3Dセキュア（3DS）プロトコルにおいて、アクセスコントロールサーバー（ACS）は取引の認証を担当します。ACS は認証リクエスト（AReq）を用いて、摩擦のないフローで処理を進めるか、OTP などのチャレンジを導入するかを判断します。
この判断に影響を与える重要な要素のひとつがMethod URL（メソッドURL）であり、ACS がデバイスインテリジェンスを収集することを可能にします。これはAReqが開始される前に行われます。加盟店にとって、AReq を送信する前にこの Method URL を呼び出すことは、フリクションレス承認の可能性を最大化するうえで不可欠です。2025年3月時点で、MasterCard は EU 地域において Method URL の実装を必須としました。
重要な点として、PayPal のようなプラットフォームやその他の大手決済プロセッサーは、自社の SDK を通じて収集されたデバイスインテリジェンスがなければ、不正防止やセラー保護を提供しません。発行者にとってこれは、特に十分な不正対策を持たない小規模加盟店に対して、Method URL のデータなしでフリクションレスなフローを承認することは、責任リスクを大きく高めることを意味します。このような場合、発行者はチャレンジベース（フリクションあり）のフローに切り替える可能性が高くなります。
ここでは、Method URL を効果的に活用して、イシュアの責任を軽減し、リスク判断を改善し、より多くのフリクションレス認証を安全に実現する方法を説明します。
3者間における3DセキュアACS Method URL統合時の責任範囲
取引を安全に行うために、3DS Method URL は支払プロセスに関わる3者間で共有されるデータと連携を強化します。
マーチャント | ACSプロバイダー | カード発行会社 |
チェックアウトページに 3DS メソッド URL を埋め込み、ACS が追加データを収集できるようにします。 AReq を送信する前に、メソッド URL が呼び出され完了していることを保証します。 3DS SDK または JavaScript 実装のいずれかを使用して、メソッド URL を呼び出します。 | マーチャントによって呼び出されたときに、Method URL スクリプトを実行します。 デバイスおよびブラウザのデータを収集し、3DS サーバーのトランザクション ID を使用して特定の取引と関連付けます。 | あなたのACSがMethod URLをサポートしていることを確認します すべてのアカウントレンジがIdentity Service Solution Managementツール内で3DS Method URLをサポートしていることを確実にします。 |
3DセキュアにおけるメソッドURLとは何ですか？
このMethod URLは、カード発行会社または決済ネットワークによって提供される専用のエンドポイントであり、デバイス・フィンガープリンティングや環境評価を可能にします。このステップにより、加盟店や発行会社は、ユーザーのブラウザ、オペレーティングシステム、IPアドレス、その他の行動パターンに関する情報を収集することで、取引の正当性を把握できるようになります。
Method URL の主な目的は次のとおりです。
- デバイス属性の収集：ブラウザーの特性、タイムゾーン、インストールされているプラグインなどを取得します。
- 不正検知の強化： デバイスのなりすましや不規則なネットワーク動作などの異常を特定します。
- 認証効率の向上：リスクベース認証の仕組みを導入し、ユーザーの利用体験をよりスムーズにすること。
認証前のメソッドURL（AReq）リクエスト
不正検知を最適化し、よりスムーズな顧客体験を実現するためには、AReq を送信する前に Method URL を呼び出す必要があります。その理由は次のとおりです。
1. 早期リスク評価と3D不正防止
認証を開始する前にデバイスインテリジェンスを収集することで、ACS は潜在的なリスクをリアルタイムで検知できます。クレデンシャルスタッフィングやボット攻撃、エミュレーターを用いた不正侵入を試みる詐欺行為も、即座に検知・警告することが可能です。
同じデバイスシグナルによって自動化されたログイン攻撃を検知できます。その詳細については、リアルタイムボット検知で解説しています。
2. 不要なユーザー摩擦の軽減
デバイスインテリジェンスによって低リスクの行動が示されている場合、ACS は不要なチャレンジ（OTP や生体認証など）を省略してフリクションレスフローを適用できます。これにより、セキュリティを維持しつつ承認率を向上させることができます。
3. EMV 3DS メソッド URL 規格への準拠
このEMV 3DS protocolでは、不正防止と利用者認証に関する業界のベストプラクティスに沿うため、AReq の前に Method URL を呼び出すことが推奨されています。
3DセキュアACSの審査におけるMethod URLの連携フロー
一般的な3Dセキュア（3DS）のフローにおいて、Method URL は次のように組み込まれます。
- カード会員が取引を開始する：加盟店は 3DS サーバー／ディレクトリサーバーを通じて、適切な ACS メソッド URL を取得します。
- ACS がメソッド URL を呼び出す：3DS SDK は、カード保有者のブラウザから取得したデバイス情報を JavaScript（JS）を通じてメソッド URL に送信します。ACS はブラウザ、OS、IP、およびリスクシグナルを受信します。
- ACS が判断を行う： 収集されたデータに基づき、AReq が送信され （必要に応じて）、発行者の ACS が、摩擦のない認証を許可するか、チャレンジを要求するか、取引を拒否するかを判断します。
サンプルコード：JavaScript を用いたデバイスインテリジェンス収集
デバイスインテリジェンスを取得するために、Method URL は JavaScript ベースのフィンガープリンティングスクリプトを実行し、マーチャント側の 3DS SDK を介してユーザーのブラウザ上で動作します。3DS SDK はディレクトリサーバーを通じて ACS の Method URL を把握します。methodURL はフォーム送信の action として指定され、その結果として取得されるデバイスインテリジェンス用の JS はターゲットの iframe 内でレンダリングされます。ブラウザによるブロックを困難にするなど、このような複雑な連携方式が採用されたのには、何らかの合理的な理由があったと考えられます。
統合の詳細：
- 実行：3DS SDK は、Method URL レスポンス内に Device Intelligence の JavaScript を組み込みます。
- 送信されるデータ：このスクリプトはブラウザーの特性をプラグイン、画面解像度、タイムゾーンなどを含めて収集します。
- レスポンス処理：ACS はデバイスインテリジェンスを受信・処理し、認証戦略を決定します。
Method URL レスポンスに対する ACS の処理
ACS がデバイスインテリジェンスを受信すると、次のいずれかを行うかを判断します。
- 認証を進める（AReq）
- 摩擦のない認証を許可する
- 不審な取引をブロックする
ACS 実装例（Node.js）
マーチャントSDKによるMethod URLレスポンスの処理
現在、ACS が不審なデバイスを検知した場合、認証を拒否し、マーチャント SDK に AReq を実行しないよう通知します。
ACS連携：
- メソッドURLの実行を通じてデバイスインテリジェンスを受信します。
- 収集した属性に基づいて不正検知を行います。
- 認証結果を返します。
発行者がMethod URLを利用すべき理由
Method URL は 3D セキュア認証において重要な役割を果たし、デバイス・フィンガープリンティングと不正検知を可能にします。JavaScript ベースのフィンガープリンティングを導入し、ACS でレスポンスを適切に処理することで、イシュアは認証を最適化し、不正を防止し、取引のセキュリティを強化できます。
発行処理業者またはイシュアが、不正を抑止しつつフリクションレス認証の割合を高めるためにACSサーバーの改善支援を必要としている場合は、Sardine までお問い合わせください。Sardine はデバイス、行動、および顧客（AReq）のデータを活用して極めて精緻な判断を行います。
サーディンにお問い合わせください、不正を増やすことなくフリクションレス承認をさらに高める方法について詳しく知りたい場合は。
よくある質問
3Dセキュアはどのようにしてオンライン決済の不正利用を減らしますか？
3Dセキュアでは、カード名義人が支払い時に本人確認を行う必要があるため、犯罪者が盗まれたカード情報を使って不正な取引を完了することがはるかに難しくなります。
3DセキュアにおけるメソッドURLとは何ですか？また、なぜ重要なのですか？
Method URL は、認証前にデバイス情報やブラウザーデータを収集するための仕組みです。これらの情報は、イシュアーがリスクを評価するのに役立ち、より高度な不正検知と、よりスムーズで摩擦の少ない承認を可能にします。
3Dセキュアを使えば、すべてのチャージバックを防止できますか？
いいえ。3Dセキュアは、不正利用に起因するチャージバックを防ぐのに最も効果的ですが、商品に関するトラブル、サービス上の問題、お客様の不満などを理由とするチャージバックを防ぐことはできません。
3Dセキュア2は、すべての加盟店にとって必須ですか？
3DS2 は世界的に義務化されているわけではありませんが、強く推奨されています。EU のように、一部の地域では PSD2 の下で強力な顧客認証（SCA）への準拠のために必須となっています。
デバイスインテリジェンスは、どのようにしてシームレスな認証を実現するのですか？
デバイスインテリジェンスにより、発行者はリアルタイムでリスクをより正確に評価できます。リスクの低い取引は追加の顧客手続きなしで承認でき、その結果、支払い体験がスムーズになり、承認率も向上します。
不正リスクを高めずにスムーズな承認件数を増やしたい場合、どうすればよいですか？
ACS と決済スタックで、Method URL を用いたデバイスインテリジェンス対応の 3DS2 を必ず利用してください。また、Sardine のような不正防止パートナーと連携し、認証フローとリスク評価を細かく最適化しましょう。