Che cos’è 3D Secure? Come protegge i tuoi pagamenti online?

Ogni volta che confermi un acquisto online dal telefono, che sia tramite SMS, notifica dell’app della banca o impronta digitale, stai passando da un protocollo chiamato 3D Secure. È lo standard richiesto dalla normativa europea per autenticare il reale titolare della carta in ogni operazione su internet, e negli ultimi anni è diventato la principale barriera contro le frodi nei pagamenti online.

Che cos’è il protocollo 3D Secure

3D Secure (Three-Domain Secure, o “3 domini sicuri”) è un protocollo di sicurezza che verifica l’identità del titolare di una carta durante un acquisto online. La sua funzione è garantire che chi inserisce i dati della carta sia davvero il proprietario, e non un terzo che li ha ottenuti tramite furto, fuga di dati o clonazione.

Il protocollo è stato sviluppato originariamente da Visa (con il marchio Verified by Visa, oggi Visa Secure) e Mastercard (con SecureCode, oggi Mastercard Identity Check), anche se American Express e JCB hanno le proprie versioni. Tutti condividono la stessa base tecnica: comunicazione tra tre parti (il commerciante, la banca emittente della carta e il circuito di pagamento) per autenticare l’operazione prima di approvarla.

Con l’entrata in vigore della Direttiva europea PSD2 e del requisito di Autenticazione Forte del Cliente (SCA), 3D Secure ha smesso di essere una raccomandazione ed è diventato obbligatorio per la maggior parte degli acquisti online all’interno dello Spazio Economico Europeo dal 31 dicembre 2020.

Come funziona un acquisto con 3D Secure

Il processo avviene in pochi secondi e di solito è invisibile per l’acquirente quando tutto va bene. Il flusso standard è questo.

1. Inserisci i dati della carta sul sito del commerciante (numero, scadenza e CVV).
2. Il commerciante invia la richiesta di pagamento al circuito della carta (Visa, Mastercard o altro).
3. Il circuito verifica con la banca emittente se l’operazione richiede un’autenticazione forte.
4. Se necessario, la banca richiede una conferma aggiuntiva al titolare. Può essere un SMS con codice, una notifica nell’app bancaria da approvare con impronta o riconoscimento facciale, oppure una combinazione di password e codice temporaneo.
5. Una volta confermata l’identità, il pagamento viene elaborato. Se l’acquirente non supera l’autenticazione, l’operazione viene rifiutata.

Questa doppia validazione (qualcosa che possiedi, come il telefono, più qualcosa che sai o qualcosa che sei, come un’impronta digitale) dà forma al concetto di autenticazione forte richiesto dalla normativa europea sui servizi di pagamento.

L’evoluzione da 3DS 1 a 3DS 2

La prima versione del protocollo, nota come 3D Secure 1, è entrata in uso all’inizio degli anni 2000. Era funzionale, ma chiedeva sempre una password fissa che molti utenti dimenticavano, obbligava ad aprire finestre pop-up che interrompevano il flusso di acquisto e provocava tassi elevati di abbandono del carrello. Inoltre, il titolare doveva registrarsi in anticipo al servizio della banca per poterlo utilizzare.

3D Secure 2 (3DS2) ha risolto questi problemi. Utilizza un’autenticazione basata sul rischio: banca e commerciante si scambiano una quantità molto più ampia di dati contestuali (dispositivo, posizione, storico degli acquisti, modello di comportamento) per decidere se l’operazione è abbastanza sicura da essere approvata senza frizione. La maggior parte degli acquisti con 3DS2 si completa tramite un flusso frictionless, in cui l’utente non si accorge nemmeno di essere stato autenticato.

Solo quando il sistema rileva segnali di rischio (acquisto da un nuovo dispositivo, importo elevato, commerciante poco abituale) si attiva la richiesta di conferma aggiuntiva sul telefono. Questa richiesta non avviene più in una finestra pop-up separata, ma all’interno della stessa interfaccia del commerciante, con la possibilità di usare la biometria (impronta, volto) oltre all’SMS o al codice nell’app. 3DS2 è lo standard in vigore in Europa dalla fine del 2020. La vecchia versione è stata dismessa.

Vantaggi del pagamento con 3D Secure

Per l’acquirente, 3D Secure offre vantaggi concreti. Il primo è la riduzione diretta del rischio di frode: anche se qualcuno ha i dati della tua carta, non può completare l’acquisto senza avere anche accesso al tuo telefono o alla tua biometria. Il secondo è lo spostamento della responsabilità. Se un’operazione autenticata con 3DS risulta fraudolenta, la responsabilità economica ricade sulla banca emittente, non sul titolare. Senza autenticazione forte, contestare un addebito non autorizzato è più complesso e dipende maggiormente dalla disponibilità dell’emittente.

3D Secure 2 riduce anche i rifiuti legittimi. L’autenticazione basata sul rischio evita il blocco ingiustificato di acquisti validi, frequente con il vecchio protocollo, e tutte le operazioni vengono registrate con un identificativo di autenticazione che facilita i reclami se qualcosa va storto.

Detto questo, 3D Secure protegge l’operazione di pagamento, ma non verifica che il venditore spedisca il prodotto né che rispetti le condizioni concordate. Prima di inserire i dati della carta, ha ancora senso controllare i segnali che identificano un e-commerce affidabile, soprattutto in negozi nuovi o con prezzi molto inferiori al mercato.

Per il commerciante, l’implementazione di 3DS2 significa meno frodi, un tasso di chargeback più basso e una migliore conversione rispetto al vecchio protocollo, grazie al flusso frictionless che approva senza frizione la maggior parte delle operazioni abituali.

Come si applica alle carte prepagate

Le carte prepagate con licenza Visa o Mastercard emesse nello Spazio Economico Europeo funzionano con 3D Secure come tutte le altre carte. La differenza è che combinano la sicurezza del protocollo con la protezione aggiuntiva tipica del modello prepagato: si può spendere solo il saldo caricato, quindi anche se un’operazione venisse completata per errore, la perdita massima sarebbe ciò che era disponibile sulla carta in quel momento.

In Bitsa, ogni acquisto online passa da 3D Secure con conferma nell’app prima di essere addebitato sul saldo. Il titolare riceve una notifica in tempo reale e deve approvare l’operazione dal telefono. La carta virtuale, particolarmente utile per acquisti occasionali o per separare le spese per categoria, applica lo stesso protocollo della carta fisica.

Questa combinazione tra carta prepagata e 3D Secure è particolarmente utile per gestire gli abbonamenti digitali, dove il saldo controllato impedisce addebiti superiori al previsto. Se i tuoi abbonamenti tendono a sfuggirti di mano, avere una carta con un saldo specifico fissa un limite reale, e la protezione 3DS aggiunge un ulteriore livello di sicurezza all’insieme.

Per rafforzare la sicurezza generale della carta oltre al protocollo stesso, conviene attivare l’autenticazione a due fattori sull’account e controllare spesso i movimenti. Queste e altre raccomandazioni sono raccolte nella guida su come proteggere il tuo denaro con le carte prepagate Bitsa.

3D Secure è passato da raccomandazione tecnica a obbligo legale in tutta l’Unione Europea. La sua versione attuale funziona in background per la maggior parte del tempo e compare solo quando il sistema rileva segnali di rischio. Per l’utente, questa combinazione di sicurezza automatica e conferma quando serve è ciò che ha permesso ai pagamenti online di crescere senza che le frodi aumentassero allo stesso ritmo.

Domande frequenti

Che cos’è 3D Secure in poche parole?
3D Secure è un protocollo di sicurezza che verifica l’identità del titolare di una carta a ogni acquisto online. Combina i dati della carta con un secondo fattore di autenticazione (codice SMS, approvazione nell’app bancaria, impronta o riconoscimento facciale) per confermare che chi sta pagando sia davvero il proprietario.

In quali acquisti si applica 3D Secure?
Nello Spazio Economico Europeo, la normativa PSD2 impone l’autenticazione forte nella maggior parte dei pagamenti elettronici a distanza. Esistono eccezioni definite, come acquisti sotto i 30 euro, alcuni pagamenti ricorrenti o transazioni indicate dall’emittente come a basso rischio. Al di fuori di questi casi, la doppia autenticazione con 3D Secure è la regola.

Posso disattivare 3D Secure sulla mia carta?
Non in modo generale. Essendo un obbligo normativo in Europa, gli emittenti non permettono al titolare di disattivarlo per tutte le operazioni. Puoi però gestire come ricevi l’autenticazione (SMS, app, biometria) dalle impostazioni della tua banca o del tuo fornitore di carta.

Cosa succede se non ricevo l’SMS o la notifica per autenticare?
L’operazione viene rifiutata per mancata autenticazione. Controlla che il tuo numero di telefono e la tua email siano aggiornati nell’app dell’emittente, che ci sia copertura e che l’app bancaria sia installata. Se il problema persiste, contatta il fornitore per verificare i canali di autenticazione configurati.

3D Secure protegge dal phishing?
Protegge dall’uso fraudolento dei dati della tua carta, ma non dal phishing in sé. Se finisci su un sito falso che imita un commerciante reale e inserisci i tuoi dati, l’attaccante può provare a usare la carta in un altro negozio. 3D Secure bloccherà il pagamento se non può autenticarsi al tuo posto. La vera protezione dal phishing inizia dall’identificare correttamente il sito prima di inserire i dati.

Le carte prepagate hanno 3D Secure?
Sì. Le carte prepagate con licenza Visa o Mastercard emesse nello Spazio Economico Europeo applicano 3D Secure nelle stesse condizioni delle carte di debito o di credito. In Bitsa, tutti gli acquisti online vengono validati tramite 3D Secure con conferma dall’app prima di essere addebitati sul saldo.