La mayoría de las decisiones sobre fraude se toman cuando el pago ya está en curso. Se han introducido los datos de la tarjeta, se ha enviado la solicitud a tu proveedor de servicios de pago (PSP), el emisor responde y, en algún punto de esa cadena, se toma una decisión.
Funciona, pero sin duda no es el único punto en el que se puede intervenir.
En un embudo de pagos de alto volumen, esperar una respuesta de autorización para filtrar fraudes es una forma cada vez más costosa de gestionar el riesgo. Para cuando un procesador emite una aprobación, el comercio ya ha asumido las comisiones de la pasarela, ha activado recargos por integridad de la red y se ha comprometido con una vía operativa que es notoriamente difícil de revertir.
La prevención eficaz del fraude requiere una filosofía de “puerta de entrada”. En lugar de reaccionar a una autorización, los comercios deberían tratar la etapa de preautorización (pre-auth) como un filtro estratégico, de modo que, para cuando una transacción llegue a la red de pagos, ya haya sido evaluada en cuanto a identidad e intención.
Este artículo explica por qué es importante, qué pierdes cuando intentas hacerlo y cómo lograr que funcione de todos modos.
Por qué es importante la prevención del fraude antes de la autorización
Hay varias razones específicas por las que los comercios se benefician al detectar el fraude antes de que la autorización llegue a la red. Algunas tienen que ver con los costos, otras con la reputación, y la que me parece más interesante está relacionada con la experiencia que se crea para el comprador.
Detener el fraude después de que ocurra es costoso
Cuando el fraude ocurre después de la autenticación, la transacción ya se ha completado. El dinero ya ha cambiado de manos. Es posible que los bienes o servicios ya se hayan entregado. Revertir una transacción posterior a la autenticación implica reembolsos, cancelaciones, carga operativa y, en muchos casos, asumir igualmente la pérdida.
La detección previa a la autorización no solo reduce las pérdidas por fraude, sino que elimina por completo el proceso de reversión. La transacción fraudulenta nunca entra en el sistema, por lo que no hay reembolso que disputar, ni reclamación que registrar, ni experiencia del cliente que reparar después.
Ese es un perfil de costos fundamentalmente diferente al de detectar el fraude después de la autorización, y es el argumento más sólido para trasladar la detección a una fase más temprana. Cada solicitud de autorización enviada a un gateway o procesador conlleva un costo, como el intercambio, los costos de procesamiento o las comisiones del gateway. Bloquear un pago fraudulento antes de que llegue al PSP elimina por completo ese gasto, lo cual es especialmente importante al mitigar ataques de alta frecuencia.
Salud del ID de comerciante y mejores tasas de aceptación con el tiempo
Cada pago que envías afecta con el tiempo cómo ven tu comercio los emisores y adquirentes. Cuando tu tráfico es limpio, con bajas tasas de fraude y pocos rechazos, construyes una reputación. Los emisores reconocen tu ID de comercio (MID) como uno saludable, lo que se traduce directamente en mayores tasas de aceptación y menos rechazos erróneos a clientes legítimos.
Lo contrario también es cierto. Cuando un MID envía de forma constante tráfico ruidoso y de alto riesgo, los emisores se vuelven más conservadores. Rechazan más transacciones. Tu tasa de aceptación disminuye. Y ese es un problema mucho más difícil de corregir de forma retroactiva.
Esta dinámica se ha vuelto más concreta con la llegada de VAMP, el Programa de Monitoreo de Adquirentes de Visa. VAMP realiza un seguimiento mensual de los niveles de fraude y disputas por comercio. Si superas los umbrales, se te exige implementar medidas de mitigación de riesgos; si sigues superándolos, te enfrentas a sanciones.
El programa convierte lo que antes era una preocupación reputacional leve en un requisito estricto de cumplimiento. El filtrado previo a la autorización garantiza que el tráfico que llega a la red sea el más limpio posible, lo que ayuda directamente a mantener tus ratios de VAMP bajo control.
Retroalimentación instantánea y oportunidad de conversión
Esta suele ser la ventaja más importante para la conversión. Si un comercio determina que una tarjeta específica no puede utilizarse para una transacción, puede informárselo al comprador de inmediato. En lugar de un rechazo definitivo, el comercio puede ofrecer de forma dinámica métodos de pago alternativos, como otra tarjeta, una billetera digital o una opción de compra ahora y paga después (BNPL), antes de que el pago llegue a procesarse.
La experiencia del usuario y la tasa de conversión general mejoran cuando estas decisiones se toman antes de que el comprador realice efectivamente el pago. Detectar a un actor malicioso en la fase previa a la autorización también significa que no estás obligando a un cliente legítimo a pasar por un incómodo proceso de reversión posterior a la autorización.
Lo que estás sacrificando
La preautorización suena bien en teoría, pero hay un problema de datos importante y debes entrar en esto con los ojos bien abiertos.
Pasarse al pre‑auth implica reconocer una verdadera falta de visibilidad. Para los comercios que dan prioridad a mantenerse fuera del alcance del cumplimiento de la norma PCI (Payment Card Industry), manejar datos de tarjeta sin procesar no es una opción. Esta decisión de seguridad genera de inmediato un déficit de información.
Detalles de la tarjeta e inteligencia BIN
Si no cumples con la normativa PCI, y muchos comercios no la cumplen, no estás manejando directamente los datos sin procesar de la tarjeta. Tu PSP aloja el formulario de pago, tokeniza la tarjeta en su sistema y tú nunca ves el número real. Eso significa que no tienes el Número de Identificación Bancaria (BIN), ni el emisor, ni el tipo de tarjeta, ni el país de origen.
El BIN, los primeros seis u ocho dígitos de un número de tarjeta, contiene una cantidad significativa de información. Indica qué banco emitió la tarjeta, de qué país proviene, si es de débito o de crédito y si es prepaga. Una tarjeta emitida en EE. UU. que se usa desde México se interpreta de forma muy diferente a una tarjeta mexicana usada en México. Ninguna de esas señales geográficas está disponible antes de la autorización si no se cumple con la normativa PCI.
Un token ayuda parcialmente. Incluso sin cumplir con PCI, los comercios aún pueden recibir un token que representa la tarjeta, lo cual es útil para listas negras y verificaciones básicas de velocidad. Pero un token no restaura la inteligencia del BIN. Que un token te proporcione suficiente señal depende por completo de su nivel de detalle.
Un token “ciego” proporciona un identificador persistente sin metadatos de la tarjeta. Un token “rico” conserva el BIN y los metadatos esenciales de la tarjeta, manteniendo los datos sin procesar de la tarjeta fuera de tu entorno.
Sin lo último, tienes un marcador de seguridad útil en lugar de una herramienta contra el fraude.
La respuesta del Servicio de Verificación de Dirección
Sin pasar por las redes de pago, también pierdes la respuesta del Servicio de Verificación de Dirección (AVS), que es la opinión del emisor sobre si la dirección de facturación introducida en el momento del pago coincide con la que tiene registrada. Claro que no es una solución mágica: las tasas de coincidencia de AVS varían considerablemente según la región, y los estafadores que disponen de todos los datos de la tarjeta a menudo pueden proporcionar igualmente la dirección de facturación correcta. Aun así, es una señal independiente del emisor y un punto de datos más con el que tu modelo ya no cuenta antes de la autorización.
Qué tener en cuenta al realizar la prevención de fraude antes de la autorización
Dadas estas limitaciones, ¿cómo es en realidad una buena detección de fraude previa a la autorización? Hay dos cosas que debes hacer bien.
Empieza con un modelo independiente del método de pago
El error más grave es crear o comprar un modelo de fraude que dependa profundamente de los datos de la tarjeta. Si el BIN es un dato obligatorio y el modelo literalmente no puede puntuar una transacción sin él, estarás bloqueado incluso antes de empezar.
La mayoría de los motores de fraude heredados están centrados en la tarjeta y requieren un BIN y una respuesta AVS para funcionar. En un entorno de preautorización, estos modelos no solo pierden precisión; a menudo se vuelven completamente inoperables porque les faltan los campos de datos obligatorios para los que fueron diseñados.
El mejor enfoque es un modelo diseñado desde el principio para ser agnóstico al método de pago. Piensa en lo que esto significa en la práctica: las transferencias bancarias, el BNPL, las billeteras y otros métodos de pago alternativos (APM) no incorporan ninguna de la capa de inteligencia propia de las tarjetas. Un modelo creado para gestionar pagos con tarjeta y sin tarjeta de forma simultánea ya ha aprendido a puntuar transacciones sin datos de BIN, por lo que la ausencia de datos de la tarjeta no lo hace colapsar.
También existe una versión más sutil de este problema: modelos que tratan los datos de la tarjeta como opcionales, pero aun así se degradan drásticamente cuando no los tienen. Lo que quieres es un modelo en el que la ausencia de datos de la tarjeta se gestione realmente de forma elegante, no uno que simplemente no arroje errores pero pierda silenciosamente la mitad de su capacidad de discriminación.
Compensar con señales más fuertes en otros lugares
La falta de inteligencia de tarjetas debe compensarse siendo más fuertes en todo lo demás. Hay tres categorías de señales de alta intensidad sobre las que construir:
Inteligencia del dispositivo y comportamiento basado en la identidad
Aquí es donde yo pondría mayor énfasis. Una huella digital de dispositivo rica, que persista entre sesiones y resista tácticas de evasión comunes como restablecimientos del navegador, reinstalaciones de la aplicación o suplantación del ID del dispositivo, te proporciona un identificador duradero que no tiene nada que ver con el método de pago.
Combinada con señales de comportamiento en el momento del pago, como la cadencia de escritura, los patrones de navegación y si el comportamiento coincide con sesiones anteriores, esta combinación es poderosa precisamente porque funciona de manera independiente de los datos de la tarjeta.
Un estafador puede tener una tarjeta robada perfectamente válida, pero si la huella digital de su dispositivo está vinculada a un historial de fraude y su comportamiento en el proceso de pago no coincide con nada en tu población de usuarios legítimos, puedes detectarlo antes de que la autorización llegue a la red.
Información avanzada sobre correo electrónico e IP
En ausencia de una coincidencia de dirección AVS, la dirección de correo electrónico se convierte en el ancla principal de la identidad. La antigüedad del correo, la reputación del dominio, las apariciones previas en casos de fraude con otros comercios y si el dominio es desechable están disponibles antes de la autorización, y la mayoría de los comercios los infrautiliza.
En cuanto a la IP, si puedes ver a través de proxies y VPNs hasta el verdadero origen de red del dispositivo, obtienes datos de geolocalización reales, detección entre centro de datos y residencial, y verificaciones de velocidad significativas.
Comprobaciones avanzadas de velocidad entre entidades
Los controles tradicionales de velocidad a menudo fallan en la fase de preautorización porque buscan números de tarjeta repetidos. Lo que realmente marca la diferencia es la velocidad entre entidades: si una huella de dispositivo se vincula a cinco direcciones de correo electrónico diferentes en las últimas 24 horas, si una dirección IP está asociada a una oleada de nuevas creaciones de cuentas o si varios tokens de tarjeta están impactando en el mismo dispositivo.
El patrón sigue siendo visible incluso cuando los tokens varían. Ese es el punto.
La detección de fraude previa a la autorización no te pide hacer más con menos. Te pide ser muy bueno interpretando las señales que no requieren la tarjeta, y esa es una habilidad distinta de aquella para la que están optimizados la mayoría de los sistemas de fraude posteriores a la autorización.
El enfoque de sala limpia: combinar la detección previa y posterior a la autorización
La detección previa a la autorización es una sala limpia para el ecosistema de pagos, no un sustituto de las herramientas tradicionales de prevención del fraude. El objetivo es garantizar que solo el tráfico de alta calidad y alta intención llegue a tocar los rieles de pago.
Un comerciante no tiene que elegir entre entornos de preautorización y postautorización. La defensa más sólida proviene de combinar ambas capas. El filtrado previo a la autorización se encarga del trabajo pesado de identificar bots y validar marcadores de identidad, lo que permite que la etapa posterior a la autorización actúe como un punto final de verificación utilizando los datos de autorización específicos del emisor. Esta secuencia garantiza que los modelos de riesgo más intensivos se reserven para el tráfico que ya ha demostrado un nivel básico de confianza.
La combinación ofrece ventajas claras: menores costos, relaciones más sólidas con los emisores y la capacidad de usar retroalimentación instantánea para frenar la pérdida de usuarios. Al evaluar la intención antes de que se finalice la transacción, las empresas asumen el control de la experiencia del cliente.
La conclusión
La detección de fraude previa a la autorización no es la mejor opción para todos los comercios. Si tu volumen de fraude es bajo y el esfuerzo operativo no se justifica, no hay motivo para apresurarse. Pero si estás lidiando con tasas de fraude significativas, una tasa de aceptación que se resiente o presión por el cumplimiento de VAMP, o si has visto a buenos clientes quedarse atascados porque tu modelo de fraude detectó una mala señal en su tarjeta y no tenía nada mejor que ofrecer, vale la pena preguntarse si estás interviniendo en el punto adecuado del flujo.
Las limitaciones de datos son reales, y también lo es el trabajo necesario para compensarlas. Sin embargo, cuando se hace bien, la detección previa a la autorización te da algo que la detección posterior no puede: la capacidad de detener pagos fraudulentos antes de que toquen la red y de ofrecer a los buenos clientes una mejor alternativa cuando su método de pago no va a funcionar.
Vale la pena la inversión.
