Что это такое
3D Secure — это протокол дополнительной аутентификации держателя карты, разработанный международными платёжными системами (Visa, Mastercard, МИР) для подтверждения личности покупателя при онлайн-оплате. Простыми словами: когда клиент вводит данные карты на сайте, банк-эмитент просит его подтвердить операцию — через SMS-код, push-уведомление в банковском приложении или биометрию.
Название «3D» расшифровывается как Three Domain Secure — три домена, между которыми происходит обмен данными:
1. Домен эмитента — банк, выпустивший карту.
2. Домен эквайера — банк или платёжный провайдер, обслуживающий магазин.
3. Домен платёжной системы — Visa, Mastercard, МИР (инфраструктура, связывающая первые два).
Технология появилась в 1999 году (Visa Secure, ранее Verified by Visa), а с 2019 года действует версия 3D Secure 2 (3DS2), которая работает незаметно для большинства клиентов и соответствует требованиям директивы PSD2 в Европе и правилам ЦБ РФ по снижению мошенничества.
Аналогия
Представьте, что вы расплачиваетесь картой в офлайн-магазине. Продавец может просто провести карту — и всё. А может попросить паспорт и сверить подпись. 3D Secure — это тот самый «паспортный контроль» в онлайне: магазин уже получил номер карты, но банк дополнительно убеждается, что платит именно владелец, а не мошенник с украденными данными.
Второй образ: это как второй замок на двери. Один замок — данные карты. Второй — одноразовый код или отпечаток пальца. Взломать оба одновременно злоумышленнику гораздо сложнее.
Формула
Экономический эффект от 3D Secure для магазина описывается так:
Чистая выгода = (Снижение фрода × Средний чек) − (Потери на конверсии × Средний чек)
Пример с реальными цифрами:
- Средний чек интернет-магазина: 8 500 ₽
- Доля мошеннических заказов без 3DS: 1,2 %
- Доля мошеннических заказов с 3DS: 0,3 %
- Падение конверсии из-за дополнительного шага: 4 % (в 3DS2 — около 1–2 %)
Экономия на фроде = (1,2 % − 0,3 %) × 8 500 ₽ = 76,5 ₽ с заказа Потери на конверсии = 4 % × 8 500 ₽ = 340 ₽ с заказа
Вывод: если у вас высокий уровень фрода (цифровые товары, подарочные карты, крипта), 3DS окупается. Если фрод низкий, а чек большой — потери на конверсии могут перевесить. Поэтому в 3DS2 банк сам решает, запрашивать ли подтверждение (frictionless flow) или нет.
Сравнение версий
| Параметр | 3D Secure 1 | 3D Secure 2 |
|---|---|---|
| Год запуска | 1999 | 2019 |
| Интерфейс | Перенаправление на страницу банка | Встроен в приложение/сайт |
| Подтверждение | SMS-код | Биометрия, push, SMS, Face ID |
| Данные для анализа | Минимум | 150+ параметров (устройство, геолокация, история) |
| Frictionless flow | Нет | Да, до 90 % операций |
| Падение конверсии | 10–15 % | 1–3 % |
| Поддержка мобильных SDK | Ограниченная | Полная (iOS, Android) |
| Соответствие PSD2/SCA | Частичное | Полное |
Где применяется в DTC и e-commerce
1. Подписочные сервисы. При первой оплате банк запрашивает 3DS, дальше списания проходят без подтверждения (MIT — Merchant Initiated Transaction). Это критично для DTC-брендов с recurring-моделью.
2. Высокорисковые категории. Цифровые товары, БАДы, товары для взрослых, криптообменники — здесь 3DS снижает chargeback rate с 2–3 % до 0,5 %.
3. Международные платежи. При оплате из другой страны 3DS2 передаёт данные о поездке и устройстве, что снижает ложные отказы на 20–30 %.
4. Маркетплейсы и BNPL. Сервисы рассрочки (Долями, Подели) используют 3DS для верификации при первом заказе.
5. Мобильные приложения. Через SDK 3DS2 подтверждение происходит внутри приложения — без переключения в браузер, что сохраняет до 8 % конверсии.
Частые заблуждения
Миф 1: «3D Secure убивает конверсию».
В эпоху 3DS1 — да, потери достигали 15 %. В 3DS2 при правильной настройке (передача device fingerprint, whitelisting) до 90 % транзакций проходят без дополнительного шага.
Миф 2: «Если включить 3DS, chargeback исчезнут».
Нет. 3DS перекладывает ответственность за фрод на банк-эмитент (liability shift), но не защищает от chargeback по причине «товар не получен» или «не соответствует описанию».
Миф 3: «3DS обязателен для всех».
В России — не всегда. Для карт МИР и при оплате внутри РФ правила мягче. В ЕС по PSD2 — обязателен для большинства операций свыше €30 (с исключениями для low-risk).
Миф 4: «Чем больше проверок, тем безопаснее».
Избыточные проверки раздражают лояльных клиентов и увеличивают abandoned cart. Оптимально — риск-скоринг + выборочный 3DS.
Связанные термины
- SCA (Strong Customer Authentication) — требование PSD2, которое реализуется через 3DS2.
- Liability Shift — переход ответственности за фрод от магазина к банку после успешного 3DS.
- Frictionless Flow — сценарий 3DS2 без ввода кода.
- Challenge Flow — сценарий с запросом подтверждения.
- MIT (Merchant Initiated Transaction) — списание без участия клиента (подписки).
- Chargeback — возврат платежа по инициативе держателя.
- PCI DSS — стандарт безопасности платёжных данных.
- Exemption — исключение из SCA (например, для малых сумм).