3-D Secure — это проверка, в которой банк покупателя убеждается, что картой платит её владелец. Банк либо пропускает платёж без лишних шагов, либо просит подтвердить его кодом из SMS или в своём приложении. Для продавца это последний шаг перед оплатой, и часть заказов теряется именно здесь: код не пришёл, вкладка закрылась, приложение банка не открылось. Разберём, как устроена проверка, кто за что отвечает и что вы можете сделать на своей стороне.
Что такое 3-D Secure и как он называется у Visa, Mastercard и «Мира»
Сейчас действует протокол EMV 3-D Secure (EMV 3DS). Его спецификации ведёт международная организация EMVCo. Во время проверки сторона продавца передаёт банку покупателя данные об операции, способе оплаты и устройстве, а банк по ним решает, подтверждать ли платёж (EMVCo). Таких элементов данных в спецификации больше сотни (EMVCo). Протокол работает и в браузере, и в мобильных приложениях.
Свои программы есть у каждой платёжной системы:
- Visa — Visa Secure, глобальная программа Visa на базе EMV 3-D Secure (visa.com).
- Mastercard — Mastercard Identity Check, решение для аутентификации на базе EMV 3DS с динамическими паролями и биометрией (Mastercard).
- «Мир» — Mir Accept, сервис НСПК для проверки онлайн-оплат картами «Мир». По словам НСПК, он отправляет подозрительную операцию к банку, выпустившему карту, на аутентификацию (НСПК).
Покупателю названия программ знать не нужно: проверку он проходит у своего банка. Карточные платежи подтверждаются по правилам банка покупателя, и решение «спросить код или нет» тоже за ним.
Два сценария: без кода и с подтверждением
EMVCo описывает два основных сценария проверки.
Без дополнительного шага. Банк оценивает риск по полученным данным и одобряет платёж, не обращаясь к покупателю. Для покупателя это выглядит так: нажал «Оплатить» — и сразу увидел результат. Для ориентира: в июне 2024 года замгендиректора НСПК рассказывал, что в тесте ИИ в Mir Accept 2.0 «зелёная зона» расширилась в 2 раза — с 30 % до 60 % (НСПК). Что входит в «зелёную зону», НСПК не уточняет; по контексту это операции, которые не отправляются к банку на дополнительную проверку. Это пилот одной системы, а не статистика рынка.
С подтверждением. Если операция кажется банку рискованной, он просит покупателя подтвердить её напрямую: одноразовым кодом на телефон или в мобильном приложении банка (EMVCo). Среди вариантов EMVCo называет и биометрию (EMVCo).
Как это выглядит по шагам при оплате картой российского банка:
- Покупатель вводит номер карты, срок действия и код с обратной стороны и нажимает «Оплатить».
- Данные операции уходят в банк покупателя.
- Банк решает, нужен ли дополнительный шаг.
- Если нужен, покупатель видит окно банка или получает уведомление: вводит код из SMS или подтверждает платёж в приложении.
- Банк сообщает результат, платёж завершается — успешно или с отказом, а покупатель возвращается на ваш сайт.
С иностранными картами логика та же, но подтверждение идёт по правилам зарубежного банка: код может прийти на иностранный номер или в приложение этого банка.
Кто за что отвечает на шаге подтверждения
| Участник | Что делает | Может ли продавец повлиять |
|---|---|---|
| Покупатель | Вводит код или подтверждает платёж в приложении | Да: заранее предупредить о коде |
| Продавец | Страница заказа, переход к оплате, возврат на сайт, тексты | Полностью |
| Платёжная компания | Платёжная страница, передаёт платёж в банк покупателя | Частично: какие способы оплаты включить |
| Платёжная система | Правила программы: Visa Secure, Identity Check, Mir Accept | Нет |
| Банк покупателя | Решает, нужен ли код, отправляет его и проверяет | Нет |
Вывод простой: отменить проверку вы не можете, но можете сделать так, чтобы покупатель её не испугался и не потерялся по дороге.
Где покупатель теряется и что может сделать продавец
| Где теряется | Что происходит | Что сделать продавцу |
|---|---|---|
| Не ждёт кода | Окно банка кажется сбоем, покупатель закрывает вкладку | Перед кнопкой оплаты: «Банк может прислать код или уведомление — не закрывайте страницу» |
| Код не приходит | Сменил номер, нет связи, за границей не доходят SMS | Дать запасной способ: СБП или Pay-сервис, где подтверждение идёт в приложении банка |
| Ушёл в SMS или приложение банка | На телефоне вкладка перезагрузилась, заказ потерян | Пройти оплату на своём телефоне; написать «после подтверждения вернитесь в браузер» |
| Оплата во встроенном браузере соцсети или мессенджера | Переход в приложение банка срабатывает не всегда | Предложить открыть ссылку в обычном браузере |
| Страница заказа не помещается на экране | Кнопки уезжают, текст мелкий, покупатель бросает оплату | Проверить путь от корзины до оплаты на двух-трёх телефонах |
| Код введён неверно или устарел | Банк отклоняет операцию | Понятный текст об ошибке и кнопка «Попробовать снова» или другой способ |
| Карта зарубежного банка | Покупатель не знает, где искать подтверждение | Подсказать, что код придёт от банка, выпустившего карту |
Запасной способ работает потому, что на платёжной странице покупатель видит все подключённые способы и выбирает удобный. В СБП и Pay-сервисах вроде SberPay карту вводить не нужно: покупатель подтверждает платёж в приложении банка, которым пользуется каждый день. Как собрать такой набор, мы разбирали в статье о выборе способов оплаты.
Модельный расчёт: сколько стоит сорванное подтверждение
Это модельный расчёт. Все доли ниже — допущения для примера, а не статистика рынка. Подставьте свои цифры: сравните число заказов на сайте с успешными платежами в личном кабинете.
Допущения: за месяц 1 000 попыток оплаты картой РФ, средний чек 3 000 ₽, других продаж нет. 500 попыток проходят без дополнительного шага, 500 получают запрос кода. Отказы банка по другим причинам не считаем — это отдельная тема.
| Шаг | Без мер | С мерами |
|---|---|---|
| Попыток оплаты картой | 1 000 | 1 000 |
| Запрос подтверждения | 500 | 500 |
| Не завершили подтверждение (допущение) | 50 | 30 |
| Из них оплатили по СБП (допущение) | 0 | 10 |
| Успешных оплат картой | 950 | 970 |
| Выручка картами | 2 850 000 ₽ | 2 910 000 ₽ |
| Выручка по СБП | 0 ₽ | 30 000 ₽ |
| Оборот и план | 2 850 000 ₽, Оптимальный | 2 940 000 ₽, Оптимальный |
| Комиссия: карты 3,3 %, СБП 2,3 % | 94 050 ₽ | 96 030 + 690 = 96 720 ₽ |
| Вам после комиссии | 2 755 950 ₽ | 2 843 280 ₽ |
Без мер 50 сорванных подтверждений — это 50 × 3 000 ₽ = 150 000 ₽ заказов за месяц. С мерами вы получаете на 87 330 ₽ больше после комиссии, а комиссия растёт всего на 2 670 ₽. Оборот в обоих случаях ниже 3 млн ₽, поэтому план остаётся Оптимальным. Ставки — на странице тарифов, свой оборот можно проверить в калькуляторе.
Что делать: пошаговый план
- Купите что-нибудь у себя сами — с телефона, картой и через СБП. Отметьте, где страница неудобна и где легко потеряться.
- Добавьте у кнопки оплаты одну строку: банк может попросить код или подтверждение в приложении, страницу закрывать не нужно.
- Подключите хотя бы один способ без ввода карты — СБП или Pay-сервис банка (SberPay, T-Pay, Alfa Pay) — и проверьте, что он виден на платёжной странице.
- Сделайте понятную страницу неудачной оплаты: что случилось, кнопка повтора и ссылка на другой способ.
- Раз в неделю сверяйте заказы на сайте со статусами платежей в личном кабинете. Если заказ есть, а успешной оплаты нет, отправьте покупателю платёжную ссылку — на ней покупатель увидит все подключённые у вас способы: карту, СБП, Pay-сервисы.
- Если покупают иностранцы, добавьте подсказку про подтверждение в банке, выпустившем карту.
Частые вопросы
Можно ли отключить 3-D Secure, чтобы покупатели не вводили код?
Нужен ли код, решает банк покупателя по правилам своей платёжной системы. Продавец влияет на другое: чтобы этот шаг проходил без потерь.
Почему одному покупателю код приходит, а другому нет?
Банк оценивает каждую операцию отдельно — по данным об операции, способе оплаты и устройстве. Поэтому один и тот же заказ у разных покупателей проходит по-разному.
Есть ли 3-D Secure при оплате через СБП?
3-D Secure — проверка для карточных платежей. В СБП карта не вводится: покупатель сам подтверждает платёж в приложении своего банка.
Влияет ли подтверждение на комиссию?
Комиссия берётся только с успешных платежей, а ставка зависит от способа оплаты и плана. Сорванное подтверждение не стоит комиссии, но стоит заказа.
С чего начать подключение?
Посмотрите требования к подключению и оставьте заявку: менеджер поможет с анкетой и подберёт набор способов оплаты.
