De term « site zonder 3D Secure » komt vaak voor in zoekopdrachten met betrekking tot online aankopen met een creditcard. Sinds de volledige inwerkingtreding van de DSP2 in Europa is sterke authenticatie de norm geworden voor internetbetalingen. Het zoeken naar een site die volledig aan dit protocol ontsnapt, berust op een verwarring tussen de afwezigheid van 3D Secure en de vrijstellingsmechanismen die door de regelgeving zelf zijn voorzien.
Vrijstellingen SCA en frictionless stromen: wat schuilt er achter een betaling zonder verificatie
Wanneer een aankoop met een creditcard plaatsvindt zonder verificatiescherm (SMS-code, biometrische validatie), betekent dit niet dat de site het 3DS-protocol negeert. In de grote meerderheid van de gevallen is de transactie gemarkeerd als vrijgesteld door de betalingsprovider van de handelaar, in overeenstemming met de regels van de DSP2.
Verschillende soorten vrijstellingen maken deze zogenaamde « frictionless » stroom mogelijk:
- Transacties van laag bedrag (low-value), onder een drempel die door de regelgeving is vastgesteld, kunnen doorgaan zonder sterke authenticatie als de cumulatieve waarde van eerdere betalingen beperkt blijft.
- Realtime risicobeoordeling (TRA, Transaction Risk Analysis) stelt providers met een voldoende laag fraudetarief in staat om een vrijstelling voor bepaalde transacties aan te vragen.
- Het mechanisme van « trusted beneficiary » (vertrouwde begunstigde) stelt de koper in staat om een handelaar op een witte lijst bij zijn bank te plaatsen, waardoor verificaties voor volgende aankopen worden verwijderd.
- Terugkerende betalingen geïnitieerd door de handelaar (MIT, Merchant Initiated Transactions) ontsnappen ook aan de 3DS-uitdaging na de eerste authenticatie.
Concreet biedt een webhandelaar die deze vrijstellingen toepast een snelle winkelervaring, zonder dat de gebruiker ook maar één 3D Secure-scherm ziet. De informatie circuleert achter de schermen tussen de acquirer, de kaartuitgever en het netwerk (Visa, Mastercard). Het identificeren van een site zonder 3D Secure in 2024 komt dus vaak neer op het herkennen van een handelaar wiens provider deze vrijstellingen goed beheert, niet een site die de beveiliging omzeilt.
Internationale betalingen en de grijze zone van « one leg out » transacties
De DSP2 is van toepassing op transacties waarbij beide partijen (bank van de koper en bank van de handelaar) zich in de Europese Economische Ruimte bevinden. Wanneer slechts één van de twee partijen zich in de EER bevindt, spreken we van een « one leg out » transactie.
Deze betalingen zijn niet onderworpen aan dezelfde vereisten voor sterke authenticatie. Een Europese koper die bestelt op een platform dat buiten de EER is gehost, kan zijn transactie dus zonder enige 3D Secure-uitdaging laten verlopen, zonder dat dit een overtreding vormt.
Deze grijze zone wordt benut door bepaalde platforms met een hybride structuur om de frequentie van verificaties te verminderen. De koper is hier niet altijd van op de hoogte. De overdracht van verantwoordelijkheid (liability shift) wordt dan vaag: in geval van fraude hangt het af van het contractuele kader van elk kaartnetwerk wie de kosten draagt tussen de uitgevende bank en de handelaar.
Voor een consument betekent betalen op een site buiten de EER zonder 3D Secure niet dat hij op een onbetrouwbare site koopt. Aan de andere kant verhoogt de afwezigheid van liability shift het risico in geval van een geschil.
Concreet risico van online aankopen zonder sterke authenticatie
Aankopen op een site die geen 3D Secure-verificatie activeert, kan vloeiender lijken. De gevolgen van een probleem zijn echter anders dan die van een klassieke betaling.
Fraude en betwisting
Zonder sterke authenticatie is het moeilijker om te bewijzen dat de kaarthouder de transactie daadwerkelijk heeft geïnitieerd. Aan de consumentenkant blijft de procedure voor betwisting bij de bank mogelijk, maar de terugbetalingstermijnen kunnen langer worden wanneer de handelaar niet profiteert van de liability shift die door 3D Secure wordt gegarandeerd.
Werkelijke bescherming van de creditcard
Het 3DS 2-protocol heeft een directe rol gespeeld in de vermindering van fraude bij online betalingen.
Een site die systematisch het 3D Secure-protocol omzeilt (en niet alleen via legitieme vrijstellingen) bevindt zich buiten het Europese regelgevingskader. Het registreren van bankgegevens daar brengt een verhoogd risico op compromittering van kaartgegevens met zich mee.
Controleer de conformiteit van een online betalingssite zonder 3DS
Niet alle sites die geen verificatie activeren zijn gelijk. Enkele elementen helpen om te beoordelen of de handelaar binnen een conforme kaders opereert:
- De weergegeven betalingsprovider (Stripe, Adyen, Mollie, enz.) is herkenbaar op de checkout-pagina. De PSP’s die voldoen aan de DSP2 beheren zelf de verzoeken om vrijstelling bij de uitgevende bank.
- De site toont een PCI DSS-conformiteit, zichtbaar in de algemene voorwaarden of het privacybeleid. Deze norm reguleert de opslag en verwerking van creditcardgegevens.
- De vermelding « veilige betaling » alleen garandeert niets. Een hangslot in de adresbalk (SSL-certificaat) beschermt de gegevensoverdracht, maar geeft geen indicatie van de conformiteit van de handelaar met de DSP2.
Een legitieme handelaar die gebruikmaakt van de SCA-vrijstellingen hoeft de afwezigheid van 3D Secure niet te verbergen. Hij biedt gewoon een geoptimaliseerd betalingsproces aan, waarin de authenticatie alleen wordt geactiveerd wanneer de uitgevende bank dit vereist.
Het zoeken naar een « site zonder 3D Secure » weerspiegelt vaak een frustratie over betalingsfouten of verificaties die als te lang worden ervaren. De oplossing ligt niet in het vermijden van het protocol, maar in een betere afhandeling aan de bankzijde.
Controleer of uw bankapplicatie goed werkt, of uw telefoonnummer up-to-date is, of vraag om een handelaar als vertrouwde begunstigde toe te voegen: dit zijn de aanpassingen die de online betaling soepel maken zonder in te boeten op de beveiliging van de kaart.
