La nueva versión del protocolo de seguridad 3D Secure supone un importante avance en materia de seguridad online. Pues añade un nuevo enfoque a la autenticación del usuario, incorporando la “autenticación sin fricción” como principal objetivo.
Con el 3DS2, se cumple la normativa SCA de autenticación de una forma mucho más amigable para el usuario y con un refuerzo de seguridad para los comerciantes.
Introducción: 3DS1
3D Secure es el protocolo de seguridad online implantado por Visa y Mastercard, a los que posteriormente se les sumaron American Express, Discover JCB y UnionPay.
Su objetivo principal es prevenir el uso fraudulento de tarjetas de crédito en las transacciones donde los propietarios de las mismas no están presentes, es decir, en aquellas operaciones de pago que se producen online.
El protocolo 3D Secure hace referencia a los 3 Dominios con los que opera: el dominio del emisor, el dominio del adquiriente y el dominio de interoperabilidad.
3DS1 vs 3DS2. ¿En qué se diferencia la 3DS1 de la 3DS2?
Aunque 3D Secure es la normativa que se ha implementado para garantizar la seguridad de los pagos online mediante la autenticación de los usuarios, han pasado 20 años desde su implantación, que tuvo lugar en 2003. Desde entonces, la industria de los pagos se ha transformado casi por completo. Por este motivo, se ha creado un nuevo protocolo actualizado con nuevos requisitos de autenticación basado también en la autenticación móvil y la integración de los monederos digitales o e-wallets.
El objetivo del 3DS2 (la nueva versión del 3D Secure) es llevar a cabo comprobaciones de autenticación en los nuevos canales de venta y compra, así como aumentar la seguridad online mejorando la experiencia de usuario. La principal diferencia de la 3DS2 vs 3DS1 la encontramos precisamente en el aumento de la seguridad reduciendo la fricción de cada transacción.
En este sentido, los principales cambios del 3DS2 se encuentran en la mejora y la simplificación de los protocolos de autenticación móvil.
Autenticación del cliente SCA en 3DS2
La autenticación reforzada de clientes SCA aplica los sistemas a través de los cuales los usuarios se identificarán para completar con éxito su transacción online. Para ello, como la SCA indica, se deben proporcionar dos de los tres tipos de información siguientes:
- Algo que el cliente tiene: un teléfono móvil, un token, una tarjeta de identificación, etc.
- Algo que el cliente sabe: una contraseña, PIN, dato personal, etc.
- Algo que el cliente es: su huella dactilar, su cara, su voz, etc.
Lo más habitual es que la autenticación de dos factores 3DS2 se realice a través de un código que se envía al usuarios a través de SMS o con una autenticación biométrica (huella dactilar o rostro).
Proceso sin fricción 3DS2
El protocolo 3DS2 mejora el proceso de autenticación para todas las partes implicadas en el proceso de pago online. Permite a los merchants ganar protección en múltiples plataformas con una integración sencilla en sus sistemas, incluyendo las apps propias, al mismo tiempo que cumplen con la normativa y los beneficios del protocolo de seguridad online 3DS2.
Los bancos emisores pueden compartir más información con los vendedores, por lo que les ayudan a reducir la fricción en muchas de las transacciones (como veremos en el siguiente punto). Los usuarios, también perciben esa reducción de la fricción porque tienen que completar menos pasos para confirmar su compra.
En la autenticación reforzada de 3DS2 se producen toda una serie de procesos en segundo plano que no interrumpen el proceso de compra, lo que hace que este proceso no tenga fricción para el usuario final.
Pagos seguros sin autenticación 3DS2
Como hemos indicado, la principal diferencia que trae consigo el nuevo protocolo 3DS2 es la reducción de la fricción en el proceso de autenticación del usuario. ¿Cómo se consigue una baja fricción?
Esto sucede gracias a que el 3DS2 permite enviar más datos sobre el titular de cada tarjeta a las empresas y proveedores de servicios de pago, entre los que se incluye el historial de transacciones anteriores. Con esta información el banco del titular de la tarjeta evalúa el riesgo de la transacción.
Los aspectos con los que se evalúa el riesgo de la operación en 3DS2 son:
- El valor de la transacción
- Si se trata de un cliente nuevo o existente
- Historial de transacciones
- Historial de comportamiento
- Información sobre su dispositivo
Si el riesgo es bajo, la 3DS2 aprueba la transacción sin requerir ningún dato manual del propietario de la tarjeta. En otras palabras, tras comprobar que la nueva transacción que se va a realizar presenta una riesgo bajo teniendo de referencia las operaciones anteriores, el banco emisor no requiere ninguna información adicional del propietario de la tarjeta. Algo que sí se exigía en el protocolo 3D Secure.
El objetivo es conseguir aumentar la cantidad de transacciones seguras que se pueden autenticar sin solicitar más información al cliente, logrando así un proceso sin fricción.
Experiencia de autenticación "nativa" 3DS2
La primera versión 3D Secure se diseñó antes de que surgieran los teléfonos inteligentes como los conocemos hoy en día, por lo que el protocolo no era compatible con los proceso de compra a través de móvil. Con el 3DS2, se produce una mejora en la usabilidad que incluye a los smartphones en ese proceso.
Desde esta actualización, la autenticación del cliente se puede realizar a través de la aplicación del banco o de procesos biométricos a través del dispositivo móvil. El 3DS2 está diseñado específicamente para mejorar este flujo e integrar la autenticación dentro del proceso de pago online a través de web y móvil. En cualquiera de los casos, no se realizan redirecciones ni se rompe el flujo de compra, ya que la ventana de autentificación se integra en un modal dentro del checkout de pago, tanto en el navegador web como en la app del negocio.
Beneficios de 3DS2
La aplicación del protocolo de seguridad online 3DS2 tiene ventajas para los merchants y para los usuarios. Todo proceso de pago online con 3DS2 funciona de la misma manera: el usuario selecciona su servicio y producto, completa sus datos de compra y procede a confirmar la compra. Los detalles de la compra se comparten para determinar la autenticidad del propietario de la tarjeta, teniendo en cuenta los elementos de riesgo. En función del riesgo se configure autentificar al comprador de manera pasiva sin pedirle confirmación extra.
¿Qué beneficios supone el proceso de pago con 3DS2?
3DS2 para merchants
- Protección contra prácticas fraudulentas y chargebacks.
- Cae el abandono del proceso de compra y se reducen los carritos abandonados.
- Los procesos de compra hacen que los usuarios vuelvan a comprar.
- Transacciones más seguras gracias a la autenticación en dos factores.
3DS2 para usuarios
- Protección y tranquilidad ante operaciones no autorizadas.
- Proceso de compra sin fricción: rápido y cómodo.
En definitiva, el proceso de pago con 3DS2 es la forma más actual para hacer compras seguras por internet. Junto a la Autenticación Reforzada (SCA) y el PSD2, el protocolo 3D Secure 2 trae consigo un avance en la aplicación de los estándares de seguridad online, ya que debido al avance de las compras y pagos online, hay muchos otros dispositivos y plataformas desde los que se realizan transacciones y que necesitan las mismas garantías de seguridad online.
