3DS2, PSD2 y la autenticación reforzada
La primera versión de 3D Secure pedía una contraseña en casi todos los pagos, abría ventanas emergentes y funcionaba mal en el móvil. Muchos compradores abandonaban la compra a mitad. La versión actual, 3DS2, se diseñó para resolver eso.
Qué cambia con 3DS2
- Decide con datos, no a ciegas. El banco recibe mucha más información del pago (dispositivo, historial, importe, dirección) y evalúa el riesgo en milisegundos.
- Dos caminos posibles. Si el riesgo es bajo, aprueba sin pedir nada al comprador: es el flujo sin fricción (frictionless). Si detecta algo inusual, pide una verificación: es el flujo con desafío (challenge).
- Verificación moderna. El desafío se resuelve en la app del banco, con huella, reconocimiento facial o un código por SMS, sin salir de la página de pago.
Por qué es obligatorio en Europa
La directiva europea PSD2 exige la autenticación reforzada de cliente (SCA) en los pagos online. Significa que el comprador debe confirmar su identidad con dos de estos tres factores:
- Algo que sabe: un PIN o una contraseña.
- Algo que tiene: su móvil o la tarjeta.
- Algo que es: su huella o su cara.
3D Secure es la herramienta con la que se cumple esa obligación en los pagos con tarjeta. Si un pago que la requiere no pasa por 3DS, el banco del comprador puede rechazarlo directamente.
Cuándo no hace falta autenticar
La normativa prevé exenciones para no entorpecer pagos de poco riesgo. Las más habituales:
| Exención | En qué consiste |
|---|---|
| Bajo importe | Pagos de menos de 30 €, con límites de importe y número de operaciones acumuladas |
| Bajo riesgo (TRA) | La pasarela analiza el riesgo de la operación y solicita la exención si es baja |
| Pagos recurrentes | Cuotas fijas al mismo comercio: se autentica el primero y los siguientes no |
| Pagos iniciados por el comercio (MIT) | Cargos con la tarjeta guardada que el comercio lanza según lo acordado con el cliente |
| Comercio de confianza | El comprador añade el comercio a una lista blanca en su banco |
| Fuera del alcance | Tarjetas emitidas fuera del Espacio Económico Europeo y pagos telefónicos o por correo (MOTO) |
Un matiz importante: pedir una exención no la garantiza. La última palabra la tiene siempre el banco emisor, que puede exigir la autenticación igualmente.
Qué gana tu negocio con 3D Secure
- Menos contracargos por fraude, y no los pagas tú. Cuando un pago se autentica con 3DS, la responsabilidad ante un contracargo por fraude («yo no hice esta compra») pasa del comercio al banco emisor. Es lo que se conoce como desplazamiento de responsabilidad o liability shift. Si el titular reclama, el banco no puede cargarte el importe.
- Menos rechazos. Con PSD2, muchos bancos rechazan los pagos europeos que llegan sin autenticar. Activar 3DS evita perder ventas legítimas por un «no» automático.
- Más confianza del comprador. Ver la verificación de su propio banco tranquiliza al cliente, sobre todo cuando compra a un comercio por primera vez o hace un pago elevado.
- Una experiencia de pago casi invisible. Con 3DS2, la mayoría de las operaciones de bajo riesgo se aprueban sin que el comprador tenga que hacer nada. La fricción queda reservada para los pagos que realmente la necesitan.
- Menos gestión interna. Cada contracargo evitado son horas que no dedicas a reunir pruebas, responder disputas y conciliar devoluciones.
Ojo: el liability shift cubre los contracargos por fraude. No cubre disputas por otros motivos, como «no recibí el producto», «el servicio no era el descrito» o cargos duplicados. Para esos casos sigue siendo clave tener una política de cancelación clara y guardar justificantes de cada venta.
Preguntas frecuentes
¿3D Secure hace que pierda ventas?
Con la versión antigua, a veces sí. Con 3DS2, la mayoría de los pagos se aprueban sin fricción y el desafío se resuelve en segundos desde el móvil. Hoy es más probable perder una venta por no usar 3DS (y que el banco la rechace) que por usarlo.
¿Tengo que hacer algo técnico para activarlo?
No. La autenticación la gestiona la pasarela de pago. Tu web, tu enlace de pago o tu TPV virtual simplemente muestran la verificación cuando el banco la solicita.
¿Qué pasa si el comprador no supera la verificación?
El pago no se completa y no se cobra nada. El comprador puede reintentarlo o usar otra tarjeta.
¿Se aplica a todas las tarjetas?
A las principales marcas: Visa, Mastercard, American Express y otras compatibles. En tarjetas de fuera de Europa no es obligatorio, pero aplicarlo sigue aportando protección.
¿Y a los pagos con Apple Pay o Google Pay?
Estos métodos ya incluyen su propia autenticación (huella, cara o PIN del dispositivo), así que cumplen con la autenticación reforzada sin un paso extra.
¿Un pago autenticado puede acabar en contracargo?
Sí, pero si el motivo es fraude, la responsabilidad recae en el banco emisor y no en tu negocio. Por otros motivos (producto no recibido, servicio no prestado), la disputa sigue su curso habitual.
3D Secure en Avirato Payments
En Avirato Payments, 3D Secure 2 está integrado en todos los cobros online: web, enlaces de pago y TPV virtual. No tienes que configurar nada.
- Autenticación cuando hace falta. Nuestra plataforma envía al banco la información del pago para que la mayoría de las operaciones se aprueben sin fricción.
- Exenciones gestionadas por nosotros. Solicitamos las exenciones aplicables (bajo importe, bajo riesgo, pagos recurrentes) para que tus clientes paguen con el menor número de pasos.
- Protección frente a contracargos por fraude. Los pagos autenticados se benefician del desplazamiento de responsabilidad al banco emisor.
- Acompañamiento real. Si recibes una disputa, nuestro equipo te ayuda a preparar la defensa.
¿Quieres saber cómo afecta 3D Secure a tus cobros o revisar tu configuración actual? Escríbenos y lo vemos contigo.