3-D Secure

Summary

O 3-D Secure (3DS) é um protocolo de segurança utilizado em pagamentos online com cartões bancários, desenvolvido para autenticar o titular do cartão e reduzir o risco de fraude em transações não presenciais (Card-Not-Present – CNP).

Como funciona?

  1. O cliente inicia uma compra online e introduz os dados do cartão.
  2. O comerciante (através do seu sistema de pagamentos) inicia um pedido de autenticação 3-D Secure.
  3. O pedido é encaminhado para o banco emissor do cartão através da infraestrutura da rede de pagamento.
  4. O banco analisa os dados da transação e avalia o risco de fraude.
  5. Se necessário, solicita uma autenticação adicional ao cliente, como um código SMS, confirmação na aplicação bancária ou autenticação biométrica.
  6. O banco devolve o resultado da autenticação ao sistema de pagamentos.
  7. A transação prossegue para o processo de autorização do pagamento.

Para que serve?

  • Autenticação do titular: permite verificar se quem está a realizar a compra é efetivamente o titular do cartão.
  • Prevenção de fraude: reduz o risco de utilização não autorizada de cartões em compras online.
  • Autenticação multifator (MFA): permite utilizar diferentes fatores de autenticação, como algo que o utilizador sabe, possui ou é.
  • Análise de risco: permite ao banco avaliar informações sobre a transação, o dispositivo e o comportamento do utilizador.
  • Segurança dos pagamentos: acrescenta uma camada de segurança às transações financeiras realizadas pela Internet.

Exemplo prático

Imagina que um cliente pretende comprar um produto numa loja online por 100 € utilizando um cartão Visa.

  1. O cliente introduz os dados do cartão na página de pagamento.
  2. A loja online inicia um pedido de autenticação 3-D Secure.
  3. O pedido é encaminhado para o banco emissor do cartão.
  4. O banco analisa a transação e identifica a necessidade de autenticação adicional.
  5. O cliente recebe uma notificação na aplicação bancária para confirmar a operação através de autenticação biométrica.
  6. O banco valida a identidade do cliente e devolve uma resposta de autenticação bem-sucedida.
  7. A transação segue para autorização e, caso seja aprovada, o pagamento é concluído.

O que torna o 3-D Secure seguro?

  • Comunicação cifrada: utiliza mecanismos como TLS para proteger a comunicação entre os diferentes intervenientes.
  • Autenticação adicional: permite exigir códigos de confirmação, notificações ou autenticação biométrica.
  • Análise de risco: utiliza informações contextuais para identificar comportamentos potencialmente fraudulentos.
  • Integridade das mensagens: utiliza mecanismos de segurança para garantir a integridade e autenticidade das mensagens trocadas.
  • Identificação dos intervenientes: estabelece uma comunicação estruturada entre o comerciante, o banco emissor e a rede de pagamento.

Ideia Importante

O 3-D Secure envolve três domínios (Three Domains):

  1. Issuer Domain: domínio do banco emissor do cartão, responsável pela autenticação do titular.
  2. Acquirer Domain: domínio do adquirente, responsável pela relação com o comerciante e pelo processamento do pagamento.
  3. Interoperability Domain: domínio de interoperabilidade, que permite a comunicação entre os restantes domínios através das redes de pagamento.