A diretiva europeia sobre serviços de pagamento (DSP2) tornou a autenticação forte quase sistemática para compras online com cartão de crédito. O protocolo 3D Secure, em sua versão 2, constitui o mecanismo principal dessa autenticação. Tentar contornar esse dispositivo geralmente resulta em uma má compreensão de seu funcionamento real, pois muitos pagamentos já passam sem intervenção visível do comprador.
Fluxo frictionless 3D Secure: por que alguns pagamentos passam sem código
O protocolo 3D Secure 2 distingue dois caminhos no momento do pagamento. O primeiro, chamado “challenge”, requer uma ação do comprador (validação via aplicativo bancário, código SMS). O segundo, chamado “frictionless”, autentica a transação sem qualquer intervenção do portador do cartão.
Esse fluxo silencioso baseia-se em uma análise de risco automatizada. O banco emissor avalia vários parâmetros em segundo plano: histórico do terminal utilizado, valor da transação, frequência das compras com esse comerciante, coerência do endereço IP. Se o nível de risco for considerado baixo, a transação é validada sem que o comprador veja a menor janela de autenticação.
Um inventário regularmente atualizado lista os sites sem verificação bancária onde o percurso de compra parece não acionar o 3D Secure, mas na maioria dos casos, o protocolo está realmente presente em segundo plano, simplesmente em modo frictionless.
Isenções DSP2: o quadro legal que elimina o challenge sem eliminar a segurança
A ausência de uma janela de autenticação visível não significa a ausência de 3D Secure. A DSP2 prevê várias isenções codificadas no regulamento delegado (UE) 2018/389 que permitem aos comerciantes solicitar um percurso sem challenge, mantendo-se dentro do quadro regulatório.
- Transações de baixo valor: os pagamentos abaixo de um certo limite podem ser isentos de autenticação forte, desde que respeitadas as limitações cumulativas.
- Beneficiários de confiança (trusted beneficiaries): o comprador pode adicionar um comerciante à sua lista branca através de seu aplicativo bancário, o que elimina os futuros challenges com esse comerciante.
- Pagamentos recorrentes: após uma primeira autenticação forte, as assinaturas e débitos regulares seguintes passam sem um novo challenge.
- Transaction Risk Analysis (TRA): os prestadores de pagamento cujo índice de fraude permanece abaixo dos limites estabelecidos pela DSP2 podem solicitar a isenção para valores mais altos.
Esses mecanismos explicam por que alguns sites parecem nunca acionar uma verificação. O comerciante ou seu prestador de pagamento aplica uma isenção, não um contorno.
Responsabilidade em caso de fraude em uma compra sem autenticação 3D Secure
A transferência de responsabilidade (liability shift) é o ponto que a maioria dos guias sobre “sites sem 3DS” não aborda. Quando uma transação passa pelo protocolo 3D Secure e a autenticação é concluída (incluindo em modo frictionless), a responsabilidade em caso de fraude se transfere do comerciante para o banco emissor.
Por outro lado, se um comerciante optar por não implementar o 3D Secure ou contornar o protocolo sem uma isenção válida, ele assume todo o risco financeiro em caso de contestação. Para o comprador, a situação é diferente: a proteção legal contra operações fraudulentas permanece garantida pelo código monetário e financeiro, independentemente do percurso de autenticação.
O problema concreto surge durante um litígio. Um pagamento sem autenticação complicará o processo de reembolso se o comerciante contestar a fraude. As provas a serem apresentadas são mais pesadas, e os prazos de resolução se alongam.
O que o comprador realmente arrisca
Comprar em um site que não implementa 3D Secure não é ilegal para o consumidor. A responsabilidade regulatória recai sobre o comerciante e seu prestador de pagamento, não sobre o portador do cartão.
O risco está em outro lugar: um site que recusa deliberadamente qualquer forma de autenticação forte não oferece nenhuma garantia sobre a confiabilidade de sua infraestrutura de pagamento. A ausência voluntária de 3D Secure pode sinalizar um site pouco confiável, não apenas uma escolha técnica.
Alternativas concretas para pagar sem fricção em sites seguros
Em vez de procurar sites que escapem ao protocolo 3D Secure, várias métodos permitem reduzir as fricções de pagamento enquanto mantêm a proteção contra fraudes.
A primeira consiste em usar a funcionalidade “beneficiário de confiança” oferecida pela maioria dos aplicativos bancários franceses. Uma vez que um comerciante é adicionado a essa lista, as compras seguintes com esse comerciante passam em modo frictionless sistematicamente.
As carteiras digitais (PayPal, Apple Pay, Google Pay) oferecem outra via. A autenticação forte ocorre ao se conectar à carteira, não a cada transação. O pagamento via carteira digital elimina o challenge 3D Secure do lado do comerciante, mantendo um nível de segurança equivalente.
Os cartões virtuais de uso único, oferecidos por vários bancos online, representam uma terceira opção. O número do cartão é gerado para uma única transação, o que reduz o risco de fraude e muitas vezes simplifica o percurso de autenticação.
DSP3 e o futuro do pagamento online sem autenticação visível
O quadro regulatório europeu está evoluindo para a DSP3, que deve reforçar os mecanismos de autenticação invisível em vez de eliminá-los. A tendência é uma análise de risco mais fina e rápida, com um objetivo claro: reduzir as fricções para o comprador sem diminuir a proteção contra fraudes.
Os dados disponíveis não permitem concluir sobre o cronograma exato de entrada em vigor da DSP3, mas os feedbacks de campo dos prestadores de pagamento europeus convergem para uma generalização do frictionless para a grande maioria das transações comuns.
Procurar um site “sem 3D Secure” em 2026 é como buscar um problema já resolvido pelo próprio protocolo. O frictionless existe, as isenções estão codificadas e as alternativas de pagamento se multiplicam. A fricção que ainda alguns compradores enfrentam geralmente se deve a um ajuste bancário a ser feito, não a uma falha do sistema.
