3D Secure explicado: por que seu cartão cripto pede um código antes de cobrar

Quando um checkout online pausa e pede um código antes de cobrar seu cartão, você está vendo o 3D Secure (3DS): uma verificação definida no padrão EMV 3-D Secure, na qual a loja envia os detalhes da compra ao banco ou programa que emitiu seu cartão, e esse emissor decide se aprova a compra silenciosamente ou pede que você comprove que é realmente você. A EMVCo, entidade que mantém o padrão, descreve o 3DS como uma forma de "prevenir fraudes em transações sem cartão presente (CNP)", permitindo que o lojista e o emissor "autentiquem o consumidor e aprovem a transação", segundo a EMVCo. Na maioria das vezes você nem percebe. Quando percebe, geralmente é um código de uso único.

A maioria dos guias sobre 3D Secure é escrita para lojistas. Este é para quem tem o cartão na mão.

O 3D Secure é uma etapa de autenticação que acontece antes de uma compra sem cartão presente, como um pedido online ou um pagamento dentro de um aplicativo, ser enviada para autorização.

A versão em uso hoje é o EMV 3DS, da geração 2.x. A EMVCo observa que a "v2.1 oferece suporte a SCA" (autenticação forte de cliente, explicada abaixo) e recomenda a v2.2 ou superior "para acessar a funcionalidade ideal", segundo a EMVCo. A Stripe informa aos seus lojistas que "as principais bandeiras de cartão não oferecem mais suporte ao 3D Secure 1", segundo a Stripe.

Cada bandeira mantém seu próprio programa sobre o padrão:

• Visa Secure. "O Visa Secure (anteriormente conhecido como Verified by Visa) é o programa da Visa que regula as transações Visa usando o padrão 3-D Secure", segundo a Visa.
• Mastercard Identity Check. Um "programa global de autenticação que se baseia no programa Mastercard SecureCode existente e usa o protocolo EMV 3-D Secure atual", segundo o Mastercard Identity Check Program Guide.

Os nomes são diferentes; o mecanismo é o mesmo. O que o 3DS2 acrescentou foram os dados: o lojista envia "informações sobre a transação, o método de pagamento e o dispositivo", segundo a EMVCo, para que o emissor possa aprovar compras de baixo risco sem interromper você.

Toda verificação 3DS termina em um de dois caminhos.

As duas citações são da Visa. A Mastercard descreve a mesma divisão: no fluxo sem fricção, a transação é "autenticada por decisão baseada em risco, sem necessidade de interação adicional", enquanto no fluxo de desafio "o titular do cartão precisa realizar etapas adicionais, como digitar um código de senha de uso único", segundo o Mastercard Identity Check Program Guide.

1. O lojista (por meio do seu processador de pagamentos, o adquirente) inicia a verificação. Ele envia o pedido de autenticação com os detalhes da compra. O lojista pode pedir 3DS em um único pedido arriscado ou em todos os pedidos, e pode indicar que prefere um desafio.
2. O servidor de diretório da bandeira encaminha o pedido. No caso da Mastercard, o servidor de diretório também "adiciona pontuações de risco e dados necessários para avaliar o risco da transação", segundo o Mastercard Identity Check Program Guide.
3. O servidor de controle de acesso do emissor toma a decisão. Nas palavras da Visa, "o emissor usa um servidor de controle de acesso (ACS) para avaliar o risco da transação e autenticar o titular do cartão", segundo a Visa.

Ou seja, um lojista pode pedir um desafio, mas não pode forçá-lo. A Stripe diz isso diretamente: ela "não pode garantir sua preferência, porque o emissor determina o fluxo final de autenticação", segundo a Stripe.

Autenticação também não é o mesmo que aprovação. O 3DS confirma que é você. Depois disso, a compra ainda passa pela etapa normal de autorização, em que o emissor verifica o cartão e o saldo, antes que qualquer dinheiro seja movimentado. Para entender como funcionam as etapas seguintes, veja como as bandeiras de cartão liquidam em stablecoins.

Os lojistas aceitam essa etapa extra no checkout por dois motivos.

No Espaço Econômico Europeu, a Diretiva revisada de Serviços de Pagamento (PSD2) exige autenticação forte de cliente quando o pagador "inicia uma transação de pagamento eletrônico", segundo a Diretiva (UE) 2015/2366, Artigo 97. Autenticação forte de cliente significa usar "dois ou mais elementos" de três categorias: algo que você sabe, algo que você possui e algo que você é.

As regras detalhadas estão no Regulamento Delegado (UE) 2018/389 da Comissão, e duas delas explicam o que você vê durante um desafio:

• O código é de uso único. Um código de autenticação "só pode ser aceito uma vez" (Artigo 4).
• O código está vinculado à compra. Você deve ser "informado sobre o valor da transação de pagamento e sobre o beneficiário", e o código deve ser "específico para o valor" e para o beneficiário acordados (Artigo 5). Por isso, uma tela de desafio bem feita mostra o lojista e o valor.

O mesmo regulamento prevê isenções, e é por isso que nem toda compra na Europa pede código. Pagamentos remotos de até EUR 30 podem ser isentos, dentro de limites acumulados (Artigo 16), e um prestador que faz análise de risco de transações em tempo real pode dispensar a autenticação em pagamentos de baixo risco (Artigo 18).

No Reino Unido, a Financial Conduct Authority afirma que a SCA se aplica quando o pagador "inicia uma transação de pagamento eletrônico".

Nos pagamentos com cartão, o EMV 3DS é a forma prática de cumprir essas regras, e por isso a EMVCo observa que a v2.1 "oferece suporte à SCA".

O segundo motivo é comercial. A Visa afirma que o 3DS ajuda a "transferir a responsabilidade por transações autenticadas ou com tentativa de autenticação" para o emissor, segundo a Visa. A Mastercard diz que, após uma autenticação bem-sucedida pelo Identity Check, "o lojista obtém todos os benefícios da transferência de responsabilidade", segundo o Mastercard Identity Check Program Guide.

Não é uma regra universal: a documentação para lojistas da Stripe observa que a transferência de responsabilidade nem sempre se aplica e que a Visa exclui algumas categorias de negócio, segundo a Stripe. Esse acordo de responsabilidade é entre o lojista e o emissor. Ele não descreve as suas proteções como titular do cartão, que dependem dos termos do programa do seu cartão.

Uma verificação sem fricção não mostra nada, ou mostra um carregamento por um instante. Um desafio geralmente aparece assim:

1. Uma janela do emissor do seu cartão aparece sobre o checkout, ou você é redirecionado para ela. Os lojistas não podem alterar o visual; "o banco que emitiu o cartão controla as fontes e as cores", segundo a Stripe. As diretrizes da Visa exigem o logo do emissor no canto superior esquerdo e o logo da Visa no canto superior direito, segundo a Visa.
2. Ela mostra os detalhes da compra. A tela de exemplo da Visa diz "Para verificar o pagamento a Electronic Store no valor de €259,95, o Digital Bank enviará um código de uso único para você", segundo a Visa.
3. Um código chega por mensagem de texto ou e-mail, dependendo do que o emissor oferece; a Visa observa que "os emissores podem escolher quais canais de entrega disponibilizar", segundo a Visa.
4. Você digita o código nessa janela, e o checkout segue para a autorização normal.

Em um cartão pré-pago, incluindo um cartão cripto, o 3DS pode decidir se o cartão funciona ou não em determinado lojista.

As regras de fraude de um lojista podem fazer duas coisas diferentes com o 3DS:

• Solicitar. O lojista pede a autenticação. Se o cartão não oferecer suporte a 3DS, alguns processadores permitem que o pagamento continue sem ele. A documentação da Stripe diz que, se o 3DS não estiver disponível para um cartão, "o pagamento segue normalmente", segundo a Stripe.
• Exigir. O lojista combina o pedido com uma regra de bloqueio, de modo que qualquer pagamento que não tenha passado pelo 3DS é recusado. A documentação do Radar da Stripe inclui exemplos de regras que bloqueiam pagamentos sem um fluxo 3DS, segundo a Stripe.

Alguns lojistas escolhem a segunda opção, pelo menos para alguns pedidos. Nesses lojistas, um cartão cujo programa não está inscrito no 3DS, ou cujo desafio o titular não consegue concluir, não tem caminho para finalizar a compra. E mesmo quando o cartão está inscrito, um desafio que falha interrompe a compra: em caso de falha na autenticação, a Stripe orienta os lojistas a "tentar outro método de pagamento, ou tentar o 3DS novamente", segundo a Stripe.

Portanto, duas perguntas importam para qualquer cartão pré-pago que você usa online: o programa oferece suporte ao 3D Secure, e você consegue de fato receber os códigos de desafio? Um código enviado para uma caixa de entrada que você não verifica mais faz um cartão compatível falhar no desafio.

Para uma visão mais ampla sobre onde os cartões virtuais se encaixam e onde não se encaixam, veja como gastar cripto com cartões virtuais.

Quando a verificação 3DS de um lojista em um cartão SolCard termina em um desafio, o provedor do cartão notifica a SolCard, e a SolCard envia o desafio para o endereço de e-mail da sua conta SolCard, em um e-mail com o assunto "Transaction Confirmation". Dependendo do que o provedor enviar, o e-mail traz um código de confirmação numérico ou um link de confirmação. Quando o provedor inclui essas informações, o e-mail também mostra o nome do lojista, o valor e por quanto tempo o código continua válido, o que permite conferir tudo com a compra que você está fazendo.

Duas coisas que não prometemos: que o e-mail sempre chegue, ou que chegue instantaneamente. A entrega depende de o seu provedor de e-mail aceitar a mensagem, e os desafios expiram. Se um código não aparecer, verifique a caixa de spam e as pastas de filtros, confirme que o e-mail da sua conta é uma caixa de entrada real que você consegue abrir, e reinicie o checkout para receber um código novo, em vez de esperar por um que já expirou.

Ainda não sabe como funciona um cartão cripto pré-pago? Comece por o que é um cartão de débito cripto.

• Mantenha o e-mail da sua conta acessível. É para lá que os códigos vão. Se você criou sua conta com um endereço de encaminhamento ou de relay de e-mail, confirme que as mensagens realmente chegam até você, e atualize o e-mail da conta se estiver saindo de uma caixa antiga.
• Nunca compartilhe um código. Um código 3DS existe para comprovar que você aprovou uma compra específica. Ninguém legítimo precisa que você o leia em voz alta, o encaminhe ou o cole em qualquer lugar que não seja a janela de verificação do emissor durante a sua própria compra. Isso inclui ligações ou conversas que se apresentam como suporte.
• Leia o lojista e o valor antes de digitar o código, quando eles forem mostrados. Como o código está vinculado a uma compra específica, confira se o e-mail corresponde ao que está no seu carrinho. Se não corresponder, não digite o código.
• Trate um código inesperado como um alerta. Um código que você não pediu significa que alguém pode estar tentando usar os dados do seu cartão em um checkout neste exato momento. Não digite nem compartilhe o código. Revise suas transações recentes com o cartão e entre em contato com o suporte se algo parecer errado.
• Desconfie de links. Alguns desafios chegam como link. Só abra um enquanto estiver finalizando uma compra.

Nosso guia de noções básicas de segurança cripto para usuários de cartão cobre o conjunto mais amplo de hábitos, desde aplicativos autenticadores até evitar a autenticação de dois fatores por SMS quando for possível.

O lojista iniciou uma verificação 3D Secure, e o servidor de controle de acesso do emissor do seu cartão decidiu que queria uma prova de que você é o titular antes de autenticar a compra. A Visa descreve isso como o emissor solicitando "verificação por senha de uso único ou confirmação biométrica" quando detecta uma transação potencialmente de alto risco, segundo a Visa. Muitas compras dispensam o código por completo graças ao fluxo sem fricção.

Um 3DS OTP é a senha de uso único usada em um desafio do 3D Secure. Ela é enviada pelo emissor do seu cartão ou pelo programa do cartão, normalmente por mensagem de texto ou e-mail, e digitada na janela de verificação durante o checkout. Pelas regras da UE sobre autenticação forte de cliente, esse código "só pode ser aceito uma vez" e está vinculado ao valor e ao beneficiário, segundo o Regulamento (UE) 2018/389.

Um lojista pode pedir o 3DS e dizer que prefere um desafio, mas o emissor determina o fluxo real, segundo a Stripe. O que o lojista pode fazer é recusar pagamentos que não passaram pelo 3DS, e é por isso que alguns checkouts não aceitam um cartão que não consegue concluir essa etapa.

Para o endereço de e-mail da sua conta SolCard, em um e-mail intitulado "Transaction Confirmation" que contém um código ou um link de confirmação, além do lojista, do valor e da validade, quando o provedor do cartão os informa. A entrega depende do seu provedor de e-mail, então mantenha essa caixa acessível e verifique o spam se um código não aparecer.

Não digite o código e não o compartilhe com ninguém que entrar em contato a respeito. Um código inesperado sugere que alguém pode estar tentando usar os dados do seu cartão em um checkout. Revise suas transações recentes e entre em contato com o suporte se algo parecer errado.

O 3D Secure é a etapa em que uma loja online pede ao emissor do seu cartão para confirmar que é realmente você. O lojista inicia a verificação, o emissor decide se você verá um código, e as regras de SCA somadas à transferência de responsabilidade dão aos lojistas motivos para usá-la. Lojistas que exigem 3DS em todos os cartões só funcionam com cartões capazes de concluir o desafio, e isso depende de o código chegar até você. Na SolCard, ele vai para o e-mail da sua conta: mantenha essa caixa acessível e nunca compartilhe o que chega nela.

Se você quer um cartão que oferece suporte a essas verificações para gastos online, pode conhecer como a SolCard funciona.

• EMVCo -- EMV 3-D Secure
• Visa -- 3D Secure: seu guia para transações mais seguras
• Visa Developer -- Visa Secure usando EMV 3DS User Experience Guidelines
• Visa Developer -- Payment Flow: One-Time Passcode (OTP)
• Mastercard -- Mastercard Identity Check Program Guide (19 de novembro de 2019)
• EUR-Lex -- Diretiva (UE) 2015/2366 (PSD2)
• EUR-Lex -- Regulamento Delegado (UE) 2018/389 da Comissão (RTS sobre autenticação forte de cliente)
• Financial Conduct Authority -- Strong customer authentication
• Stripe Docs -- Autenticar com 3D Secure
• Stripe Docs -- Regras do Radar