3D Secure explicado: por qué tu tarjeta cripto te pide un código antes de cobrarte

Cuando un pago en línea se detiene y pide un código antes de cobrar a tu tarjeta, estás ante 3D Secure (3DS): una comprobación, definida en el estándar EMV 3-D Secure, en la que el comercio envía los datos de la compra al banco o programa que emitió tu tarjeta, y ese emisor decide si la aprueba en silencio o te pide que demuestres que eres tú. EMVCo, el organismo que mantiene el estándar, lo describe como una forma de "prevenir el fraude con tarjeta no presente (CNP)" al permitir que el comercio y el emisor "autentiquen al consumidor y aprueben la transacción", según EMVCo. La mayoría de las veces ni lo notas. Cuando sí aparece, normalmente es un código de un solo uso.

La mayoría de las guías sobre 3D Secure están escritas para comercios. Esta es para la persona que tiene la tarjeta.

3D Secure es un paso de autenticación que se ejecuta antes de que una compra sin tarjeta presente, como un pedido en línea o un pago desde una app, se envíe a autorización.

La versión que se usa hoy es EMV 3DS, de la generación 2.x. EMVCo señala que "v2.1 admite SCA" (autenticación reforzada de cliente, explicada más abajo) y recomienda la v2.2 o superior "para acceder a la funcionalidad óptima", según EMVCo. Stripe les dice a sus comercios que "las principales marcas de tarjetas ya no admiten 3D Secure 1", según Stripe.

Cada red tiene su propio programa sobre el estándar:

• Visa Secure. "Visa Secure (anteriormente conocido como Verified by Visa) es el programa de Visa que regula las transacciones de Visa mediante el estándar 3-D Secure", según Visa.
• Mastercard Identity Check. Un "programa de autenticación global que se basa en el programa Mastercard SecureCode existente y utiliza el protocolo EMV 3-D Secure vigente", según la Guía del programa Mastercard Identity Check.

Los nombres cambian; el mecanismo es el mismo. Lo que añadió 3DS2 son datos: el comercio envía "información sobre la transacción, el método de pago y el dispositivo", según EMVCo, para que el emisor pueda aprobar compras de bajo riesgo sin interrumpirte.

Cada comprobación 3DS termina en uno de dos caminos.

Ambas citas son de Visa. Mastercard describe la misma división: en un flujo sin fricción la transacción se "autentica mediante decisiones basadas en el riesgo, sin que se requiera interacción adicional", mientras que en un flujo de desafío "el titular de la tarjeta debe realizar pasos adicionales, como ingresar un código de un solo uso", según la Guía del programa Mastercard Identity Check.

1. El comercio (a través de su procesador de pagos, el adquirente) inicia la comprobación. Envía la solicitud de autenticación con los datos de la compra. Un comercio puede pedir 3DS para un solo pedido arriesgado o para todos, y puede indicar que prefiere un desafío.
2. El servidor de directorio de la red la enruta. En el caso de Mastercard, el servidor de directorio también "añade puntuaciones de riesgo y los datos necesarios para evaluar el riesgo de la transacción", según la Guía del programa Mastercard Identity Check.
3. El servidor de control de acceso del emisor toma la decisión. En palabras de Visa, "el emisor utiliza un servidor de control de acceso (ACS) para evaluar el riesgo de la transacción y autenticar al titular de la tarjeta", según Visa.

Así que un comercio puede pedir un desafío, pero no puede imponerlo. Stripe lo dice sin rodeos: no puede "garantizar tu preferencia, porque el emisor determina el flujo de autenticación final", según Stripe.

La autenticación tampoco es lo mismo que la aprobación. 3DS confirma que eres tú. Después, la compra sigue el paso normal de autorización, en el que el emisor verifica la tarjeta y su saldo, antes de que se mueva cualquier dinero. Para ver cómo funcionan las etapas posteriores, consulta cómo las redes de tarjetas liquidan los pagos.

Los comercios aceptan el paso adicional por dos motivos.

En el Espacio Económico Europeo, la Directiva de Servicios de Pago revisada (PSD2) exige autenticación reforzada de cliente cuando el pagador "inicia una operación de pago electrónico", según la Directiva (UE) 2015/2366, artículo 97. La autenticación reforzada de cliente consiste en usar "dos o más elementos" de tres categorías: algo que sabes, algo que tienes y algo que eres.

Las normas detalladas están en el Reglamento Delegado (UE) 2018/389 de la Comisión, y dos de ellas explican lo que ves durante un desafío:

• El código es de un solo uso. Un código de autenticación "solo se aceptará una vez" (artículo 4).
• El código está vinculado a la compra. Debes estar "informado del importe de la operación de pago y del beneficiario", y el código debe ser "específico para el importe" y el beneficiario que aceptaste (artículo 5). Por eso una pantalla de desafío bien diseñada muestra el comercio y el importe.

El mismo reglamento contempla exenciones, por eso no todas las compras europeas piden un código. Los pagos remotos que no superan los 30 EUR pueden estar exentos, dentro de límites acumulados (artículo 16), y un proveedor que aplique análisis de riesgo de transacciones en tiempo real puede omitir la autenticación en pagos de bajo riesgo (artículo 18).

En el Reino Unido, la Autoridad de Conducta Financiera (FCA) afirma que la SCA se aplica cuando el pagador "inicia una operación de pago electrónico".

En los pagos con tarjeta, EMV 3DS es la forma práctica de cumplir estas normas, por eso EMVCo señala que la v2.1 "admite SCA".

El segundo motivo es comercial. Visa dice que 3DS ayuda a "trasladar la responsabilidad de las transacciones autenticadas o con intento de autenticación" al emisor, según Visa. Mastercard afirma que, tras una autenticación exitosa mediante Identity Check, "el comercio obtiene todos los beneficios del traslado de responsabilidad", según la Guía del programa Mastercard Identity Check.

No es universal: la documentación para comercios de Stripe señala que el traslado de responsabilidad no siempre se aplica y que Visa excluye algunas categorías de negocio, según Stripe. Este acuerdo de responsabilidad es entre comercio y emisor. No describe tus propias protecciones como titular de la tarjeta, que dependen de las condiciones de tu programa de tarjetas.

Una comprobación sin fricción no te muestra nada, o solo un indicador de carga un momento. Un desafío suele tener este aspecto:

1. Aparece una ventana de tu emisor de tarjeta sobre el checkout, o se te redirige a ella. Los comercios no pueden cambiar su estilo; "el banco que emitió la tarjeta controla las fuentes y los colores", según Stripe. Las guías de Visa exigen el logotipo del emisor arriba a la izquierda y el logotipo de Visa arriba a la derecha, según Visa.
2. Muestra los datos de la compra. La pantalla de ejemplo de Visa dice "Para verificar el pago a Electronic Store por 259,95 €, Digital Bank te enviará un código de un solo uso", según Visa.
3. Llega un código por mensaje de texto o correo electrónico, según lo que ofrezca el emisor; Visa señala que "los emisores pueden elegir qué canales de envío poner a disposición", según Visa.
4. Lo ingresas en esa ventana, y el checkout continúa con la autorización normal.

En una tarjeta prepago, incluida una tarjeta cripto, 3DS puede decidir si la tarjeta funciona o no en un comercio concreto.

Las reglas antifraude de un comercio pueden hacer dos cosas distintas con 3DS:

• Solicitarlo. El comercio pide la autenticación. Si la tarjeta no admite 3DS, algunos procesadores permiten que el pago continúe sin él. Los documentos de Stripe indican que si 3DS no está disponible para una tarjeta, "el pago continúa con normalidad", según Stripe.
• Exigirlo. El comercio combina la solicitud con una regla de bloqueo, de modo que se rechaza cualquier pago que no haya pasado por 3DS. La documentación de Radar de Stripe incluye reglas de ejemplo que bloquean los pagos sin un flujo 3DS, según Stripe.

Algunos comercios eligen la segunda opción, al menos para algunos pedidos. En esos comercios, una tarjeta cuyo programa no está inscrito en 3DS, o cuyo desafío el titular no puede completar, no tiene camino para pagar. E incluso cuando una tarjeta está inscrita, un desafío fallido detiene la compra: ante una autenticación fallida, Stripe indica a los comercios que "debes probar con otro método de pago o puedes reintentar 3DS", según Stripe.

Por eso, para cualquier tarjeta prepago que uses en línea, hay dos preguntas que importan: ¿el programa admite 3D Secure? y ¿realmente puedes recibir sus códigos de desafío? Un código enviado a una bandeja de entrada que ya no revisas hace que una tarjeta compatible falle el desafío.

Para una visión más amplia de dónde encajan y dónde no encajan las tarjetas virtuales, consulta gastar cripto con tarjetas virtuales.

Cuando la comprobación 3DS de un comercio con una tarjeta SolCard termina en un desafío, el proveedor de la tarjeta notifica a SolCard, y SolCard envía el desafío a la dirección de correo electrónico de tu cuenta de SolCard, en un correo con el asunto "Transaction Confirmation" (Confirmación de transacción). Según lo que envíe el proveedor, el correo contiene un código de confirmación numérico o un enlace de confirmación. Cuando el proveedor los incluye, el correo también muestra el nombre del comercio, el importe y el tiempo que el código sigue siendo válido, lo que te permite comprobarlo con la compra que estás haciendo.

Hay dos cosas que no podemos prometer: que el correo siempre llegue o que llegue al instante. La entrega depende de que tu proveedor de correo acepte el mensaje, y los desafíos caducan. Si no aparece un código, revisa el spam y las carpetas de filtrados, asegúrate de que el correo de tu cuenta sea una bandeja que puedas abrir y reinicia el checkout para obtener un código nuevo, en lugar de esperar a uno caducado.

¿Es la primera vez que usas una tarjeta cripto prepago? Empieza por qué es una tarjeta de débito cripto.

• Mantén accesible el correo de tu cuenta. Ahí es donde llegan los códigos. Si configuraste tu cuenta con una dirección de reenvío o relé de correo, confirma que el correo realmente te llega, y actualiza el correo de la cuenta si estás dejando una bandeja antigua.
• Nunca compartas un código. Un código 3DS sirve para demostrar que aprobaste una compra concreta. Nadie legítimo necesita que lo leas en voz alta, lo reenvíes o lo pegues en cualquier sitio que no sea la ventana de verificación del emisor durante tu propio checkout. Esto incluye a quienes te llamen o te escriban por chat diciendo ser de soporte.
• Lee el comercio y el importe antes de ingresar el código, cuando se muestren. Como el código está vinculado a una compra concreta, comprueba que el correo coincida con lo que tienes en el carrito. Si no coincide, no lo ingreses.
• Trata un código inesperado como una señal de alarma. Un código que no pediste puede significar que alguien intenta usar los datos de tu tarjeta en un checkout ahora mismo. No lo ingreses ni lo compartas. Revisa tu actividad reciente con la tarjeta y comunícate con soporte si algo no cuadra.
• Desconfía de los enlaces. Algunos desafíos llegan como enlace. Ábrelo solo mientras estés realmente pagando.

Nuestra guía de nociones básicas de seguridad cripto para usuarios de tarjetas cubre el conjunto más amplio de buenos hábitos, desde las apps de autenticación hasta evitar la autenticación en dos pasos por SMS siempre que sea posible.

El comercio inició una comprobación 3D Secure, y el servidor de control de acceso de tu emisor decidió que quería una prueba de que eres el titular de la tarjeta antes de autenticar la compra. Visa describe esto como el emisor pidiendo "una verificación mediante una contraseña de un solo uso o una confirmación biométrica" cuando detecta una transacción potencialmente de alto riesgo, según Visa. Muchas compras se saltan el código por completo mediante el flujo sin fricción.

Un OTP 3DS es la contraseña de un solo uso que se usa en un desafío de 3D Secure. La envía tu emisor de tarjeta o el programa de la tarjeta, normalmente por mensaje de texto o correo electrónico, y se ingresa en la ventana de verificación durante el checkout. Según las normas de la UE sobre autenticación reforzada de cliente, ese código "solo se aceptará una vez" y está vinculado al importe y al beneficiario, según el Reglamento (UE) 2018/389.

Un comercio puede solicitar 3DS y decir que prefiere un desafío, pero el emisor determina el flujo real, según Stripe. Lo que sí puede hacer el comercio es rechazar los pagos que no hayan pasado por 3DS, por eso algunos checkouts no aceptan una tarjeta que no puede completarlo.

A la dirección de correo electrónico de tu cuenta de SolCard, en un correo titulado "Transaction Confirmation" que contiene un código o un enlace de confirmación, además del comercio, el importe y la caducidad cuando el proveedor de la tarjeta los facilita. La entrega depende de tu proveedor de correo, así que mantén esa bandeja accesible y revisa el spam si falta un código.

No lo ingreses y no lo compartas con nadie que se ponga en contacto contigo al respecto. Un código inesperado sugiere que alguien puede estar intentando usar los datos de tu tarjeta en un checkout. Revisa tus transacciones recientes y comunícate con soporte si algo no cuadra.

3D Secure es el paso en el que una tienda en línea pide a tu emisor de tarjeta que confirme que eres tú. El comercio lo inicia, el emisor decide si ves un código, y las normas de SCA junto con el traslado de responsabilidad dan a los comercios razones para usarlo. Los comercios que exigen 3DS en todas las tarjetas solo funcionan con tarjetas que pueden completar el desafío, y eso depende de que el código te llegue. En SolCard, el código va al correo de tu cuenta: mantén esa bandeja accesible y nunca compartas lo que llegue a ella.

Si quieres una tarjeta compatible con estas comprobaciones para tus gastos en línea, puedes ver cómo funciona SolCard.

• EMVCo -- EMV 3-D Secure
• Visa -- 3D Secure: tu guía para transacciones más seguras
• Visa Developer -- Visa Secure con la guía de experiencia de usuario de EMV 3DS
• Visa Developer -- Flujo de pago: contraseña de un solo uso (OTP)
• Mastercard -- Guía del programa Mastercard Identity Check (19 de noviembre de 2019)
• EUR-Lex -- Directiva (UE) 2015/2366 (PSD2)
• EUR-Lex -- Reglamento Delegado (UE) 2018/389 de la Comisión (RTS sobre autenticación reforzada de cliente)
• Autoridad de Conducta Financiera -- Autenticación reforzada de cliente
• Documentación de Stripe -- Autenticar con 3D Secure
• Documentación de Stripe -- Reglas de Radar