De Europese richtlijn inzake betalingsdiensten (PSD2) heeft sterke authenticatie bijna systematisch gemaakt voor online aankopen met een creditcard. Het 3D Secure-protocol, in zijn versie 2, vormt het belangrijkste mechanisme van deze authenticatie. Proberen om dit systeem te omzeilen, komt vaak neer op een verkeerd begrip van de werkelijke werking ervan, aangezien veel betalingen al plaatsvinden zonder zichtbare tussenkomst van de koper.
Frictionless 3D Secure: waarom sommige betalingen doorgaan zonder code
Het 3D Secure 2-protocol onderscheidt twee paden op het moment van betaling. De eerste, genaamd “challenge”, vraagt om een actie van de koper (validatie via de bankapp, SMS-code). De tweede, de “frictionless”, authenticeert de transactie zonder enige tussenkomst van de kaarthouder.
Deze stille stroom is gebaseerd op een geautomatiseerde risicobeoordeling. De uitgevende bank evalueert verschillende parameters op de achtergrond: geschiedenis van de gebruikte terminal, bedrag van de transactie, frequentie van aankopen bij deze handelaar, consistentie van het IP-adres. Als het risiconiveau als laag wordt beoordeeld, wordt de transactie goedgekeurd zonder dat de koper ook maar een venster voor authenticatie ziet.
Een regelmatig bijgewerkt overzicht vermeldt de sites zonder bankverificatie waar het aankooptraject lijkt geen 3D Secure te activeren, maar in de meeste gevallen is het protocol wel degelijk aanwezig op de achtergrond, simpelweg in frictionless-modus.
Uitzonderingen PSD2: het wettelijke kader dat de challenge verwijdert zonder de veiligheid te verminderen
De afwezigheid van een zichtbaar authenticatievenster betekent niet de afwezigheid van 3D Secure. De PSD2 voorziet in verschillende uitzonderingen die zijn vastgelegd in de gedelegeerde verordening (EU) 2018/389, die handelaren in staat stellen om een traject zonder challenge aan te vragen, terwijl ze binnen het regelgevend kader blijven.
- Transacties van lage waarde: betalingen onder een bepaalde drempel kunnen worden vrijgesteld van sterke authenticatie, onder voorbehoud van cumulatieve limieten.
- Betrouwbare begunstigden (trusted beneficiaries): de koper kan een handelaar aan zijn whitelist toevoegen via zijn bankapp, wat toekomstige challenges bij deze handelaar verwijdert.
- Terugkerende betalingen: na een eerste sterke authenticatie gaan de volgende abonnementen en reguliere incasso’s door zonder nieuwe challenge.
- Transaction Risk Analysis (TRA): betalingsdienstverleners wiens fraudetarief onder de door de PSD2 vastgestelde drempels blijft, kunnen vrijstelling aanvragen voor hogere bedragen.
Deze mechanismen verklaren waarom sommige sites lijken nooit een verificatie te activeren. De handelaar of zijn betalingsdienstverlener past een uitzondering toe, geen omzeiling.
Aansprakelijkheid bij fraude op een aankoop zonder 3D Secure-authenticatie
De aansprakelijkheidsverschuiving (liability shift) is het punt dat de meeste gidsen over “sites zonder 3DS” niet behandelen. Wanneer een transactie via het 3D Secure-protocol gaat en de authenticatie is voltooid (inclusief in frictionless-modus), verschuift de aansprakelijkheid bij fraude van de handelaar naar de uitgevende bank.
Als een handelaar ervoor kiest om 3D Secure niet te implementeren of het protocol zonder geldige uitzondering te omzeilen, neemt hij het volledige financiële risico in geval van betwisting op zich. Voor de koper is de situatie anders: de wettelijke bescherming tegen frauduleuze transacties blijft gegarandeerd door het monetair en financieel wetboek, ongeacht het authenticatietraject.
Het concrete probleem doet zich voor bij een geschil. Een betaling zonder authenticatie zal de terugbetalingsprocedure bemoeilijken als de handelaar de fraude betwist. De te leveren bewijzen zijn zwaarder, en de oplostijden worden langer.
Wat de koper werkelijk riskeert
Aankopen op een site die 3D Secure niet implementeert, is niet illegaal voor de consument. De regelgevende aansprakelijkheid rust op de handelaar en zijn betalingsdienstverlener, niet op de kaarthouder.
Het risico ligt elders: een site die opzettelijk elke vorm van sterke authenticatie weigert, biedt geen enkele garantie over de betrouwbaarheid van zijn betalingsinfrastructuur. De opzettelijke afwezigheid van 3D Secure kan wijzen op een onbetrouwbare site, niet alleen op een technische keuze.
Concreet alternatieven om zonder wrijving te betalen op veilige sites
In plaats van te zoeken naar sites die aan het 3D Secure-protocol ontsnappen, zijn er verschillende methoden om de betalingswrijving te verminderen terwijl de bescherming tegen fraude behouden blijft.
De eerste is het gebruik van de functie “betrouwbare begunstigde” die door de meeste Franse bankapps wordt aangeboden. Zodra een handelaar aan deze lijst is toegevoegd, gaan de volgende aankopen bij deze handelaar automatisch in frictionless-modus door.
Digitale portemonnees (PayPal, Apple Pay, Google Pay) bieden een andere weg. De sterke authenticatie vindt plaats bij het inloggen op de portemonnee, niet bij elke transactie. Betalen via een digitale portemonnee verwijdert de 3D Secure-challenge aan de zijde van de handelaar terwijl een gelijkwaardig beveiligingsniveau wordt gehandhaafd.
Virtuele eenmalige kaarten, aangeboden door verschillende online banken, vormen een derde optie. Het kaartnummer wordt gegenereerd voor een enkele transactie, wat het risico op fraude vermindert en vaak het authenticatietraject vereenvoudigt.
DSP3 en de toekomst van online betalingen zonder zichtbare authenticatie
Het Europese regelgevingskader evolueert naar de DSP3, die de mechanismen voor onzichtbare authenticatie zou moeten versterken in plaats van ze te verwijderen. De trend richt zich op een fijnere en snellere risicobeoordeling, met een duidelijk doel: de wrijving voor de koper te verminderen zonder de bescherming tegen fraude te verlagen.
De beschikbare gegevens stellen ons niet in staat om conclusies te trekken over de exacte ingangsdatum van de DSP3, maar de feedback van Europese betalingsdienstverleners convergeert naar een generalisatie van frictionless voor de overgrote meerderheid van de gangbare transacties.
Zoeken naar een “site zonder 3D Secure” in 2026 komt neer op het zoeken naar een probleem dat al door het protocol zelf is opgelost. Frictionless bestaat, de uitzonderingen zijn vastgelegd, en de betaalalternatieven vermenigvuldigen zich. De wrijving die sommige kopers nog ervaren, is meestal het gevolg van een bankinstelling die moet worden aangepast, niet van een tekortkoming van het systeem.
