнительных условий на параметры операций.
Верификация интернет-покупки

Процедура проведения платежной транзакции с использованием протокола 3DS 2.0 представлена на рис. 3.

Рис. 3. Процедура проведения платежной транзакции с использованием протокола 3DS 2.0

Протокол 3D Secure 2.0 позволяет не только оценить риск, но помочь в выборе механизма более всего подходящей дополнительной аутентификации, исключив по возможности каналы, которые могут оказаться скомпрометированы.

При этом задачами антифрод-решения Smart Fraud Detection являются:

• оценка риска операции, позволяющая снизить количество интернет-операций, требующих верификации, и не пропустить потенциально мошенническое действие;
• ранжирование риска для операций для каждого возможного способа аутентификации с учетом «доверия» к способу верификации и его «стоимости» для эмитента.

Таким образом:

• операция может быть продолжена с наименее рискованным методом верификации или без него;
• для клиентов повышается удобство в выполнении регулярных платежей без необходимости подтверждения их одноразовым паролем или другим средством аутентификации;
• банки смогут значительно сэкономить на SMS-рассылках.
Резюме

Переход на 3DS 2.0 объективно необходим на фоне принципиального изменения ландшафта платежей, включая повсеместное использование мобильных устройств, непредсказуемые изменения поведения пользователей (например, из-за пандемии), гораздо более высокие требования к удобству использования, стабильности и быстродействию платежных инструментов, а также недопустимость усложнения процесса покупок (friction) из-за чрезвычайно высокой конкуренции в сегменте интернет-продаж.

Что такое 3-D Secure Authentication и зачем она мне нужна?

Благодаря растущей популярности платформ электронной коммерции, многие транзакции по картам, которые раньше выполнялись лично, теперь могут быть выполнены онлайн. Возникший в результате рост платежей без предъявления карты (CNP) предлагает большее удобство для тех, кто инициирует транзакцию, и может потребовать меньше от торговцев, которым больше не нужно иметь обычный магазин или нанимать определенных сотрудников для приема платежей. Однако обратная сторона этой цифровой модернизации заключается в том, что она делает случаи мошенничества с платежными картами более распространенными, и их труднее пресекать.

Поскольку карта и владелец карты не участвуют в транзакции CNP, может быть сложно проверить личность лица, производящего платеж, и подтвердить его законность. В то время как считыватели чипов и устройства ввода PIN-кода могут быть развернуты для аутентификации транзакции с предъявлением карты, эти меры безопасности недоступны для транзакций CNP. В результате транзакции CNP должны использовать другие методы аутентификации во время процесса оплаты, которые зависят от канала, через который они принимаются.

Чтобы снизить риск мошенничества, кражи личных данных и других незаконных действий, связанных с этими типами платежей, бренды карт и другие организации ввели дополнительные технологии авторизации. Одним из таких методов обеспечения подлинности платежей CNP является метод авторизации, называемый строгой аутентификацией клиента (SCA). SCA — это стандарт, установленный пересмотренной директивой ЕС о платежных услугах (PSD2), который требует использования формы многофакторной аутентификации (MFA) для успешного завершения транзакции CNP.

Первоначально принятая в 2007 году как Директива о платежных услугах (PSD), PSD2, администрируемая Европейской комиссией, регулирует поставщиков платежных услуг в Европейской экономической зоне. SCA-контроль PSD2 особенно касается использования MFA для защиты клиентов, продавцов и банков от мошеннических транзакций, и обычно это достигается за счет использования технологии, называемой 3-D Secure (3DS).

Что такое 3-D Secure Authentication?

3DS — это протокол безопасности, используемый для аутентификации пользователей.Это обеспечивает дополнительный уровень защиты транзакций с платежными картами в сценариях отсутствия карты. Он был разработан, чтобы позволить держателю карты подтвердить свою личность, чтобы предотвратить мошенничество с платежами, заблокировать несанкционированные транзакции и уменьшить количество возвратных платежей.

Из-за требований PSD2 к SCA этот протокол безопасности используется по всей Европе, но он также используется в странах за пределами ЕС, таких как Южная Африка и Индия. Версии протокола были приняты многими брендами карт, включая членов EMVCo — Visa, Mastercard, Discover, American Express, JCB и UnionPay, которые положили начало созданию 3-D Security 2.0 (3DS2).

Компоненты 3-D Secure Authentication

Идея аутентификации 3DS состоит в том, чтобы обеспечить дополнительный этап процесса финансовой авторизации путем аутентификации держателя карты. Он работает по трехдоменной модели, которая включает:

• Домен эквайера — среда банка-эквайера и продавца, получающего платеж
• Домен эмитента — среда банка-эмитента, по карте которого осуществляется платеж
• Домен совместимости — существующие системы, которые поддерживают процесс 3DS, позволяя сторонам транзакции взаимодействовать и обмениваться информацией

Процесс аутентификации 3DS использует протокол Secure Sockets Layer (SSL) для отправки сообщений на расширяемом языке разметки (XML) с аутентификацией клиента, предоставляя цифровые сертификаты для подтверждения личности всех сторон, участвующих в транзакции.Это обеспечивает максимальную безопасность.

Как работает 3-D Secure 2.0

Представленная в 2015 году последняя версия этого протокола способствует менее навязчивому процессу аутентификации, чтобы уменьшить количество отказов от корзины, которое происходило во время первоначальной 3DS, когда пользователи перенаправлялись на веб-сайт банка-эмитента для аутентификации транзакций.

Теперь продавцы должны отправлять данные аутентификации вместе с информацией о платежной карте для проверки подлинности транзакции.Этот процесс происходит незаметно для пользователя и проверяет подлинность платежа, если только эмитент не найдет причины сомневаться в законности транзакции.

Если транзакция помечается из-за подозрительного поведения или неизвестного устройства, пользователь теперь может получить текстовое сообщение или код подтверждения через приложение, чтобы подтвердить свою личность, вместо того, чтобы быть перенаправленным на веб-сайт банка для ввода пароля, связанного с карта. В результате для пользователя будет гораздо меньше неприятностей.

Интеграция 3-D Secure и других надежных протоколов аутентификации клиентов

В соответствии со Статьей 97 (1) PSD2, SCA требуется в случаях, когда клиент «получает доступ к своему платежному счету онлайн», «инициирует транзакцию электронного платежа» или «выполняет какие-либо действия через удаленный канал, которые могут подразумевать риск. мошенничества с платежами или других злоупотреблений ». Это включает почти все формы электронной коммерции, а это означает, что SCA требуется для многих организаций, ведущих бизнес в ЕС и Европейской экономической зоне (ЕЭЗ).Поэтому, если у вас есть электронная коммерция в ЕС, вам, вероятно, понадобится 3DS или аналогичная технология аутентификации.

Поскольку 3DS часто используется для выполнения этого обязательства, поставщикам важно поддерживать 3DS и другие методы SCA. Платформа облачной безопасности TokenEx может интегрироваться с любым методом SCA, а также с любой третьей стороной или конечной точкой для максимальной гибкости и соответствия требованиям. Свяжитесь с нами, чтобы узнать больше о наших платежных решениях и гибкой интеграции.

Аутентификация карты и 3D Secure

Что такое 3D Secure?

Для дополнительной защиты от мошенничества 3D Secure требует от клиентов выполнения дополнительных этапов проверки у эмитента карты при оплате. Обычно вы направляете клиента на страницу аутентификации на веб-сайте его банка, и он вводит пароль, связанный с картой, или код, отправленный на его телефон. Этот процесс знаком клиентам по торговым маркам карточных сетей, таким как Visa Secure и Mastercard Identity Check.Посмотрите наше видео, чтобы увидеть пример процесса оформления заказа с аутентификацией.

Правила строгой аутентификации клиентов в Европе требуют использования 3D Secure для платежей по картам. 3D Secure не является обязательным в других регионах, но все же может использоваться в качестве инструмента для уменьшения мошенничества.

Stripe поддерживает 3D Secure 2. В вашей интеграции используется 3D Secure 2, если он поддерживается банком клиента (мы ожидаем, что отдельные банки развернут поддержку в период с 2019 по 2020 год), и в противном случае возвращается к 3D Secure 1.

Хотите использовать службу Stripe 3D Secure с другими процессорами? Контактная поддержка.

Спорные платежи и смена ответственности

Платежи, которые были успешно аутентифицированы с помощью 3D Secure, покрываются смещением ответственности . Если платеж 3D Secure будет оспорен держателем карты как мошеннический, ответственность переходит от вас к эмитенту карты. Эти типы споров обрабатываются внутри компании, не отображаются в Личном кабинете и не приводят к снятию средств с вашей учетной записи Stripe.

Если покупатель оспаривает платеж по любой другой причине (например,g., товар не получен) применяется стандартный процесс разрешения споров. Таким образом, вы должны принимать соответствующие решения в отношении своего бизнеса и того, как вы управляете спорами, если они возникают, и как полностью их избежать.

Сдвиг ответственности может также произойти, если для сети карты требуется 3D Secure 1, но 3D Secure недоступен для карты или эмитента. Это может произойти, если сервер 3D Secure эмитента не работает или если эмитент не поддерживает 3D Secure, несмотря на то, что сеть карты требует поддержки 3D Secure.В процессе оплаты держателю карты не предлагается пройти аутентификацию 3D Secure, поскольку карта не зарегистрирована. Хотя владелец карты не выполнил аутентификацию 3D Secure, ответственность по-прежнему перекладывается на эмитента.

Существуют определенные обстоятельства, при которых платежи, успешно аутентифицированные с помощью 3D Secure, не претерпевают изменения ответственности. Это редко и может произойти, например, если в вашей учетной записи наблюдается чрезмерный уровень мошенничества и вы участвуете в программе мониторинга мошенничества.

Несмотря на то, что платежи, которые были успешно аутентифицированы с помощью 3D Secure, не могут быть оспорены как мошеннические с помощью авансового финансового платежа, эмитенты могут инициировать запрос на извлечение. Этот тип спора не является финансовым и в основном представляет собой запрос информации.

Важно отметить, что ответ на запросы извлечения важен для любой платы, но жизненно важен , когда речь идет об оплате с аутентификацией 3D Secure. Хотя банку держателя карты не разрешается подавать авансовый финансовый платеж за мошенничество, ему разрешается инициировать финансовый возвратный платеж, если продавец не отвечает на запрос извлечения, известный как возвратный платеж без ответа .Чтобы предотвратить возвратные платежи по платежам 3D Secure без ответа, не забудьте предоставить достаточную информацию о платежах. Вы должны включить информацию о том, что было заказано, как это было доставлено и кому было доставлено (будь то товары или услуги и т. Д.).

Контроль времени представления потока 3D Secure

Stripe запускает 3D Secure автоматически, если это требуется нормативными требованиями, такими как строгая проверка подлинности клиентов. Вы также можете использовать правила Radar или API, чтобы контролировать, когда клиентам предлагается завершить аутентификацию 3D Secure, делая определение для каждого пользователя на основе желаемых параметров.

Чтобы отследить, применялась ли 3D Secure к платежу по карте, прочтите свойство three_d_secure в информации о карте в разделе payment_method_details начисления. Stripe заполняет свойство three_d_secure , когда клиент пытается аутентифицировать карту — three_d_secure.succeeded указывает, прошла ли аутентификация успешно.

Когда вы запускаете 3D Secure, Stripe требует, чтобы ваш клиент выполнил аутентификацию для завершения платежа, если аутентификация 3D Secure доступна для карты.Если 3D Secure не поддерживается картой или во время аутентификации возникает ошибка, платеж проходит нормально. Когда это происходит, ответственность обычно не перекладывается на эмитента, поскольку успешная аутентификация 3D Secure не состоялась.

Использование правил радара на панели инструментов

Stripe предоставляет три правила по умолчанию для динамического запроса 3D Secure при создании или подтверждении PaymentIntent или SetupIntent. Вы можете настроить эти правила 3D Secure Radar на панели инструментов Stripe.На следующем снимке экрана показаны эти правила радара, которые запрашивают дополнительную аутентификацию от клиентов, когда эмитент их карты требует 3D Secure:

Первое правило включено по умолчанию, но вы можете отключить его.

Если у вас есть Radar for Fraud Teams, вы можете добавить собственные правила 3D Secure, используя синтаксис, описанный в нашем справочнике по правилам. Radar запрашивает аутентификацию 3D Secure для платежей, соответствующих этим правилам. В приведенном ниже примере включенное правило запрашивает аутентификацию 3D Secure для попыток платежа, когда сумма платежа превышает 500 долларов США, а уровень риска не считается нормальным.

Запросить 3D Secure вручную с помощью API

Метод по умолчанию для запуска 3D Secure — использование Radar для динамического запроса 3D Secure в зависимости от уровня риска и других требований. Запуск 3D Secure вручную предназначен для опытных пользователей, интегрирующих Stripe со своим собственным механизмом защиты от мошенничества.

Чтобы запустить 3D Secure вручную, установите payment_method_options [card] [request_three_d_secure] с на любой при создании или подтверждении PaymentIntent или SetupIntent. Этот процесс одинаков для одноразовых платежей или будущих несессионных платежей.Если указан этот параметр, Stripe пытается выполнить 3D Secure и отменяет любые динамические правила 3D Secure Radar в PaymentIntent или SetupIntent.

Когда предоставлять этот параметр, зависит от того, когда ваша система защиты от мошенничества обнаруживает риск. Например, если ваша система защиты от мошенничества проверяет только данные карты, вы знаете, следует ли запрашивать 3D Secure, прежде чем создавать PaymentIntent или SetupIntent. Если ваша система защиты от мошенничества проверяет и данные карты, и транзакции, укажите этот параметр во время подтверждения — как только у вас появится дополнительная информация.Затем передайте полученный PaymentIntent или SetupIntent своему клиенту, чтобы завершить процесс.

Изучите использование параметра request_three_d_secure для каждого случая в справке по API:

Когда вы устанавливаете request_three_d_secure на любой , Stripe требует от вашего клиента выполнить аутентификацию для успешного завершения платежа, если аутентификация 3D Secure доступна для открытка. Если 3D Secure недоступен для данной карты, оплата происходит в обычном режиме.

Правила SCA Stripe запускаются автоматически, независимо от того, запрашиваете ли вы 3D Secure вручную. Любые запросы 3D Secure от вас являются дополнительными и не требуются для SCA.

Отображение 3D Secure Flow

Stripe автоматически отображает пользовательский интерфейс аутентификации во всплывающем модальном окне при вызове confirmCardPayment и handleCardAction . Вы также можете выбрать перенаправление на веб-сайт банка или использовать iframe.

Stripe.js собирает основную информацию об устройстве во время аутентификации 3D Secure 2 и отправляет ее в банк-эмитент для анализа рисков.

Перенаправление на веб-сайт банка

Чтобы перенаправить вашего клиента на страницу аутентификации 3DS, передайте return_url в PaymentIntent при подтверждении на сервере или на клиенте. Вы также можете установить return_url при создании PaymentIntent.

После подтверждения, если PaymentIntent имеет статус requires_action, проверьте значение next_action для PaymentIntent. Если это redirect_to_url, это означает, что требуется 3D Secure.

 
  next_action: {
    тип: 'redirect_to_url',
    redirect_to_url: {
      url: 'https: // крючки.stripe.com / ... ',
      return_url: 'https://mysite.com'
    }
}  
 

В браузере перенаправьте клиента на url в хэше redirect_to_url для завершения аутентификации.

 
  var action = intent.next_action;
  if (action && action.type === 'redirect_to_url') {
    window.location = action.redirect_to_url.url;
  }  
 

Когда клиент завершает процесс аутентификации, перенаправление отправляет его обратно на return_url , который вы указали при создании или подтверждении PaymentIntent.Перенаправление также добавляет параметры запроса URL payment_intent и payment_intent_client_secret , которые ваше приложение может использовать для идентификации PaymentIntent, связанного с покупкой покупателя.

Отображение в iframe

Вы не можете настроить пользовательский интерфейс аутентификации в Интернете в соответствии с дизайном вашего веб-сайта — банк, выпустивший карту, контролирует шрифты и цвета интерфейса.

Однако вы можете выбрать , как и , где отображается пользовательский интерфейс 3D Secure.Большинство продавцов показывают его в модальном диалоговом окне над своей платежной страницей. Если у вас есть собственный модальный компонент, вы можете разместить внутри него рамку 3D Secure. Вы также можете показать содержимое аутентификации в форме оплаты.

1 Подтверждение PaymentIntent на стороне сервера

Когда ваш клиент будет готов завершить свою покупку, вы подтверждаете PaymentIntent, чтобы начать процесс сбора его платежа.

Если вы хотите контролировать отображение 3D Secure, укажите return_url , куда будет перенаправлен 3D Secure