Conceito

3-D Secure, hoje na versão 2, é o protocolo que insere uma checagem adicional entre o checkout e a aprovação. Dependendo do risco calculado, o banco emissor pede uma confirmação ao titular, por app ou por código, antes de autorizar.

O efeito mais importante não é técnico, é de responsabilidade. Numa transação autenticada com sucesso, a contestação por fraude passa a ser do emissor, não do vendedor. É o chamado liability shift.

Segurança é um processo, não um produto.

Bruce Schneier Fonte: Secrets and Lies: Digital Security in a Networked World.

O custo é atrito. Cada passo a mais no checkout derruba conversão, e por isso a decisão sensata não é ligar ou desligar o 3DS para tudo, e sim aplicá-lo por faixa de risco: transações suspeitas ou de ticket alto passam pela autenticação, o resto segue direto.

Exemplo de aplicação e uso

Você vende um curso de alto valor e nota que está recebendo muita recusa. Sua plataforma oferece ativar o 3-D Secure, que adiciona um passo no checkout, transações suspeitas são desafiadas e o comprador confirma a compra pelo app ou por código do banco. O atrito aumenta, mas a fraude desaparece.

Implementar para tudo mata sua conversão. A estratégia sensata é usar 3DS apenas em faixas de risco, transações suspeitas ou de ticket alto, deixando o resto converter rápido. Quando a autenticação é bem-sucedida, a responsabilidade por fraude passa para o banco emissor, não fica com você.