O termo « site sem 3D Secure » aparece frequentemente nas pesquisas relacionadas a compras online com cartão de crédito. Desde a plena implementação da DSP2 na Europa, a autenticação forte tornou-se a norma para pagamentos na internet. Procurar um site que escape totalmente a esse protocolo baseia-se em uma confusão entre a ausência de 3D Secure e os mecanismos de isenção previstos pela regulamentação.
Isenções SCA e fluxos frictionless: o que está por trás de um pagamento sem verificação
Quando uma compra com cartão de crédito é concluída sem tela de verificação (código SMS, validação biométrica), isso não significa que o site ignora o protocolo 3DS. Na grande maioria dos casos, a transação foi marcada como isenta pelo prestador de serviços de pagamento do comerciante, de acordo com as regras da DSP2.
Vários tipos de isenções permitem esse fluxo chamado « frictionless »:
- As transações de baixo valor, abaixo de um limite definido pela regulamentação, podem passar sem autenticação forte se o total dos pagamentos anteriores permanecer limitado.
- A análise de risco em tempo real (TRA, Transaction Risk Analysis) permite que prestadores com uma taxa de fraude suficientemente baixa solicitem uma isenção para certas transações.
- O mecanismo de « trusted beneficiary » (beneficiário de confiança) permite que o comprador inscreva um comerciante em uma lista branca junto ao seu banco, eliminando as verificações para compras futuras.
- Os pagamentos recorrentes iniciados pelo comerciante (MIT, Merchant Initiated Transactions) também escapam do desafio 3DS após a primeira autenticação.
Concretamente, um comerciante online que utiliza essas isenções oferece uma experiência de compra rápida, sem que o usuário veja uma única tela 3D Secure. A informação circula nos bastidores entre o adquirente, o emissor do cartão e a rede (Visa, Mastercard). Identificar um site sem 3D secure em 2024 geralmente significa reconhecer um comerciante cujo prestador gerencia bem essas isenções, e não um site que contorna a segurança.
Pagamentos internacionais e a zona cinza das transações « one leg out »
A DSP2 se aplica a transações onde ambas as partes (banco do comprador e banco do comerciante) estão localizadas no Espaço Econômico Europeu. Quando apenas uma das duas partes está no EEE, falamos de transação « one leg out ».
Esses pagamentos não estão sujeitos às mesmas restrições de autenticação forte. Um comprador europeu que faz um pedido em uma plataforma hospedada fora do EEE pode, portanto, ver sua transação ser concluída sem qualquer desafio 3D Secure, sem que isso constitua uma infração.
Essa zona cinza é explorada por algumas plataformas com estrutura híbrida para reduzir a frequência das verificações. O comprador nem sempre é informado disso. A transferência de responsabilidade (liability shift) torna-se então confusa: em caso de fraude, determinar quem arca com o custo entre o banco emissor e o comerciante depende do quadro contratual de cada rede de cartões.
Para um consumidor, pagar em um site fora do EEE sem 3D Secure não significa comprar em um site pouco confiável. No entanto, a ausência de liability shift aumenta o risco em caso de litígio.
Riscos concretos de uma compra online sem autenticação forte
Comprar em um site que não aciona uma verificação 3D Secure pode parecer mais fluido. As consequências de um problema, no entanto, são diferentes das de um pagamento convencional.
Fraude e contestação
Sem autenticação forte, a prova de que o titular do cartão realmente iniciou a transação é mais difícil de estabelecer. Do lado do consumidor, o procedimento de contestação junto ao banco ainda é possível, mas os prazos de reembolso podem se alongar quando o comerciante não se beneficia da liability shift garantida pelo 3D Secure.
Proteção real do cartão de crédito
O protocolo 3DS 2 desempenhou um papel direto na redução da fraude em pagamentos online.
Um site que contorna sistematicamente o 3D Secure (e não apenas por meio de isenções legítimas) está fora do quadro regulatório europeu. Registrar seus dados bancários lá expõe a um risco aumentado de comprometimento dos dados do cartão.
Verificar a conformidade de um site de pagamento online sem 3DS
Nem todos os sites que não acionam uma verificação são iguais. Alguns elementos permitem avaliar se o comerciante opera dentro de um quadro conforme:
- O prestador de serviços de pagamento exibido (Stripe, Adyen, Mollie, etc.) é identificável na página de checkout. Os PSPs conformes à DSP2 gerenciam eles mesmos os pedidos de isenção junto ao banco emissor.
- O site exibe conformidade PCI DSS, visível em seus termos e condições de venda ou em sua política de privacidade. Essa norma regula o armazenamento e o processamento dos dados do cartão de crédito.
- A menção « pagamento seguro » sozinha não garante nada. Um cadeado na barra de endereço (certificado SSL) protege o trânsito dos dados, mas não indica a conformidade do comerciante com a DSP2.
Um comerciante legítimo que utiliza as isenções SCA não precisa esconder a ausência de 3D Secure. Ele simplesmente oferece um percurso de pagamento otimizado, no qual a autenticação é acionada apenas quando o banco emissor exige.
A busca por um site « sem 3D Secure » geralmente reflete uma frustração diante de falhas de pagamento ou verificações consideradas muito longas. A resposta não está em evitar o protocolo, mas em uma melhor gestão do lado do banco.
Verificar se seu aplicativo bancário está funcionando, se seu número de telefone está atualizado, ou solicitar a adição de um comerciante como beneficiário de confiança: são esses ajustes que tornam o pagamento online fluido sem abrir mão da segurança do cartão.
