01
3D Secure y la SCA de PSD2: autenticar sin perder la venta por el camino
3D Secure es el protocolo que permite al banco emisor comprobar que quien paga con una tarjeta es realmente su titular. En Europa es la forma habitual de cumplir la autenticación reforzada de cliente (SCA) que exige la directiva PSD2, y su versión actual, 3D Secure 2 (3DS2), puede validar un pago sin que el comprador note nada.
Esta guía explica cómo funciona la autenticación, cuándo el cliente ve una pantalla adicional y cuándo no, qué exenciones puedes aprovechar y cómo se reparte la responsabilidad por fraude. El objetivo es cumplir la normativa sin convertir cada pago en una carrera de obstáculos.
02
¿Qué es 3D Secure y qué relación tiene con la SCA de PSD2?
3D Secure es un protocolo de autenticación para pagos con tarjeta en internet, respaldado por Visa y Mastercard bajo nombres como Verified by Visa o Mastercard Identity Check. Añade al pago una comprobación de identidad que realiza el banco del titular, no el comercio.
La SCA es la obligación legal; 3D Secure es la herramienta para cumplirla. PSD2 exige que muchos pagos electrónicos dentro del Espacio Económico Europeo se autentiquen con al menos dos de tres factores: algo que el cliente sabe (una contraseña o un PIN), algo que posee (su móvil) o algo que es (su huella o su rostro). La primera versión del protocolo, 3DS1, obligaba a introducir una contraseña estática y ha sido retirada por los esquemas de tarjetas; hoy el estándar es 3DS2.
03
¿Cómo funciona el flujo de autenticación 3D Secure 2?
Cuando el cliente confirma el pago, tu pasarela envía a su banco una solicitud de autenticación con datos de la operación y del dispositivo. El banco evalúa el riesgo y decide si autoriza directamente o pide una verificación adicional.
1. El cliente introduce los datos de su tarjeta y pulsa pagar en tu checkout.
2. Tu pasarela envía al banco emisor información sobre el importe, el dispositivo, el historial y la dirección de facturación.
3. El emisor analiza el riesgo de la operación en cuestión de segundos.
4. Si el riesgo es bajo, aprueba la autenticación sin más pasos (flujo sin fricción).
5. Si necesita más garantías, solicita una verificación al cliente (flujo con desafío), por ejemplo mediante la app del banco o un código.
La gran novedad de 3DS2 es que comparte muchos más datos con el banco que la versión anterior, y por eso la mayoría de los pagos legítimos pasan sin interrupciones.
04
¿Qué diferencia hay entre el flujo sin fricción y el flujo con desafío?
En el flujo sin fricción (frictionless), el banco aprueba la autenticación en segundo plano porque los datos recibidos le bastan para confiar en la operación. El comprador no ve nada: paga y listo.
En el flujo con desafío (challenge), el banco no tiene suficiente certeza y pide al cliente un paso adicional: un código por SMS, una notificación en la app bancaria o la huella dactilar. Es el momento más delicado del pago, porque cualquier fallo de diseño o de carga puede hacer que el cliente abandone.
Tú no decides el resultado, pero sí influyes en él. Cuantos más datos correctos envíes en la solicitud (correo, teléfono, direcciones, identificador del dispositivo), más probable es que el emisor apruebe sin desafío. Un checkout que envía solicitudes incompletas provoca más desafíos de los necesarios.
05
¿Qué exenciones de la SCA puedes aprovechar?
PSD2 prevé excepciones para que no todos los pagos tengan que pasar por el desafío. Tu proveedor de pagos y el banco del cliente tienen la última palabra, pero conviene conocerlas para saber qué pedir.
Pagos de bajo valor. Las operaciones de hasta 30 euros pueden quedar exentas, con límites acumulados: tras cierto importe total o un número de pagos consecutivos sin SCA, el banco exige autenticar de nuevo.
Análisis de riesgo de la operación (TRA). Si tu adquirente mantiene una tasa de fraude baja, puede solicitar la exención para importes más altos según su nivel de fraude. El emisor puede aceptarla o forzar el desafío.
Beneficiarios de confianza (whitelisting). El cliente puede marcar tu comercio como fiable en su banco y no volver a autenticarse en compras posteriores.
Pagos recurrentes y operaciones iniciadas por el comercio. En suscripciones de importe fijo, solo el primer cobro requiere SCA; los siguientes suelen quedar fuera del alcance si se configuran correctamente.
Pedir una exención no garantiza que se conceda, y a veces tiene un coste de responsabilidad que veremos más abajo. Por eso conviene entender también cómo afecta la autenticación a tu tasa de autorización de pagos antes de decidir cuándo solicitarla.
06
¿Cómo se reparte la responsabilidad por fraude con 3D Secure?
Cuando un pago se autentica con 3D Secure, la responsabilidad por un posible fraude pasa del comercio al banco emisor. A esto se le llama traspaso de responsabilidad (liability shift) y es uno de los grandes incentivos de usar el protocolo: si más tarde el titular reclama un cargo no reconocido, el emisor asume la pérdida. Si quieres entender cómo se tramitan estas reclamaciones, la guía sobre el contracargo lo explica paso a paso.
Con las exenciones el reparto cambia: si tu adquirente solicita una exención por análisis de riesgo y el pago se aprueba sin autenticar, la responsabilidad por fraude recae sobre el adquirente y, normalmente, sobre ti. Es una decisión de riesgo, no solo de comodidad: gana fluidez, pero pierdes protección. Recuerda también que el traspaso cubre contracargos por fraude, no disputas comerciales como un producto no recibido.
07
¿Cómo reducir el abandono sin dejar de cumplir la normativa?
Autenticar de más cuesta ventas, y no autenticar nada cuesta fraude y dinero. El equilibrio se logra con decisiones de diseño y de configuración. Medir cuántos clientes se pierden justo en la pantalla de verificación te ayudará a ajustar, igual que cuando analizas la tasa de conversión del checkout.
Envía datos completos. Cuantos más campos fiables reciba el banco, más pagos pasan sin fricción.
Usa la pantalla del banco dentro del flujo. Un desafío que se abre en una ventana integrada, optimizada para móvil, se abandona menos que una redirección a otra página.
Aplica una lógica de riesgo propia. Solicita exenciones en importes bajos y clientes recurrentes y fuerza el desafío cuando una operación resulte sospechosa.
Las reglas antifraude propias, además, no deben ser tan estrictas que bloqueen compras legítimas. El coste de rechazar a un buen cliente es real, como detalla el análisis del coste del falso positivo en antifraude.
08
¿Cómo integrar 3D Secure en tu tienda en España?
En España, lo más habitual es que 3DS2 llegue a través de tu pasarela o de tu TPV virtual, que se encarga de hablar con el banco emisor. Si tu negocio trabaja con un banco español, la integración del checkout con Redsys gestiona la autenticación dentro del propio flujo de pago.
Comprueba que tu proveedor soporta 3DS2 completo, permite solicitar exenciones y muestra el desafío adaptado al móvil; con AtomicPay todo ello ocurre dentro del propio pago. Fíjate también en los métodos sin tarjeta: Bizum y las transferencias instantáneas incorporan su propia autenticación en la app del banco, por lo que no necesitan 3DS.
09
¿Qué cambia entre un pago sin SCA y uno con 3DS2?
Pagar sin autenticar es posible solo si se aplica una exención válida. En el resto de casos entra 3DS2, con una de sus dos variantes. La comparación ayuda a ver qué ganas y qué arriesgas en cada una.
10
Pago sin SCA (con exención)
Pago con 3DS2 (sin fricción o con desafío)
11
Experiencia del cliente
Paga sin ningún paso adicional
Sin fricción: no ve nada. Con desafío: confirma con código, app o huella
12
Cuándo se aplica
Importe bajo, riesgo bajo, comercio de confianza o cobro recurrente
13
Resto de pagos; el emisor decide la variante según el riesgo
Responsabilidad por fraude
14
Recae en el adquirente y, normalmente, en el comercio
Pasa al emisor si el pago se autentica
15
Efecto en la conversión
Máxima fluidez, con más exposición al fraude
16
Seguridad reforzada; el desafío puede provocar abandonos
La combinación ideal es un 3DS2 con la mayoría de pagos sin fricción, exenciones donde el riesgo sea bajo y desafío solo cuando de verdad aporta seguridad.
17
Preguntas frecuentes
¿Qué es 3D Secure?
Es un protocolo de autenticación para pagos con tarjeta en internet. El banco emisor verifica que quien paga es el titular, mediante un código, una notificación en su app o un dato biométrico, o de forma invisible si el riesgo es bajo.
18
¿Qué diferencia hay entre 3D Secure y la SCA de PSD2?
La SCA es la obligación legal de autenticar con dos factores los pagos electrónicos en el Espacio Económico Europeo. 3D Secure es la tecnología con la que se cumple en los pagos con tarjeta en internet.
19
¿Cómo sé si mi tarjeta tiene 3D Secure?
Casi todas las tarjetas emitidas en Europa ya lo incorporan. Si tu banco te envía un código o te pide confirmar el pago en su app al comprar en internet, tu tarjeta lo tiene activo; si dudas, consúltalo con tu entidad.
20
¿El 3D Secure reduce las ventas?
Puede hacerlo si el desafío es lento o está mal diseñado. Con 3DS2, la mayoría de los pagos pasan sin fricción, y enviar datos completos, solicitar exenciones cuando procede y optimizar el móvil limitan el abandono.
21
¿Quién asume el fraude si el pago se autentica con 3D Secure?
El banco emisor. Es el traspaso de responsabilidad: si el pago se autenticó correctamente y luego el titular lo desconoce, el comercio queda protegido frente a ese contracargo por fraude.
22
Autentica con cabeza y vende sin fricción
3D Secure y la SCA no tienen por qué costarte ventas. Con datos bien enviados, exenciones usadas con criterio y un checkout pensado para el móvil, cumples PSD2, proteges tu negocio frente al fraude y dejas que la mayoría de los pagos legítimos fluyan sin interrupciones.
Comece seu teste grátis em app.atomicpay.com.br/signup e ofereça os métodos de pagamento que seus clientes preferem, sem código.