La direttiva europea sui servizi di pagamento (DSP2) ha reso l’autenticazione forte quasi sistematica per gli acquisti online con carta di credito. Il protocollo 3D Secure, nella sua versione 2, costituisce il meccanismo principale di questa autenticazione. Cercare di aggirare questo dispositivo significa spesso non comprendere il suo funzionamento reale, poiché molti pagamenti avvengono già senza intervento visibile dell’acquirente.
Flussi frictionless 3D Secure: perché alcuni pagamenti passano senza codice
Il protocollo 3D Secure 2 distingue due percorsi al momento del pagamento. Il primo, chiamato “challenge”, richiede un’azione da parte dell’acquirente (validazione tramite l’app bancaria, codice SMS). Il secondo, detto “frictionless”, autentica la transazione senza alcun intervento del titolare della carta.
Questo flusso silenzioso si basa su un’analisi del rischio automatizzata. La banca emittente valuta diversi parametri in background: storico del terminale utilizzato, importo della transazione, frequenza degli acquisti presso questo commerciante, coerenza dell’indirizzo IP. Se il livello di rischio è considerato basso, la transazione viene convalidata senza che l’acquirente veda la minima finestra di autenticazione.
Un inventario regolarmente aggiornato elenca i siti senza verifica bancaria dove il percorso d’acquisto sembra non attivare 3D Secure, ma nella maggior parte dei casi, il protocollo è presente in background, semplicemente in modalità frictionless.
Esenzioni DSP2: il quadro legale che elimina la challenge senza eliminare la sicurezza
L’assenza di una finestra di autenticazione visibile non significa l’assenza di 3D Secure. La DSP2 prevede diverse esenzioni codificate nel regolamento delegato (UE) 2018/389 che consentono ai commercianti di richiedere un percorso senza challenge rimanendo nel quadro normativo.
- Transazioni di basso valore: i pagamenti sotto una certa soglia possono essere esentati dall’autenticazione forte, a condizione di limiti cumulativi.
- Beneficiari di fiducia (trusted beneficiaries): l’acquirente può aggiungere un commerciante alla sua lista bianca tramite la sua app bancaria, il che elimina le future challenge presso questo commerciante.
- Pagamenti ricorrenti: dopo una prima autenticazione forte, gli abbonamenti e i prelievi regolari successivi passano senza una nuova challenge.
- Transaction Risk Analysis (TRA): i fornitori di pagamento il cui tasso di frode rimane sotto le soglie fissate dalla DSP2 possono richiedere l’esenzione per importi più elevati.
Questi meccanismi spiegano perché alcuni siti sembrano non attivare mai una verifica. Il commerciante o il suo fornitore di pagamento applicano un’esenzione, non un aggiramento.
Responsabilità in caso di frode su un acquisto senza autenticazione 3D Secure
Il trasferimento di responsabilità (liability shift) costituisce il punto che la maggior parte delle guide sui “siti senza 3DS” non affronta. Quando una transazione passa attraverso il protocollo 3D Secure e l’autenticazione è completata (incluso in modalità frictionless), la responsabilità in caso di frode passa dal commerciante alla banca emittente.
D’altra parte, se un commerciante sceglie di non implementare 3D Secure o aggira il protocollo senza un’esenzione valida, si assume l’intero rischio finanziario in caso di contestazione. Per l’acquirente, la situazione è diversa: la protezione legale contro le operazioni fraudolente rimane garantita dal codice monetario e finanziario, indipendentemente dal percorso di autenticazione.
Il problema concreto si presenta durante una controversia. Un pagamento senza autenticazione complicherà la procedura di rimborso se il commerciante contesta la frode. Le prove da fornire sono più pesanti e i tempi di risoluzione si allungano.
Ciò che rischia realmente l’acquirente
Acquistare su un sito che non implementa 3D Secure non è illegale per il consumatore. La responsabilità normativa grava sul commerciante e sul suo fornitore di pagamento, non sul titolare della carta.
Il rischio è altrove: un sito che rifiuta deliberatamente qualsiasi forma di autenticazione forte non offre alcuna garanzia sulla affidabilità della sua infrastruttura di pagamento. L’assenza volontaria di 3D Secure può segnalare un sito poco affidabile, non semplicemente una scelta tecnica.
Alternative concrete per pagare senza attriti su siti sicuri
Invece di cercare siti che sfuggono al protocollo 3D Secure, diverse metodologie consentono di ridurre gli attriti di pagamento mantenendo la protezione contro la frode.
La prima consiste nell’utilizzare la funzionalità “beneficiario di fiducia” offerta dalla maggior parte delle app bancarie francesi. Una volta aggiunto un commerciante a questa lista, i successivi acquisti presso questo commerciante passano sistematicamente in modalità frictionless.
I portafogli digitali (PayPal, Apple Pay, Google Pay) offrono un’altra via. L’autenticazione forte avviene al momento della connessione al portafoglio, non ad ogni transazione. Il pagamento tramite portafoglio digitale elimina la challenge 3D Secure dal lato del commerciante mantenendo un livello di sicurezza equivalente.
Le carte virtuali a uso unico, offerte da diverse banche online, rappresentano una terza opzione. Il numero della carta è generato per una sola transazione, il che riduce il rischio di frode e semplifica spesso il percorso di autenticazione.
DSP3 e futuro del pagamento online senza autenticazione visibile
Il quadro normativo europeo evolve verso la DSP3, che dovrebbe rafforzare i meccanismi di autenticazione invisibile piuttosto che eliminarli. La tendenza è verso un’analisi del rischio più fine e più rapida, con un obiettivo chiaro: ridurre gli attriti per l’acquirente senza diminuire la protezione contro la frode.
I dati disponibili non consentono di concludere sul calendario esatto di entrata in vigore della DSP3, ma i feedback sul campo dei fornitori di pagamento europei convergono verso una generalizzazione del frictionless per la stragrande maggioranza delle transazioni correnti.
Cercare un sito “senza 3D Secure” nel 2026 equivale a cercare un problema già risolto dal protocollo stesso. Il frictionless esiste, le esenzioni sono codificate e le alternative di pagamento si moltiplicano. L’attrito che subiscono ancora alcuni acquirenti è spesso legato a una configurazione bancaria da aggiustare, non a un difetto del sistema.
