A plataforma Dock possibilita que os emissores participem do 3D Secure.
O 3DS (Three-Domain Secure) é um protocolo de segurança, aceito no mundo todo e foi concebido para deixar as transações de e-commerce mais seguras, em tempo real, através da autenticação do portador.
Antes da autorização, o 3DS proporciona uma autenticação que acaba sendo uma camada adicional de segurança com troca de dados entre o estabelecimento comercial, o emissor do cartão e, quando necessário, o consumidor, para confirmar que a transação está sendo iniciada pelo legítimo proprietário da conta.
O nome 3D vem dos três domínios envolvidos no fornecimento dessa segurança adicional:
O domínio do adquirente (por exemplo, o comerciante)
O domínio do emissor
O domínio de interoperabilidade (por exemplo, as bandeiras)
Impacto para os emissores
Os emissores necessitam de um Access Control Server (ACS) para participar do 3DS.
Os fornecedores desse tipo de serviço devem estar devidamente certificados e homologados com a EMVCo e as bandeiras.
A Dock já está integrada com alguns dos principais fornecedores desse tipo de serviço do mercado. Procure o seu gestor de contas comercial para saber mais sobre essa facilidade que oferecemos aos nossos clientes.
Antes de um pagamento ser autenticado, os compradores são redirecionados ao site do emissor do cartão para fornecer dados de autenticação adicionais, como uma senha ou um código de verificação de SMS.
O redirecionamento introduzido nessa versão, pode levar a taxas de conversão mais baixas, devido a erros técnicos durante o redirecionamento ou devido a falta de padronização na experiência, causando grande abandono do carrinho de compras pelos compradores.
O 3DS 1.0, desenvolvido e de propriedade da Visa, está no mercado há 15 anos.
Ao contrário da versão anterior, onde os compradores são redirecionados para outro site, no 3DS 2.0 o emissor do cartão realiza a autenticação em seu aplicativo ou formulário de pagamento.
A identidade do comprador pode ser verificada usando abordagens de:
autenticação sem fricção, silenciosa, baseada em risco (saiba mais sobre RBA a seguir)
autenticação com fricção, através de um código conhecido apenas pelo portador, para uso em uma única vez (saiba mais sobre OTP a seguir)
O 3DS 2.0 é a nova geração do protocolo, que foi desenvolvida pela EMVCo e é de sua propriedade. Aprimorado, o 3DS 2.0 apresenta várias melhorias sobre a versão 1.0:
Suporte para transações em diversos dispositivos
Mais dados circulando, o que permite tomadas de decisão com base em riscos mais assertivas pelos emissores
Processo mais fluido e padronizado para consumidores, resultando em um menor abandono de carrinho
Possibilidade de autenticação "silenciosa" (isenção do desafio, através do RBA)
Liability shift é mudança de responsabilidade no 3D Secure que ocorre quando a responsabilidade pelos chargebacks fraudulentos (cartões roubados ou falsificados) passa do comerciante para o emissor do cartão. Ela ocorre quando o pagamento com 3D Secure é solicitado pelo comerciante.
Se uma transação online for autenticada com sucesso via 3D Secure, o emissor (e não o comerciante) será responsável por estornos subsequentes relacionados a fraude nessa transação. Se o portador contestar uma transação por um motivo diferente de fraude, a responsabilidade permanece com o comerciante.
É importante saber que as transações online que forem autenticadas usando 3D Secure não podem ser contestadas como fraudulentas pelos portadores, no entanto, o emissor pode decidir investigar a transação solicitando informações adicionais.
Autenticação 3DS
A autenticação é o ato de validar algo como autêntico. No caso do 3DS, o objetivo da autenticação é verificar se quem está realizando a compra é realmente o portador daquele cartão, a partir de alguma informação que só ele possui.
Com o 3DS 2.0, a identidade do portador pode ser verificada usando abordagens de:
OTP é um código que pode ser usado apenas uma vez e é enviado ao portador pelo emissor, através SMS para o celular do portador ou push do aplicativo do emissor.
É uma forma bastante eficiente de autenticação, pois trata-se de um código único e que é de conhecimento apenas do portador, possibilitando a confirmação de que é realmente ele quem está realizando a compra.
RBA (Risk based authentication)
RBA é um tipo de autenticação baseada em risco que ajuda a prevenir fraudes, determinando o nível de risco para cada transação financeira e qual nível de autenticação do cliente será necessário para cada transação.
Ela reduz atrito desnecessário para os clientes e aproveita análises de dados que acontecem em segundo plano no momento da autenticação.
Formas de integração oferecidas pela Dock
A Plataforma Dock disponibiliza duas formas de integração para os emissores, para funcionamento do 3DS:
A Dock possui parceria com um grande fornecedor de ACS do mercado, tonando possível a utilização de uma solução padrão, com autenticação por OTP, pronta para uso.
Os emissores que desejarem fazer uso dessa opção, devem contatar seu gestor de contas comercial para alinhar contratação e setup.
O emissor deve alinhar com o seu gestor de contas comercial sobre o interesse em habilitar o uso dessa feature para que seja realizado o setup, onde iremos realizar uma série de configurações e testes.
As configurações envolvem:
Personalização da tela de autenticação, com o logo do emissor, da bandeira e a mensagem que o emissor deseja exibir para solicitar o OTP
FIG: Tela de autenticação
Configuração dos BINs do emissor no ACS
Configuração dos parâmetros do tipo de envio de OTP escolhido pelo emissor (se utilizando os serviços de SMS da Dock ou se utilizando o envio de eventos via webhook, para o próprio emissor enviar para o portador da forma que desejar, seja por push do seu app ou seu próprio serviço de SMS, por exemplo)
Ativação da regra para habilitar o funcionamento no Autorizador Odin
Geração e ativação da URL do ACS
Além disso, os emissores devem contatar a bandeira e informar sobre sua escolha de utilizar o ACS parceiro da Dock. Nesse momento, o emissor deve informar para a bandeira a URL do ACS e alinhar sobre a configuração de seus BINs no Directory Server da bandeira.
FIG: Autenticação 3DS - Opção 1
1 - Comércio solicita autenticação para a Bandeira;
2 - Bandeira encaminha solicitação de autenticação para Plataforma Dock;
3 - Plataforma Dock gera o OTP para aquela transação e verifica a forma de envio do OTP escolhida pelo emissor.
a. Caso o emissor tenha escolhido utilizar os serviços de envio de SMS da Dock, a Plataforma Dock realiza o envio do OTP via SMS para o celular do portador cadastrado na base;
b. Caso o emissor tenha escolhido ele mesmo enviar o OTP para seu portador, a Plataforma Dock realiza o envio do OTP para o emissor via evento de webhook. Acesse Webhooks para mais informações de configuração e cadastro para receber informações do evento;
4 - Plataforma Dock solicita que o portador informe o OTP recebido;
5 - Plataforma Dock recebe, valida e envia os resultados da autenticação;
6 - Bandeira repassa o resultado da autenticação para o Comerciante;
7 - A autenticação é finalizada.
A plataforma Dock possibilita que o emissor execute e gerencie as autenticações e nos comunique sobre o resultado da autenticação, através de uma integração padrão, pronta para uso. Tudo isso, sem trafegar dados sensíveis do cartão nessa integração.
Os emissores que desejarem fazer uso dessa opção, devem contatar seu gestor de contas comercial para alinhar o setup.
Para essa opção, é necessário que o emissor faça a implementação de endpoints da API, conforme essa Especificação técnica.