Adyen 3D Secure: Jak działa uwierzytelnianie 3DS2
3D Secure to warstwa uwierzytelniania, która znajduje się pomiędzy płatnością kartą a jej zatwierdzeniem. Adyen 3DS to jedna z najpopularniejszych implementacji tego standardu, wbudowana w platformę płatniczą Adyen i obsługująca miliardy transakcji rocznie w Europie, Ameryce Północnej i Azji.
To, jak Adyen obsługuje 3D Secure, ma znaczenie dla każdego dewelopera integrującego płatności kartami, a także dla każdego sprzedawcy, który stara się znaleźć równowagę między zapobieganiem oszustwom a konwersją płatności. Te dwie kwestie są ze sobą w konflikcie: silniejsze uwierzytelnianie oznacza mniej oszustw, ale oznacza też większe tarcia, a tarcia kosztują sprzedaż. Dane regionalne w tym zakresie – szczególnie z USA i Brazylii – są bardziej pesymistyczne, niż większość sprzedawców się spodziewa.
Czym jest Adyen 3D Secure?
Gdy ktoś płaci online kartą Visa, Visa może zażądać od kupującego udowodnienia, że jest tym, za kogo się podaje. Mechanizmem jest 3D Secure — protokół uwierzytelniania opracowany przez sieć kart (Visa nazywa go Verified by Visa, Mastercard SecureCode) specjalnie dla transakcji bez obecności karty. Adyen 3DS to sposób, w jaki Adyen wdraża go na swojej platformie płatniczej.
Istnieją dwie wersje. Pierwsza generacja — 3DS1 — przekierowywała kupującego na stronę uwierzytelniającą wystawcy karty, całkowicie przerywając proces płatności. Konwersja spadła. Sprzedawcy tego nienawidzili. Większość z nich zrezygnowała z 3DS1, gdzie tylko mogła.
3D Secure 2 zastąpił je inteligentniejszym rozwiązaniem. Zamiast przekierowywać, po cichu zbiera w tle dane urządzenia i przeglądarki – rozdzielczość ekranu, strefę czasową, adres IP, historię sesji – i wysyła je wszystkie do banku wystawiającego kartę. Moduł analizy ryzyka banku otrzymuje ponad 150 punktów danych do analizy. Dzięki tak dużej ilości sygnału często może po prostu zatwierdzić transakcję w trybie cichym, bez informowania kupującego o uruchomieniu 3DS.
Sprzedawcy z UE i EOG nie mają w tej kwestii dużego wyboru. Zasady silnego uwierzytelniania klienta (SCA) w ramach PSD2 wymagają stosowania protokołu 3D Secure 2 w przypadku płatności kartą powyżej 30 euro. Każda metoda płatności obejmująca transakcję kartą jest objęta zakresem stosowania protokołu 3D Secure 2. Poza UE protokół 3DS2 jest zdecydowanie zalecany ze względu na ochronę przed oszustwami, jaką zapewnia, ale nie jest prawnie wymagany.
Jak działa uwierzytelnianie Adyen 3DS2
Proces 3DS2 składa się z trzech faz: gromadzenia danych, uwierzytelniania i autoryzacji. Zakończenie procesu zajmuje kilka sekund, jeśli wszystko przebiega sprawnie.
- Klient inicjuje płatność — wprowadza dane karty na stronie płatności sprzedawcy
- Adyen zbiera dane urządzenia — w tle działa niewielki komponent JavaScript (odcisk palca 3DS2), który zbiera sygnały przeglądarki i urządzenia: rozdzielczość ekranu, strefę czasową, język, typ urządzenia, adres IP
- Adyen wysyła żądanie uwierzytelnienia — odcisk palca urządzenia i dane transakcji są pakowane i wysyłane do wystawcy karty za pośrednictwem sieci kart
- Wydawca ocenia wniosek — moduł ryzyka wystawcy ocenia ponad 150 punktów danych w kontekście historii zachowań posiadacza karty i sygnałów oszustwa
- Wystawca decyduje: bezproblemowo lub wyzwanie — jeśli ryzyko jest niskie, wystawca uwierzytelnia się w sposób cichy (bezproblemowy); jeśli występują sygnały ryzyka, wystawca żąda wyzwania
- Przepływ wyzwań uruchamia się, gdy zostanie wyzwolony — klient musi wykonać dodatkową weryfikację: jednorazowe hasło, dane biometryczne lub potwierdzenie za pomocą aplikacji bankowej
- Zwrócono wynik uwierzytelnienia — Adyen otrzymuje wynik uwierzytelnienia (uwierzytelniony, nieuwierzytelniony lub podjęto próbę)
- Adyen przesyła autoryzację — po dołączeniu wyniku uwierzytelnienia płatność przechodzi do autoryzacji za pośrednictwem sieci kart
- Obowiązuje przeniesienie odpowiedzialności — jeśli uwierzytelnienie się powiedzie, odpowiedzialność za obciążenie zwrotne związane z oszustwem przechodzi ze sprzedawcy na bank wystawiający kartę
Kluczową różnicą między 3DS1 a 3D Secure 2 jest krok 2. W 3DS1 wystawca nie dysponował praktycznie żadnymi danymi, więc problemy były częste. W 3D Secure 2, bogatszy odcisk palca urządzenia oznacza, że wystawcy mogą zatwierdzać znacznie więcej transakcji w sposób dyskretny, niezależnie od metody płatności wybranej przez klienta, o ile jest to karta.
Przepływ bez tarcia a przepływ wyzwań w Adyen
Wyniki bezproblemowego i kwestionowania są ustalane przez wystawcę, a nie przez Adyen czy sprzedawcę. Niemniej jednak, jakość gromadzenia danych przez Adyen bezpośrednio wpływa na to, jak często wystawcy mogą działać bezproblemowo — lepsze dane dotyczące odcisków palców urządzeń oznaczają, że mniej wystawców musi eskalować sprawę, aby kwestionować.
| Czynnik | Przepływ bez tarcia | Przepływ wyzwań |
|---|---|---|
| Doświadczenie kupującego | Niewidzialny — bez dodatkowych kroków | Wymaga potwierdzenia OTP, biometrycznego lub aplikacji |
| Wpływ konwersji | Minimalny — taki sam jak brak 3DS | Znaczny spadek (różni się w zależności od rynku) |
| Kto decyduje | Silnik ryzyka banku emitującego | Silnik ryzyka banku emitującego |
| Spust | Sygnały ryzyka są niskie, dane wystarczające | Podwyższone sygnały ryzyka lub niekompletne dane |
| Przeniesienie odpowiedzialności | Tak — wystawca ponosi ryzyko oszustwa | Tak — wystawca ponosi ryzyko oszustwa |
| Typowy udział | 40%–93% transakcji (zależne od rynku) | 7%–60% (zależnie od rynku) |
Japonia wykazuje przewagę bezproblemową: około 60% transakcji 3DS jest realizowanych bezproblemowo, a ogólny wskaźnik konwersji utrzymuje się na poziomie 93%. W Brazylii jest odwrotnie – powszechne przepływy testowe przyniosły wzrost konwersji o 55%. W Stanach Zjednoczonych średni wpływ przepływów testowych na konwersję wynosi 43%, według badań Stripe dotyczących wzorców adopcji 3DS.
Ochrona przed oszustwami jest spójna niezależnie od tego, który proces zostanie zakończony. Zarówno uwierzytelnianie bezproblemowe, jak i uwierzytelnianie z wyzwaniem powodują przeniesienie odpowiedzialności. Obciążenie zwrotne związane z oszustwem po pomyślnym uwierzytelnieniu 3DS stanowi problem finansowy wystawcy, a nie sprzedawcy.
Dynamiczne reguły 3D Secure Adyen
Większość implementacji 3DS stosuje uwierzytelnianie uniwersalne: w każdej transakcji, za każdym razem. Silnik reguł Dynamic 3D Secure firmy Adyen pozwala sprzedawcom podchodzić do tego zagadnienia bardziej operatywnie.
Dynamic 3DS umożliwia sprzedawcom konfigurowanie routingu opartego na regułach, który selektywnie stosuje 3DS, w oparciu o sygnały ryzyka, wyjątki i charakterystykę transakcji. Celem jest maksymalizacja uwierzytelniania w transakcjach ryzykownych, przy jednoczesnym stosowaniu wyjątków w celu zmniejszenia tarcia w transakcjach niskiego ryzyka.
Kluczowe typy reguł dostępne w konfiguracji Dynamic 3DS firmy Adyen:
- Zasady zwolnień — kieruj transakcje o niskim ryzyku przez zwolnienia SCA (analiza ryzyka transakcji, zwolnienia o niskiej wartości poniżej 30 EUR, listy zaufanych sprzedawców), aby całkowicie pominąć 3DS, jeśli jest to prawnie dozwolone
- Obsługa miękkiego odrzucenia — automatyczne przekierowywanie transakcji odrzuconych przez wystawców bez uwierzytelniania 3DS, uruchamiające uwierzytelnianie 3DS przy drugiej próbie
- Reguły prędkości — stosuj 3DS na podstawie częstotliwości transakcji z danej karty lub urządzenia w określonym przedziale czasowym
- Progi kwotowe — uruchamiają 3DS powyżej określonej wartości transakcji, jednocześnie zwalniając z obowiązku płacenia za mniejsze zakupy
- Reguły oparte na kraju — stosuj różną logikę uwierzytelniania w zależności od kraju kupującego, uwzględniając regionalne wymogi SCA i zachowanie wystawcy
- Zasady dotyczące typów kart — karty korporacyjne lub premium należy kierować przez 3DS, a jednocześnie zezwalać na standardowe debetowe płatności konsumenckie za pośrednictwem przepływów zwolnionych
Sprzedawcy, którzy inteligentnie skonfigurują Dynamic 3DS, mogą znacznie zmniejszyć narażenie na przepływ wyzwań w porównaniu z uniwersalną aplikacją 3DS, zachowując jednocześnie pełną ochronę przed oszustwami w segmentach wysokiego ryzyka.
Metody integracji Adyen 3DS
Sposób, w jaki sprzedawcy integrują 3DS za pośrednictwem Adyen, zależy od ich metody integracji płatności. Adyen obsługuje trzy główne podejścia:
- Sesje (zalecane) — wbudowana integracja Adyen obsługuje 3DS natywnie, bez dodatkowej konfiguracji. Przepływ sesji automatycznie zbiera odciski palców urządzeń i transparentnie zarządza bezproblemowym routingiem/wyzwaniem. Najprostsza ścieżka dla większości sprzedawców.
- Drop-in — hostowany komponent interfejsu użytkownika Adyen jest wbudowany w stronę płatności sprzedawcy i obsługuje przepływy 3DS, w tym wyskakujące okienka z prośbami o potwierdzenie transakcji i obsługę wyników. Mniej konfiguracji niż w przypadku pełnej integracji API, więcej możliwości personalizacji niż w przypadku sesji.
- Integracja API — pełna kontrola nad przepływem 3DS. Kod sprzedawcy obsługuje zbieranie odcisków palców, żądania uwierzytelnienia, analizę wyników i przesyłanie autoryzacji. Wymagane w przypadku wysoce spersonalizowanych kas lub natywnych aplikacji mobilnych wymagających natywnego 3DS2 w interfejsie aplikacji.
Dla większości sprzedawców e-commerce sesje lub Drop-in zapewniają najlepszą równowagę między wysiłkiem integracyjnym a zgodnością z 3DS. Integracja z natywnym API jest zazwyczaj wykorzystywana przez sprzedawców korporacyjnych z dedykowanymi zespołami inżynierów płatności.
Jeden szczegół specyficzny dla Adyen: natywny 3DS2 w aplikacjach mobilnych wymaga pakietów SDK Adyen dla systemów iOS i Android, które zawierają komponenty odcisków palców i interfejs użytkownika. Integracje internetowe z wykorzystaniem sesji lub Drop-in obsługują to automatycznie.
Wpływ konwersji 3D Secure: dane regionalne
Nagłówek „3DS szkodzi konwersji” jest częściowo prawdziwy, ale rzeczywisty wpływ zależy niemal wyłącznie od czynników specyficznych dla danego rynku — stopnia znajomości przez klientów procesów uwierzytelniania w bankach oraz płynności obsługi klienta w bankowości mobilnej.
| Rynek | Współczynnik wyzwania | Wpływ konwersji | Notatki |
|---|---|---|---|
| Japonia | ~40% wyzwanie | Minimalny spadek | Uwierzytelnianie w aplikacji bankowej jest znane i charakteryzuje się wysoką płynnością |
| Wielka Brytania | ~25% wyzwanie | Nisko-umiarkowany | Aplikacja bankowa (biometryczna) jest standardowa i szybka |
| Francja | ~50% wyzwanie | Umiarkowany | Współczynnik wyzwań podwoił się, ale użytkownicy znają OTP |
| NAS | ~45% wyzwanie | -43% w przypadku transakcji kwestionowanych | 3DS wciąż nowością; użytkownicy nie znają bankowego przepływu OTP |
| Brazylia | ~60%+ wyzwanie | -55% | Wysokie wskaźniki wyzwań; niespójne przepływy uwierzytelniania bankowego |
| Średnia światowa | — | Rynek o wartości 1,72 mld USD (2026) | Oczekuje się, że do 2034 r. osiągnie 4,66 mld USD |
Liczby dotyczące redukcji oszustw są bardziej jednoznaczne: uwierzytelnianie 3DS zmniejsza liczbę sporów o oszustwa nawet o 80%, a Europa szacuje, że zapobiega ono stratom rzędu 900 milionów euro rocznie. To oszczędności po stronie sprzedawcy. Obciążenia zwrotne są kosztowne, wykraczając poza wartość transakcji — dodają narzut operacyjny, kary za ocenę ryzyka, a w niektórych przypadkach ryzyko związane z relacjami z procesorem.
Paradoks konwersji rozwiązuje się, gdy rozdzielimy dwie kwestie: czy zastosowano 3DS i czy wyzwanie przebiegło sprawnie. Rynki z dobrymi aplikacjami bankowości mobilnej i doświadczonymi klientami dobrze radzą sobie z tarciem związanym z wyzwaniem. Rynki, na których klienci korzystają z jednorazowych haseł (OTP) za pośrednictwem SMS-ów lub niespójnych aplikacji bankowych, tracą wiele punktów płatności.
3DS i płatności kryptowalutowe
3D Secure dotyczy tylko płatności kartą. Transakcje kryptowalutowe nie przechodzą przez sieci kart, więc nie ma potrzeby uruchamiania przepływu 3DS.
To działa w obie strony. Bramki płatności kryptowalutowych nie mogą polegać na przeniesieniu odpowiedzialności na 3DS – nie ma banku-wydawcy, na którego można by przenieść ryzyko oszustwa. Bezpieczeństwo zależy od innych mechanizmów: monitorowania transakcji, kontroli portfela, oceny ryzyka w czasie rzeczywistym na poziomie bramki.
Druga strona: brak problemów z 3DS. Brak odcisków palców urządzenia w tle, brak weryfikacji wystawcy, brak konieczności czekania na jednorazowe hasło (OTP). Płatność jest tak prosta, jak zeskanowanie adresu portfela lub potwierdzenie w aplikacji portfela. Dla sprzedawców, którzy obserwowali konwersję w przepływie wyzwań w USA lub Brazylii, ta prostota jest warta prawdziwych pieniędzy.
Dla sprzedawców, którzy chcą oferować kryptowaluty jako opcję płatności obok tradycyjnych kart, Plisio udostępnia bramkę płatności kryptowalutami, która obsługuje akceptację kryptowalut bez konieczności wprowadzania skomplikowanych zmian w zakresie zgodności z 3DS.
