El término « sitio sin 3D Secure » aparece con frecuencia en las búsquedas relacionadas con las compras en línea con tarjeta de crédito. Desde la entrada en vigor completa de la DSP2 en Europa, la autenticación fuerte se ha convertido en la norma para los pagos por internet. Buscar un sitio que escape totalmente a este protocolo se basa en una confusión entre la ausencia de 3D Secure y los mecanismos de exención previstos por la normativa misma.
Exenciones SCA y flujos frictionless: lo que se oculta detrás de un pago sin verificación
Cuando una compra con tarjeta de crédito se completa sin pantalla de verificación (código SMS, validación biométrica), no significa que el sitio ignore el protocolo 3DS. En la gran mayoría de los casos, la transacción ha sido marcada como exenta por el proveedor de pagos del comerciante, de acuerdo con las reglas de la DSP2.
Varios tipos de exenciones permiten este flujo denominado « frictionless »:
- Las transacciones de bajo monto (low-value), por debajo de un umbral definido por la normativa, pueden pasar sin autenticación fuerte si el total de los pagos anteriores se mantiene limitado.
- El análisis de riesgo en tiempo real (TRA, Transaction Risk Analysis) permite a los proveedores con una tasa de fraude suficientemente baja solicitar una exención para ciertas transacciones.
- El mecanismo de « trusted beneficiary » (beneficiario de confianza) permite al comprador inscribir a un comerciante en una lista blanca ante su banco, eliminando las verificaciones para las compras siguientes.
- Los pagos recurrentes iniciados por el comerciante (MIT, Merchant Initiated Transactions) también escapan al desafío 3DS después de la primera autenticación.
Concretamente, un comerciante web que aprovecha estas exenciones ofrece una experiencia de compra rápida, sin que el usuario vea una sola pantalla 3D Secure. La información circula entre bastidores entre el adquirente, el emisor de la tarjeta y la red (Visa, Mastercard). Identificar un sitio sin 3d secure en 2024 suele significar detectar un comerciante cuyo proveedor gestiona bien estas exenciones, no un sitio que evite la seguridad.
Pagos internacionales y zona gris de las transacciones « one leg out »
La DSP2 se aplica a las transacciones donde ambas partes (banco del comprador y banco del comerciante) se encuentran en el Espacio Económico Europeo. Cuando solo una de las dos partes está en el EEE, se habla de transacción « one leg out ».
Estos pagos no están sujetos a las mismas restricciones de autenticación fuerte. Un comprador europeo que ordena en una plataforma alojada fuera del EEE puede ver su transacción completarse sin ningún desafío 3D Secure, sin que esto constituya una infracción.
Esta zona gris es explotada por algunas plataformas con estructura híbrida para reducir la frecuencia de las verificaciones. El comprador no siempre está informado. La transferencia de responsabilidad (liability shift) se vuelve entonces difusa: en caso de fraude, determinar quién asume el costo entre el banco emisor y el comerciante depende del marco contractual de cada red de tarjetas.
Para un consumidor, pagar en un sitio fuera del EEE sin 3D Secure no significa comprar en un sitio poco fiable. Sin embargo, la ausencia de liability shift aumenta el riesgo en caso de disputa.
Riesgos concretos de una compra en línea sin autenticación fuerte
Comprar en un sitio que no activa una verificación 3D Secure puede parecer más fluido. Sin embargo, las consecuencias de un problema son diferentes a las de un pago clásico.
Fraude y disputa
Sin autenticación fuerte, la prueba de que el titular de la tarjeta ha iniciado la transacción es más difícil de establecer. Desde el lado del consumidor, el procedimiento de disputa ante el banco sigue siendo posible, pero los plazos de reembolso pueden alargarse cuando el comerciante no se beneficia del liability shift garantizado por 3D Secure.
Protección real de la tarjeta de crédito
El protocolo 3DS 2 ha jugado un papel directo en la reducción del fraude en los pagos en línea.
Un sitio que evita sistemáticamente el 3D Secure (y no simplemente a través de exenciones legítimas) se encuentra fuera del marco regulatorio europeo. Registrar allí sus datos bancarios expone a un riesgo incrementado de compromiso de los datos de la tarjeta.
Verificar la conformidad de un sitio de pago en línea sin 3DS
No todos los sitios que no activan una verificación son iguales. Algunos elementos permiten evaluar si el comerciante opera en un marco conforme:
- El proveedor de pagos mostrado (Stripe, Adyen, Mollie, etc.) es identificable en la página de pago. Los PSP conformes a la DSP2 gestionan ellos mismos las solicitudes de exención ante el banco emisor.
- El sitio muestra una conformidad PCI DSS, visible en sus condiciones generales de venta o su política de privacidad. Esta norma regula el almacenamiento y el procesamiento de los datos de la tarjeta de crédito.
- La mención « pago seguro » por sí sola no garantiza nada. Un candado en la barra de direcciones (certificado SSL) protege el tránsito de datos, pero no indica la conformidad del comerciante con la DSP2.
Un comerciante legítimo que aprovecha las exenciones SCA no necesita ocultar la ausencia de 3D Secure. Simplemente ofrece un proceso de pago optimizado, en el que la autenticación se activa únicamente cuando el banco emisor lo exige.
La búsqueda de un sitio « sin 3D Secure » suele traducir una frustración ante fallos de pago o verificaciones consideradas demasiado largas. La respuesta no pasa por evitar el protocolo, sino por una mejor gestión por parte del banco.
Verificar que su aplicación bancaria funciona, que su número de teléfono está actualizado, o solicitar la inclusión de un comerciante como beneficiario de confianza: son estos ajustes los que hacen que el pago en línea sea fluido sin renunciar a la seguridad de la tarjeta.
