3-D Secure

En el protocolo 3-D Secure, el servidor de control de acceso (ACS) se encuentra en el lado del emisor de la tarjeta. Actualmente, la mayoría de los emisores de tarjetas subcontratan el ACS a un tercero. Por lo general, el navegador web del comprador muestra el nombre de dominio del proveedor del ACS, en lugar del del emisor de la tarjeta; sin embargo, esto no es un requisito del protocolo. Dependiendo del proveedor del ACS, es posible especificar un nombre de dominio propiedad del emisor de la tarjeta para que lo utilice el ACS.

Cada transacción de 3-D Secure versión 1 implica dos pares de solicitud/respuesta de Internet: VEReq/VERes y PAReq/PARes. ^{[ 9 ]} Visa y Mastercard no permiten que los comercios envíen solicitudes directamente a sus servidores. En su lugar, los comercios deben utilizar proveedores de MPI ( complemento para comercios ).

El sistema consiste en una ventana emergente o un marco integrado que aparece durante el proceso de transacción en línea, solicitando al titular de la tarjeta que introduzca una contraseña que, si la transacción es legítima, su emisor de tarjeta podrá autenticar. El problema para el titular de la tarjeta radica en determinar si la ventana emergente o el marco provienen realmente de su emisor de tarjeta, ya que podrían ser de un sitio web fraudulento que intenta robar sus datos. Dichas ventanas emergentes o marcos basados ​​en scripts carecen de acceso a ningún certificado de seguridad, lo que imposibilita la confirmación de la implementación de 3-D Secure.

El sistema Verified by Visa ha recibido algunas críticas, ^{[ 13 ] [ 14 ] [ 15 ] [ 8 ]} ya que a los usuarios les resulta difícil diferenciar entre la ventana emergente o el marco integrado legítimo de Verified by Visa y un sitio de phishing fraudulento. Esto se debe a que la ventana emergente se sirve desde un dominio que es:

• No es el sitio donde el usuario está comprando.
• No es el emisor de la tarjeta
• Ni visa.com ni mastercard.com

En algunos casos, el sistema Verified by Visa ha sido confundido por los usuarios con una estafa de phishing ^{[ 16 ]} y se ha convertido en blanco de algunas estafas de phishing. ^{[ 17 ]} La ​​recomendación más reciente de usar un marco en línea ( iframe ) en lugar de una ventana emergente ha reducido la confusión del usuario, a costa de dificultar, si no imposibilitar, que el usuario verifique que la página es genuina. A partir de 2022Los navegadores web no ofrecen una forma de verificar el certificado de seguridad del contenido de un iframe. Sin embargo, algunas de estas preocupaciones sobre la validez del sitio para Verified by Visa se mitigan, ya que su implementación actual del proceso de registro requiere ingresar un mensaje personal que se muestra en ventanas emergentes posteriores de Verified by Visa para brindar al usuario cierta seguridad de que las ventanas emergentes son auténticas. ^{[ 18 ]}

Algunos emisores de tarjetas también utilizan la activación durante la compra (ADS, por sus siglas en inglés) ^{[ 19 ]} , en la que a los titulares de tarjetas que no están registrados en el sistema se les ofrece la oportunidad de registrarse (o se les obliga a hacerlo) durante el proceso de compra. Esto normalmente los lleva a un formulario en el que se espera que confirmen su identidad respondiendo preguntas de seguridad que deberían conocer su emisor de la tarjeta. Nuevamente, esto se hace dentro de un iframe donde no pueden verificar fácilmente el sitio al que están proporcionando esta información; un sitio web pirateado o un comerciante ilegítimo podría de esta manera recopilar todos los datos que necesita para hacerse pasar por el cliente.

Implementation of 3-D Secure sign-up will often not allow a user to proceed with a purchase until they have agreed to sign up to 3-D Secure and its terms and conditions, not offering any alternative way of navigating away from the page than closing it, thus abandoning the transaction.

Cardholders who are unwilling to take the risk of registering their card during a purchase, with the commerce site controlling the browser to some extent, can in some cases go to their card issuer's website in a separate browser window and register from there. When they return to the commerce site and start over they should see that their card is registered. The presence on the password page of the personal assurance message (PAM) that they chose when registering is their confirmation that the page is coming from the card issuer. This still leaves some possibility of a man-in-the-middle attack if the cardholder cannot verify the TLS/SSL server certificate for the password page. Some commerce sites will devote the full browser page to the authentication rather than using a frame (not necessarily an iframe), which is a less secure object. In this case, the lock icon in the browser should show the identity of either the card issuer or the operator of the verification site. The cardholder can confirm that this is in the same domain that they visited when registering their card if it is not the domain of their card issuer.

Mobile browsers present particular problems for 3-D Secure due to the common lack of certain features such as frames and pop-ups. Even if the merchant has a mobile website, unless the issuer is also mobile-aware, the authentication pages may fail to render properly, or even at all. In the end, many analysts have concluded that the activation-during-shopping (ADS) protocols invite more risk than they remove and furthermore transfer this increased risk to the consumer.

In some cases, 3-D Secure ends up providing little security to the cardholder, and can act as a device to pass liability for fraudulent transactions from the card issuer or retailer to the cardholder. Legal conditions applied to the 3-D Secure service are sometimes worded in a way that makes it difficult for the cardholder to escape liability from fraudulent transactions.^[8]

Los emisores de tarjetas y los comercios pueden utilizar los sistemas 3-D Secure de forma desigual con respecto a los emisores que emiten tarjetas en varias ubicaciones geográficas, creando diferencias, por ejemplo, entre las tarjetas emitidas en Estados Unidos y las emitidas fuera de Estados Unidos. Por ejemplo, dado que Visa y Mastercard consideran el territorio no incorporado de Puerto Rico como una ubicación internacional fuera de Estados Unidos, en lugar de una ubicación nacional en Estados Unidos, los titulares de tarjetas allí pueden enfrentar una mayor incidencia de consultas 3-D Secure que los titulares de tarjetas en los cincuenta estados. El Departamento de Asuntos del Consumidor de Puerto Rico ha recibido quejas al respecto en su sitio web sobre discriminación económica por "igualdad de trato". ^{[ 20 ]}

La versión 2 de 3-D Secure, que incorpora códigos de acceso de un solo uso, es una forma de autenticación reforzada del cliente basada en software , tal como se define en la Directiva revisada de la UE sobre servicios de pago (PSD2) ; las variantes anteriores utilizaban contraseñas estáticas, que no son suficientes para cumplir con los requisitos de la directiva.

El sistema 3-D Secure requiere la participación activa del emisor para garantizar que el titular registre cualquier tarjeta emitida; por lo tanto, las entidades adquirentes deben aceptar tarjetas no registradas sin realizar una autenticación reforzada del cliente o rechazar dichas transacciones, incluidas las de redes de tarjetas más pequeñas que no cuentan con implementaciones de 3-D Secure.

Los enfoques alternativos realizan la autenticación en el lado del adquirente, sin requerir una inscripción previa con el emisor. Por ejemplo, la "verificación" patentada de PayPal ^{[ 21 ]} utiliza una o más transacciones ficticias dirigidas a una tarjeta de crédito, y el titular de la tarjeta debe confirmar el valor de estas transacciones, aunque la autenticación resultante no puede relacionarse directamente con una transacción específica entre el comerciante y el titular de la tarjeta. Un sistema patentado ^{[ 22 ]} llamado iSignthis divide el monto acordado de la transacción en dos (o más) cantidades aleatorias, y el titular de la tarjeta luego demuestra que es el propietario de la cuenta confirmando los montos en su extracto. ^{[ 23 ]}

Una propuesta para hacer obligatorio el sistema 3-D Secure en Australia fue bloqueada por la Comisión Australiana de Competencia y Consumo (ACCC) tras recibir numerosas objeciones y alegaciones de fallos. ^{[ 24 ]} En septiembre de 2025, la ACCC autorizó la migración al sistema mejorado. ^{[ 25 ]}

Algunos países, como India, no solo utilizan CVV2, sino que también exigen 3-D Secure, un código SMS enviado por el emisor de la tarjeta que se introduce en el navegador al hacer clic en "comprar" y redirigir al usuario al sitio web del sistema de pago o del emisor de la tarjeta. Solo entonces se acepta la operación. No obstante, Amazon aún puede realizar transacciones desde otros países con 3-D Secure activado. ^{[ 26 ]}