3D Secure este protocolul prin care, la o plată online cu cardul, banca ta verifică faptul că tu ești cel care plătește, înainte ca tranzacția să fie aprobată. Îl recunoști ca pe fereastra sau notificarea care apare după ce ai introdus datele cardului pe site: îți cere să confirmi în aplicația băncii, cu amprenta sau cu un cod primit prin SMS. Confirmarea este o semnătură: aprobi o anumită sumă, către un anumit comerciant.
Articolul explică mecanismul din spatele acestui pas, situațiile în care nu ți se cere confirmarea, motivele pentru care uneori eșuează și ce nu poate face 3D Secure pentru tine. Pentru contextul general al protecției contului, pornește de la Securitatea bancară: ghid complet de protecție a banilor. Informațiile sunt generale; modul exact de confirmare și setările disponibile diferă de la o bancă la alta.
Ce este 3D Secure și de unde vine numele
3D Secure este un standard internațional de autentificare pentru plățile cu cardul făcute la distanță, adică fără ca acel card să fie prezent fizic la terminal. Numele vine de la cele trei „domenii” implicate: domeniul băncii emitente a cardului, domeniul băncii comerciantului și domeniul de interoperabilitate dintre ele, administrat de rețelele de carduri.
Versiunea actuală, cunoscută ca EMV 3-D Secure sau 3DS2, este dezvoltată de organismul tehnic al industriei cardurilor, EMVCo. Față de prima versiune, care deschidea o pagină separată unde introduceai o parolă statică, versiunea nouă transmite băncii mai multe informații despre tranzacție și dispozitiv și permite confirmarea direct în aplicația de mobile banking.
Legătura cu autentificarea strictă
În Uniunea Europeană, directiva privind serviciile de plată (PSD2) obligă băncile să aplice autentificarea strictă a clientului la majoritatea plăților electronice: două elemente independente din categoriile ceva ce știi, ceva ce ai și ceva ce ești. La plățile online cu cardul, 3D Secure este mecanismul prin care se face această autentificare. Legea română care transpune directiva este legea privind serviciile de plată, Legea nr. 209/2019.
Cine participă la o plată online confirmată
O plată online cu cardul implică mai mulți participanți decât pare. Fiecare are un rol în verificare, iar înțelegerea lor explică de ce uneori confirmarea apare, iar alteori nu.
| Participantul | Rolul în tranzacție |
|---|---|
| Tu, deținătorul cardului | introduci datele cardului și confirmi plata |
| Comerciantul | trimite cererea de plată și, prin procesator, datele pentru autentificare |
| Procesatorul de plăți al comerciantului | transmite cererea mai departe, în formatul standard |
| Rețeaua de carduri | direcționează cererea spre banca ta |
| Banca emitentă a cardului tău | analizează riscul, decide dacă cere confirmare și autorizează plata |
Decizia de a-ți cere sau nu confirmarea aparține, în principiu, băncii tale, pe baza informațiilor primite și a regulilor aplicabile. Comerciantul poate cere o excepție, dar banca o poate refuza.
Cum decurge confirmarea, pas cu pas
O plată online cu 3D Secure are, de regulă, următorii pași, chiar dacă unii se petrec în fundal, în mai puțin de o secundă.
- Introduci datele cardului pe pagina de plată a comerciantului.
- Comerciantul trimite cererea, împreună cu date despre tranzacție și despre dispozitiv.
- Banca ta evaluează riscul: suma, comerciantul, istoricul tău, dispozitivul.
- Dacă riscul este mic și se aplică o excepție, plata poate trece direct, fără să ți se ceară nimic. Acesta este fluxul fără fricțiune.
- Dacă banca cere confirmare, primești o provocare: notificare în aplicație, cod prin SMS, eventual împreună cu un cod sau o parolă. Acesta este fluxul cu provocare.
- După confirmare, banca autorizează plata, iar comerciantul primește rezultatul.
Metodele de confirmare
| Metoda | Cum funcționează | Ce trebuie să ai |
|---|---|---|
| Notificare în aplicația băncii | deschizi aplicația și aprobi cu biometrie sau cod | telefonul înrolat și aplicația activă |
| Cod unic prin SMS (OTP) | primești un cod valabil scurt timp și îl introduci pe pagină | numărul de telefon actualizat la bancă |
| Cod prin SMS plus parolă sau PIN static | combini codul cu un element pe care doar tu îl știi | ambele elemente |
| Dispozitiv token | generezi un cod pe un dispozitiv separat | dispozitivul fizic |
Metoda folosită depinde de bancă și de ce ai activat. Mulți clienți au ca metodă principală notificarea în aplicație, iar SMS-ul ca alternativă.
Când plata trece fără confirmare
Nu orice plată online îți cere confirmare, iar asta nu înseamnă automat că ceva nu este în regulă. Reglementarea europeană permite anumite excepții de la autentificarea strictă, iar unele tranzacții nici nu intră în obligația de autentificare.
Situațiile tipice:
- plăți de valoare mică, sub un prag stabilit de standardele tehnice europene, cu limite cumulate după care confirmarea redevine obligatorie;
- plăți recurente cu aceeași sumă către același comerciant, de exemplu un abonament, unde se confirmă de obicei prima plată;
- plăți inițiate de comerciant pe baza unui acord dat anterior de tine, cum sunt unele abonamente cu sumă variabilă;
- comercianți de încredere, pe care i-ai adăugat tu, dacă banca oferă această opțiune;
- analiza de risc a tranzacției, când banca sau procesatorul consideră riscul scăzut, în limitele permise;
- plăți cu cardul în afara Spațiului Economic European sau comenzi primite prin poștă ori telefon, unde regulile pot fi diferite.
Sfat: Dacă vezi pe extras o plată online pentru care nu ți s-a cerut nicio confirmare și pe care nu o recunoști, raport-o imediat băncii. Excepțiile de la confirmare nu îți iau dreptul de a contesta o plată neautorizată.
Ce citești pe ecran înainte să aprobi
Ecranul de confirmare îți arată, de regulă, suma, moneda și numele comerciantului; aceste trei informații trebuie să corespundă cu ce cumperi. Dacă diferă, nu aprobi, oricine ți-ar cere asta și oricât de grăbit ai fi.
Verificări în ordinea importanței:
- Suma și moneda: o plată de câțiva lei nu poate deveni o confirmare pentru o sumă mult mai mare. O monedă diferită de cea în care plătești poate indica un comerciant fals din altă țară; dacă plătești intenționat în valută, verifică și conversia, explicată în Cardul în străinătate: conversia valutară și capcana DCC.
- Comerciantul: numele afișat trebuie să aibă legătură cu site-ul pe care cumperi. Uneori numele juridic diferă de marca comercială, dar o diferență totală este un semnal de alarmă.
- Tipul operațiunii: o confirmare de plată nu este același lucru cu o confirmare de înrolare a unui dispozitiv sau de adăugare a cardului într-un portofel digital.
- Momentul: dacă primești o cerere de confirmare fără să fi inițiat tu o plată în acel moment, cineva încearcă să folosească datele cardului tău.
Atenție: Dacă un „cumpărător”, un „curier” sau un „angajat al băncii” îți cere să confirmi o notificare ca să primești bani sau să anulezi o plată, este fraudă. Confirmarea trimite bani de pe cardul tău, nu îi aduce. Schema este descrisă pe larg în Frauda pe site-urile de anunțuri: linkurile false de plată.
De ce eșuează confirmarea și ce poți face
Confirmarea poate eșua din motive tehnice banale, nu doar din cauza unei fraude. Tabelul de mai jos te ajută să identifici cauza înainte să apelezi la bancă.
| Problema | Cauza probabilă | Ce poți încerca |
|---|---|---|
| Nu primești SMS-ul | număr vechi la bancă, roaming, mesaje filtrate | verifici numărul în aplicație, încerci din nou mai târziu |
| Notificarea nu apare | aplicația nu este înrolată pe telefon sau are notificările oprite | deschizi manual aplicația și cauți cererea în așteptare |
| Ai schimbat telefonul | aplicația nu mai este legată de noul dispozitiv | refaci înrolarea prin procedura oficială a băncii |
| Pagina expiră | ai depășit timpul de confirmare | reiei plata de la început |
| Plata este refuzată după confirmare | limită depășită, card blocat pentru online, sold insuficient | verifici limitele și setările cardului |
Multe bănci permit blocarea plăților online din aplicație. Dacă le-ai blocat, confirmarea nu va ajuta; trebuie întâi să reactivezi opțiunea. Cum setezi aceste opțiuni afli în Limitele cardului: cum le setezi pentru plăți și retrageri.
Ce nu poate face 3D Secure
3D Secure confirmă că plata a fost aprobată de deținătorul cardului, dar nu poate judeca dacă acea plată este o idee bună. Limitele lui trebuie cunoscute, pentru că escrocii le exploatează.
- Nu te protejează de propria aprobare obținută prin manipulare. Dacă un escroc te convinge să confirmi, sistemul vede o plată legitimă.
- Nu verifică dacă magazinul este cinstit. Un site real poate să nu livreze produsul; problema se rezolvă prin contestație, nu prin autentificare.
- Nu acoperă plățile făcute fără card. Transferurile bancare se confirmă prin alte mecanisme ale aplicației.
- Nu înlocuiește atenția la datele cardului. Datele introduse pe un site fals pot fi folosite la comercianți care nu cer confirmare, dacă se încadrează într-o excepție.
Pentru cumpărăturile online frecvente, un card virtual cu limită mică reduce paguba posibilă dacă datele ajung unde nu trebuie. Dacă un comerciant nu livrează sau te taxează greșit, mecanismul potrivit este contestarea tranzacției.
Cum îți păstrezi confirmarea în siguranță
Confirmarea este cel mai solid filtru al plăților online doar dacă elementele ei rămân sub controlul tău. Câteva reguli simple contează mai mult decât orice setare avansată.
- nu dicta niciodată codul primit prin SMS și nu aproba notificări la cererea altcuiva;
- actualizează la bancă numărul de telefon înainte să îl schimbi;
- protejează aplicația cu un cod propriu și cu biometrie, conform ghidului despre Aplicația de mobile banking: setările de securitate esențiale;
- dacă îți pierzi telefonul, anunță banca, pentru că el este „ceva ce ai” în procesul de autentificare;
- tratează orice cerere de confirmare neașteptată ca pe o alarmă, nu ca pe o eroare de sistem.
Dacă bănuiești că datele cardului au fost furate, pentru că ai primit confirmări pe care nu le-ai cerut, citește și Phishingul bancar: cum recunoști mesajele false ale băncii, unde este explicat cum ajung de obicei datele în mâna escrocilor.
Lucrurile cele mai importante
3D Secure transformă fiecare plată online într-o operațiune pe care trebuie să o semnezi tu, de obicei din aplicația băncii. Este un filtru eficient împotriva folosirii datelor furate, dar nu poate opri o aprobare pe care o dai sub presiune sau din grabă. Citește suma, moneda și comerciantul de fiecare dată și nu confirma nimic la cererea altcuiva.
De reținut:
- banca ta decide dacă cere sau nu confirmarea;
- unele plăți trec legal fără confirmare, prin excepții;
- confirmarea trimite bani, nu îi primește;
- o cerere de confirmare neașteptată înseamnă că datele cardului sunt folosite de altcineva;
- problemele tehnice țin adesea de numărul de telefon sau de înrolarea aplicației.
Întrebări frecvente
De ce unele plăți online nu îmi cer confirmare?
Pentru că reglementarea europeană permite excepții, de exemplu pentru plăți de valoare mică, abonamente cu aceeași sumă sau tranzacții considerate cu risc scăzut. Decizia finală aparține băncii tale.
Ce fac dacă primesc o cerere de confirmare pentru o plată pe care n-am făcut-o?
Nu aprobi și anunți banca imediat, eventual blocând temporar cardul din aplicație. Este un semn clar că datele cardului sunt folosite de altcineva.
Pot plăti online dacă nu am aplicația băncii?
De obicei da, prin cod primit prin SMS sau prin altă metodă oferită de bancă. Verifică în contract sau la bancă ce metode de confirmare ai activate.
Este 3D Secure același lucru cu codul CVV?
Nu. CVV este codul tipărit pe card, pe care îl introduci pe site, în timp ce 3D Secure este pasul separat prin care banca îți cere confirmarea, în aplicație sau prin SMS.
Am confirmat o plată la un magazin care nu a livrat. Mai pot face ceva?
Da, poți încerca o contestație prin bancă, pe motiv de produs nelivrat. Faptul că ai confirmat plata nu exclude acest drept, dar rezultatul depinde de dovezi și de regulile rețelei de carduri.
