Il termine « sito senza 3D Secure » appare spesso nelle ricerche legate agli acquisti online con carta di credito. Dall’entrata in vigore completa della DSP2 in Europa, l’autenticazione forte è diventata la norma per i pagamenti su internet. Cercare un sito che sfugga completamente a questo protocollo si basa su una confusione tra l’assenza di 3D Secure e i meccanismi di esenzione previsti dalla normativa stessa.
Esenzioni SCA e flussi frictionless: cosa si nasconde dietro un pagamento senza verifica
Quando un acquisto con carta di credito si conclude senza uno schermo di verifica (codice SMS, validazione biometrica), ciò non significa che il sito ignori il protocollo 3DS. Nella grande maggioranza dei casi, la transazione è stata segnalata come esente dal fornitore di pagamento del commerciante, in accordo con le regole della DSP2.
Vari tipi di esenzioni consentono questo flusso detto « frictionless »:
- Le transazioni di basso importo (low-value), sotto una soglia definita dalla normativa, possono avvenire senza autenticazione forte se il totale dei pagamenti precedenti rimane limitato.
- L’analisi del rischio in tempo reale (TRA, Transaction Risk Analysis) consente ai fornitori con un tasso di frode sufficientemente basso di richiedere un’esenzione per alcune transazioni.
- Il meccanismo del « trusted beneficiary » (beneficiario di fiducia) consente all’acquirente di registrare un commerciante su una lista bianca presso la propria banca, eliminando le verifiche per gli acquisti successivi.
- I pagamenti ricorrenti avviati dal commerciante (MIT, Merchant Initiated Transactions) sfuggono anche alla sfida 3DS dopo la prima autenticazione.
In pratica, un commerciante online che sfrutta queste esenzioni offre un’esperienza di acquisto rapida, senza che l’utente veda un solo schermo 3D Secure. L’informazione circola dietro le quinte tra l’acquirente, l’emittente della carta e la rete (Visa, Mastercard). Identificare un sito senza 3d secure nel 2024 significa quindi spesso individuare un commerciante il cui fornitore gestisce bene queste esenzioni, non un sito che aggira la sicurezza.
Pagamenti internazionali e zona grigia delle transazioni « one leg out »
La DSP2 si applica alle transazioni in cui entrambe le parti (banca dell’acquirente e banca del commerciante) si trovano nello Spazio economico europeo. Quando solo una delle due parti è nell’EEE, si parla di transazione « one leg out ».
Questi pagamenti non sono soggetti alle stesse restrizioni di autenticazione forte. Un acquirente europeo che ordina su una piattaforma ospitata al di fuori dell’EEE può quindi vedere la propria transazione completarsi senza alcuna sfida 3D Secure, senza che ciò costituisca un’infrazione.
Questa zona grigia è sfruttata da alcune piattaforme a struttura ibrida per ridurre la frequenza delle verifiche. L’acquirente non è sempre informato. Il trasferimento di responsabilità (liability shift) diventa quindi confuso: in caso di frode, determinare chi sostiene il costo tra la banca emittente e il commerciante dipende dal quadro contrattuale di ciascuna rete di carte.
Per un consumatore, pagare su un sito al di fuori dell’EEE senza 3D Secure non significa acquistare su un sito poco affidabile. Tuttavia, l’assenza di liability shift aumenta il rischio in caso di controversia.
Rischi concreti di un acquisto online senza autenticazione forte
Acquistare su un sito che non attiva una verifica 3D Secure può sembrare più fluido. Le conseguenze di un problema sono però diverse rispetto a quelle di un pagamento classico.
Frode e contestazione
Senze autenticazione forte, la prova che il titolare della carta ha effettivamente avviato la transazione è più difficile da stabilire. Dal lato del consumatore, la procedura di contestazione presso la banca rimane possibile, ma i tempi di rimborso possono allungarsi quando il commerciante non beneficia del liability shift garantito da 3D Secure.
Protezione reale della carta di credito
Il protocollo 3DS 2 ha giocato un ruolo diretto nella riduzione della frode sui pagamenti online.
Un sito che aggira sistematicamente il 3D Secure (e non semplicemente tramite esenzioni legittime) si colloca al di fuori del quadro normativo europeo. Registrare i propri dati bancari su di esso espone a un rischio maggiore di compromissione dei dati della carta.
Verificare la conformità di un sito di pagamento online senza 3DS
Tutti i siti che non attivano una verifica non sono equivalenti. Alcuni elementi consentono di valutare se il commerciante opera in un quadro conforme:
- Il fornitore di pagamento visualizzato (Stripe, Adyen, Mollie, ecc.) è identificabile nella pagina di checkout. I PSP conformi alla DSP2 gestiscono autonomamente le richieste di esenzione presso la banca emittente.
- Il sito mostra una conformità PCI DSS, visibile nelle sue condizioni generali di vendita o nella sua politica sulla privacy. Questa norma regola lo stoccaggio e il trattamento dei dati della carta di credito.
- La dicitura « pagamento sicuro » da sola non garantisce nulla. Un lucchetto nella barra degli indirizzi (certificato SSL) protegge il transito dei dati, ma non indica la conformità del commerciante alla DSP2.
Un commerciante legittimo che sfrutta le esenzioni SCA non ha bisogno di nascondere l’assenza di 3D Secure. Propone semplicemente un percorso di pagamento ottimizzato, in cui l’autenticazione viene attivata solo quando la banca emittente lo richiede.
Cercare un sito « senza 3D Secure » traduce più spesso una frustrazione di fronte a fallimenti di pagamento o a verifiche ritenute troppo lunghe. La risposta non passa per l’evitamento del protocollo, ma per una migliore gestione da parte della banca.
Verificare che la propria applicazione bancaria funzioni, che il proprio numero di telefono sia aggiornato, o richiedere l’aggiunta di un commerciante come beneficiario di fiducia: sono questi aggiustamenti che rendono il pagamento online fluido senza rinunciare alla sicurezza della carta.
