¿Qué es 3D Secure? ¿Cómo protege tus pagos online?

Cada vez que confirmas una compra online desde tu móvil, ya sea con un SMS, una notificación de la app del banco o la huella digital, estás pasando por un protocolo llamado 3D Secure. Es el estándar que la normativa europea exige para autenticar al titular real de la tarjeta en cada operación por internet, y en los últimos años se ha convertido en la principal barrera contra el fraude en pagos online.

Qué es el protocolo 3D Secure

3D Secure (Three-Domain Secure, o «3 Dominios Seguros») es un protocolo de seguridad que verifica la identidad del titular de una tarjeta durante una compra online. Su función es garantizar que quien introduce los datos de la tarjeta es realmente el propietario, y no un tercero que los haya conseguido por robo, filtración o clonación.

El protocolo lo desarrollaron originalmente Visa (bajo la marca Verified by Visa, hoy Visa Secure) y Mastercard (con SecureCode, hoy Mastercard Identity Check), aunque American Express y JCB también tienen sus versiones. Todos comparten la misma base técnica: comunicación entre tres partes (el comercio, el banco emisor de la tarjeta y la red de pagos) para autenticar la operación antes de aprobarla.

Con la entrada en vigor de la Directiva europea PSD2 y el requisito de Autenticación Reforzada del Cliente (SCA), 3D Secure ha dejado de ser una recomendación para convertirse en obligación en la mayoría de compras online dentro del Espacio Económico Europeo desde el 31 de diciembre de 2020.

Cómo funciona una compra con 3D Secure

El proceso ocurre en segundos y suele ser invisible para el comprador cuando todo va bien. El flujo estándar es el siguiente.

1. Introduces los datos de tu tarjeta en la web del comercio (número, caducidad y CVV).
2. El comercio envía la petición de pago a la red de la tarjeta (Visa, Mastercard u otra).
3. La red comprueba con el banco emisor si la operación necesita autenticación reforzada.
4. Si es necesario, el banco solicita una confirmación adicional al titular. Puede ser un SMS con código, una notificación en la app bancaria para aprobar con huella o cara, o una combinación de contraseña y código temporal.
5. Una vez confirmada la identidad, el pago se procesa. Si el comprador no supera la autenticación, la operación se rechaza.

Esta doble validación (algo que tienes, como el móvil, más algo que sabes o algo que eres, como una huella) es lo que da forma al concepto de autenticación reforzada exigido por la normativa europea de servicios de pago.

La evolución de 3DS 1 a 3DS 2

La primera versión del protocolo, conocida como 3D Secure 1, entró en circulación a comienzos de los 2000. Era funcional pero pedía siempre una contraseña fija que muchos usuarios olvidaban, obligaba a abrir ventanas emergentes que rompían el flujo de compra y provocaba tasas altas de abandono del carrito. Además, el titular tenía que registrarse previamente en el servicio del banco para poder usarlo.

3D Secure 2 (3DS2) resolvió esos problemas. Utiliza autenticación basada en riesgo: el banco y el comercio intercambian una cantidad mucho mayor de datos contextuales (dispositivo, ubicación, historial de compras, patrón de comportamiento) para decidir si la operación es lo bastante segura como para aprobarse sin fricción. La mayoría de las compras con 3DS2 se completan por un flujo frictionless en el que el usuario ni siquiera nota que ha sido autenticado.

Solo cuando el sistema detecta señales de riesgo (compra desde un dispositivo nuevo, monto alto, comercio poco habitual) se activa la petición de confirmación adicional al móvil. Y esa petición ya no ocurre en una ventana emergente separada, sino dentro de la propia interfaz del comercio, con opción de biometría (huella, cara) además del SMS o del código en la app. 3DS2 es el estándar en vigor en Europa desde finales de 2020. La versión antigua ha quedado descontinuada.

Ventajas del pago con 3D Secure

Para el comprador, 3D Secure aporta ventajas concretas. La primera es la reducción directa del riesgo de fraude: aunque alguien tenga los datos de tu tarjeta, no puede completar la compra sin acceso también a tu móvil o a tu biometría. La segunda es el traslado de responsabilidad. Si una operación autenticada con 3DS resulta fraudulenta, la responsabilidad económica recae en el banco emisor, no en el titular. Sin autenticación reforzada, la reclamación de un cargo no autorizado es más compleja y depende más de la buena voluntad del emisor.

3D Secure 2 también reduce los rechazos legítimos. La autenticación basada en riesgo evita el bloqueo indebido de compras válidas que era habitual con el protocolo antiguo, y todas las operaciones quedan registradas con un identificador de autenticación que facilita las reclamaciones si algo sale mal.

Ahora bien, 3D Secure protege la operación de pago, pero no verifica que el vendedor cumpla con el envío ni con las condiciones acordadas. Antes de introducir los datos de la tarjeta sigue teniendo sentido revisar las señales que identifican un comercio electrónico fiable, especialmente en tiendas nuevas o con precios muy por debajo de mercado.

Para el comercio, la implementación de 3DS2 significa menos fraude, menor tasa de contracargos y mejor conversión frente al protocolo antiguo, gracias al flujo frictionless que aprueba sin fricción la mayoría de operaciones habituales.

Cómo se aplica en las tarjetas prepago

Las tarjetas prepago con licencia Visa o Mastercard emitidas en el Espacio Económico Europeo funcionan con 3D Secure como el resto de tarjetas. La diferencia es que combinan la seguridad del protocolo con la protección adicional propia del modelo prepago: solo se puede gastar el saldo cargado, así que aunque una operación llegara a completarse por error, la pérdida máxima es lo que hubiera en la tarjeta en ese momento.

En Bitsa, cada compra online pasa por 3D Secure con confirmación en la app antes de cargarse en el saldo. El titular recibe una notificación en tiempo real y debe aprobar la operación desde el móvil. La tarjeta virtual, útil especialmente para compras puntuales o para separar el gasto por categorías, aplica el mismo protocolo que la física.

Esta combinación de tarjeta prepago con 3D Secure resulta especialmente útil para gestionar las suscripciones digitales, donde el saldo controlado impide cargos por encima de lo previsto. Si tus suscripciones tienden a crecer sin control, tener una tarjeta con saldo específico marca un límite real, y la protección 3DS añade una capa adicional al conjunto.

Para reforzar la seguridad general de la tarjeta más allá del propio protocolo, conviene activar la autenticación de dos factores en la cuenta y revisar los movimientos con frecuencia. Estas y otras recomendaciones están recogidas en la guía sobre cómo proteger tu dinero con las tarjetas prepago de Bitsa.

3D Secure ha pasado de recomendación técnica a obligación legal en toda la Unión Europea. Su versión actual funciona en segundo plano la mayor parte del tiempo y solo aparece cuando el sistema detecta señales de riesgo. Para el usuario, esa combinación de seguridad automática con confirmación cuando hace falta es lo que ha permitido que los pagos online crezcan sin que el fraude aumente al mismo ritmo.

Preguntas frecuentes

¿Qué es 3D Secure en pocas palabras?
3D Secure es un protocolo de seguridad que verifica la identidad del titular de una tarjeta en cada compra online. Combina los datos de la tarjeta con un segundo factor de autenticación (código SMS, aprobación en la app bancaria, huella o cara) para confirmar que quien está pagando es realmente el propietario.

¿En qué compras se aplica 3D Secure?
En el Espacio Económico Europeo, la normativa PSD2 obliga a aplicar autenticación reforzada en la mayoría de pagos electrónicos remotos. Hay excepciones tasadas, como compras por debajo de 30 euros, ciertos pagos recurrentes o transacciones marcadas como de bajo riesgo por el emisor. Fuera de esos casos, la doble autenticación con 3D Secure es la regla.

¿Puedo desactivar 3D Secure en mi tarjeta?
No de forma general. Al ser una obligación regulatoria en Europa, los emisores no permiten al titular desactivarlo para todas las operaciones. Sí puedes gestionar cómo recibes la autenticación (SMS, app, biometría) desde la configuración de tu banco o tu proveedor de tarjeta.

¿Qué pasa si no recibo el SMS o la notificación para autenticar?
La operación se rechaza por falta de autenticación. Comprueba que tu número de móvil y tu email están actualizados en la app del emisor, que tienes cobertura y que la app bancaria está instalada. Si el problema persiste, contacta con el proveedor para revisar los canales de autenticación configurados.

¿3D Secure protege contra el phishing?
Protege contra el uso fraudulento de los datos de tu tarjeta, pero no contra el phishing en sí. Si caes en una web falsa que imita a un comercio real e introduces tus datos, el atacante puede intentar usar la tarjeta en otra tienda; 3D Secure bloqueará el pago si no puede autenticarte. La protección real contra el phishing empieza por identificar bien la web antes de introducir los datos.

¿Las tarjetas prepago tienen 3D Secure?
Sí. Las tarjetas prepago con licencia Visa o Mastercard emitidas en el Espacio Económico Europeo aplican 3D Secure en las mismas condiciones que las de débito o crédito. En Bitsa, todas las compras online se validan mediante 3D Secure con confirmación desde la app antes de cargarse en el saldo.