3D Secure (3DS)

Bu isim, kimlik doğrulama sürecinde yer alan üç alanı ifade eder: satıcı alanı, edinen banka alanı ve kart sahibinin bankası (ihraççı) alanı. Her biri, yetkilendirme verilmeden önce işlemi doğrulamada farklı bir rol oynar.

3D Secure Nasıl Çalışır?

Bir müşteri 3DS destekli bir ödeme sayfasında çevrimiçi ödeme başlattığında, kimlik doğrulama süreci standart yetkilendirme akışıyla birlikte çalışır:

Satıcının ödeme geçidi, bir 3DS kimlik doğrulama isteğini kart ağına gönderir; ağ bu isteği kart sahibinin ihraççı bankasına yönlendirir. İhraççı banka işlemi gerçek zamanlı risk sinyallerinin bir kombinasyonuyla değerlendirir: cihaz parmak izi, davranışsal veriler, işlem geçmişi, IP adresi, satın alma tutarı. Ardından işlemin sessizce doğrulanıp doğrulanamayacağına ya da ek kart sahibi doğrulamasının gerekip gerekmediğine karar verir.

Sürtünmesiz doğrulama, ihraççı bankanın risk motoru mevcut veri sinyallerine dayanarak işlemi düşük riskli bulduğunda gerçekleşir. Doğrulama arka planda fark edilmeden tamamlanır. Kart sahibi herhangi bir kesinti yaşamaz ve işlem doğrudan yetkilendirmeye geçer. İyi yapılandırılmış bir uygulamada 3DS işlemlerinin büyük çoğunluğu sürtünmesiz tamamlanır.

Ek doğrulama (challenge) akışı, ihraççı banka ek doğrulama gerektirdiğinde devreye girer. Bu genellikle işlem yükseltilmiş risk sinyalleri gösterdiğinde ya da düzenleyici gereklilikler risk puanından bağımsız olarak kademeli (güçlendirilmiş) doğrulama zorunlu kıldığında olur. Kart sahibine bir doğrulama adımı sunulur: kayıtlı telefon numarasına gönderilen bir OTP (tek kullanımlık şifre), biyometrik onay veya bankacılık uygulamasındaki bir anlık bildirim. İşlem ancak bu adım tamamlandıktan sonra ilerleyebilir.

3DS1 ve 3DS2 Karşılaştırması

2000'li yılların başında tanıtılan özgün 3D Secure protokolü olan 3DS1, her işlem için ihraççı bankanın kimlik doğrulama sayfasına yönlendirme gerektiriyordu. Yönlendirme deneyimi bozucuydu, kötü tasarlanmıştı ve sepeti terk etme oranlarını sürekli artırıyordu. Dönüşüm maliyeti dolandırıcılık azaltma faydasından fazla olduğu için birçok satıcı 3DS1'i tam da bu nedenle uygulamamayı tercih etti.

2019'da tanıtılan ve bugün baskın sürüm olan 3DS2, protokolü temelden sürtünmesiz akış etrafında yeniden tasarladı. Varsayılan olarak yönlendirme yapmak yerine 3DS2, cihaz parmak izi, işlem geçmişi, teslimat adresi eşleşmesi ve davranışsal sinyaller dahil 150'ye kadar veri öğesinden oluşan zengin bir veri paketini ihraççı bankanın risk motoruna gönderir. Böylece düşük riskli işlemlerin büyük çoğunluğu, ödeme deneyiminde görünür bir kesinti olmadan doğrulanır.

Sonuç, öncülünün dönüşümü bozan yönlendirme deneyimi olmadan dolandırıcılığı azaltan ve sorumluluğu kaydıran bir protokoldür. 3DS2, modern tüm kimlik doğrulama uygulamalarının ölçüldüğü standarttır.

Sorumluluk Kayması: Temel Ticari Teşvik

3D Secure'un ticari açıdan en önemli yönü, yarattığı sorumluluk kaymasıdır. 3DS doğrulaması yapılmayan standart bir kart-mevcut-değil işleminde, sahtecilik sorumluluğu satıcıdadır; sahte bir işleme itiraz edilirse ters ibraz maliyetini satıcı üstlenir.

Bir işlem 3DS ile başarıyla doğrulandığında, sahtecilik sorumluluğu satıcıdan kartı çıkaran bankaya geçer. 3DS ile doğrulanmış bir işleme sonradan sahte olduğu gerekçesiyle itiraz edilirse, ters ibraz maliyetini satıcı değil, kartı çıkaran banka üstlenir.

Bu sorumluluk değişimi, 3DS benimsenmesinin temel ticari itici gücüdür. Önemli sahtecilik riski veya yüksek ters ibraz oranı olan satıcılar için 3DS doğrulamasıyla sağlanan sahtecilik sorumluluk transferi, sahte işlemlerdeki doğrudan azalmanın ötesinde net karlılıkta somut bir iyileşme sağlayabilir.

3DS ve PSD2 Güçlü Müşteri Doğrulaması

Avrupa'da, çoğu çevrim içi işlem için 3DS uygulaması isteğe bağlı değildir. AB'nin Ödeme Hizmetleri Direktifi 2 (PSD2), elektronik ödemeler için Güçlü Müşteri Doğrulaması (SCA) zorunlu kılar; işlemlerin üç faktörden en az ikisiyle doğrulanmasını şart koşar: kart sahibinin bildiği bir şey (şifre, PIN), sahip olduğu bir şey (telefon, donanım belirteci) ve olduğu bir şey (biyometrik).

3DS2, Avrupa Ekonomik Alanı'ndaki kart ödemeleri için SCA uyumluluğunun sağlandığı temel teknik mekanizmadır. Avrupalı kart sahipleri için kart işlemi yapan ve SCA uyumlu doğrulama kullanmayan satıcılar, reddedilen işlemlerle karşılaşır; EEA'daki kartı çıkaran bankalar, kapsamdaki işlemlerde SCA uyumlu olmayan ödeme denemelerini reddetmek zorundadır.

Düşük tutarlı işlemler (€30'un altındaki), satıcı tarafından başlatılan işlemler, güvenilir alıcılar ve kartı çıkaran banka tarafından işlem risk analizi muafiyeti kapsamında düşük riskli bulunan işlemler için SCA muafiyetleri mevcuttur. Bu muafiyetleri akıllıca yönetmek — SCA'yı gerektiğinde uygulamak ve uygun olduğunda muafiyet talep etmek — Avrupa ödeme optimizasyonunun teknik açıdan en incelikli yönlerinden biridir.

3DS ve Dönüşüm Oranı

3DS ile dönüşüm oranı arasındaki ilişki inceliklidir ve büyük ölçüde uygulamanın kalitesine bağlıdır:

• Kötü yapılandırılmış bir 3DS uygulaması (işlemlerin yüksek bir yüzdesinde ek doğrulama tetikleyen, rahatsız edici bir doğrulama akışı sunan veya sürtünmesiz doğrulamayı sağlamak için yeterli veri iletmeyen), sepet terklerini artırır ve dönüşüm oranını düşürür.
• İyi yapılandırılmış bir 3DS uygulaması (sürtünmesiz oranı en üst düzeye çıkarmak için zengin işlem verisi ileten, muafiyetleri akıllıca uygulayan ve doğrulama akışını yalnızca gerçekten gerekli olduğunda sunan), dönüşüm üzerinde minimum etki ile yüksek doğrulama oranlarına ulaşabilir.

Zayıf bir 3DS uygulaması ile iyi optimize edilmiş bir 3DS uygulaması arasındaki fark, dönüşüm oranı etkisi açısından işlemlerin %3 ila %8'i kadar olabilir. Bu, ticari olarak anlamlı bir farktır ve uygulama kalitesini güvenlik kararı kadar bir ödeme performansı kararı haline getirir.

İlgili terimler

• Network token
• Payment Token
• Interchange Fee‍
• Payout Fee
• Ters İbraz Fee

‍