No protocolo 3D Secure (3DS), o Access Control Server (ACS) é responsável por autenticar as transações. O ACS utiliza a solicitação de autenticação (AReq) para decidir se deve prosseguir com um fluxo sem fricção ou introduzir um desafio, como um OTP.
Um componente fundamental que influencia essa decisão é o Method URL, que permite ao ACS coletar inteligência do dispositivo antes que o AReq seja iniciado. Para os comerciantes, acionar essa Method URL antes de enviar o AReq é essencial para maximizar as chances de uma aprovação sem fricção. A partir de março de 2025, a MasterCard tornou obrigatório ter uma Method URL na região da UE.
É importante destacar que plataformas como o PayPal e outros grandes processadores de pagamento não oferecem proteção contra fraude ou proteção ao vendedor sem a inteligência de dispositivo coletada por meio de seus SDKs. Para os emissores, isso significa que aprovar fluxos sem fricção, especialmente para pequenos comerciantes sem defesas robustas contra fraude, sem os dados do Method URL aumenta significativamente a responsabilidade. Nesses casos, é provável que os emissores recorram a um fluxo baseado em desafio (com fricção).
Veja como aproveitar efetivamente a Method URL para reduzir a responsabilidade do emissor, melhorar as decisões de risco e permitir com segurança mais autenticações sem fricção.
Responsabilidades das três partes na integração do URL do método ACS 3D Secure
Para garantir a segurança das transações, o 3DS Method URL aumenta a quantidade de dados compartilhados e a colaboração entre as três partes envolvidas no processo de pagamento.
Comerciante | Provedor ACS | Emissor do Cartão |
Incorpora a URL do método 3DS na página de checkout para permitir que o ACS colete dados adicionais. Garante que a URL do método seja acionada e concluída antes de enviar o AReq. Utiliza o SDK 3DS ou uma implementação em JavaScript para acionar a URL do método. | Executa o script de URL do Método quando acionado pelo lojista. Coleta dados do dispositivo e do navegador, vinculando-os à transação específica usando o ID de transação do servidor 3DS. | Confirma que o seu ACS é compatível com o URL do Método Garante que todos os intervalos de contas suportam o URL do Método 3DS na ferramenta Identity Service Solution Management. |
O que é uma URL de Método no 3D Secure?
O Method URL é um endpoint designado fornecido pelo emissor do cartão ou pela rede de pagamento, que permite a identificação do dispositivo e a avaliação do ambiente. Essa etapa ajuda comerciantes e emissores a entenderem a legitimidade de uma transação ao coletar informações sobre o navegador do usuário, sistema operacional, endereço IP e outros padrões de comportamento.
Os principais objetivos do Method URL incluem:
- Coleta de atributos do dispositivo: Captura de características do navegador, fuso horário, plugins instalados e muito mais.
- Aprimorando a detecção de fraude: Identificando anomalias, como falsificação de dispositivos ou comportamento de rede irregular.
- Melhorando a eficiência da autenticação: Habilitando mecanismos de autenticação baseados em risco para jornadas de usuário mais fluidas.
URL do método antes da solicitação de autenticação (AReq)
Para uma detecção de fraude ideal e uma experiência do cliente mais fluida, a Method URL deve ser acionada antes de enviar o AReq. Veja por quê:
1. Avaliação precoce de risco e prevenção de fraude em 3D
Ao coletar informações do dispositivo antes do início da autenticação, o ACS pode detectar riscos potenciais em tempo real. Fraudadores que tentem ataques de preenchimento de credenciais, ataques de bots ou invasões baseadas em emuladores podem ser sinalizados imediatamente.
Os mesmos sinais do dispositivo detectam ataques de login automatizados, que abordamos em detecção de bots em tempo real.
2. Reduzindo o atrito desnecessário para o usuário
Se a inteligência do dispositivo indicar comportamento de baixo risco, o ACS pode aplicar um fluxo sem fricção, pulando desafios desnecessários (como OTP ou autenticação biométrica). Isso melhora as taxas de aprovação, mantendo a segurança.
3. Conformidade com os padrões de URL do método EMV 3DS
O protocolo EMV 3DS recomenda invocar a Method URL antes do AReq para se alinhar às melhores práticas do setor em prevenção de fraude e autenticação do usuário.
Fluxo de integração do Method URL na decisão do ACS em 3D Secure
Veja como a URL do Método se encaixa em um fluxo típico de 3DS:
- O titular do cartão inicia a transação: O comerciante obtém o URL de método ACS apropriado por meio do servidor 3DS/servidor de diretório.
- ACS invoca o URL do Método: O SDK 3DS envia informações do dispositivo a partir do navegador do portador do cartão via JavaScript (JS) para o URL do Método. O ACS recebe sinais do navegador, sistema operacional, IP e risco.
- ACS toma uma decisão: Com base nos dados coletados, AReq é enviada (se necessário), e o emissor ACS determina se permite uma autenticação sem fricção, solicita um desafio ou rejeita a transação.
Exemplo de código: coleta de inteligência de dispositivo baseada em JavaScript
Para capturar a inteligência do dispositivo, o URL do Método executa um script de fingerprinting em JavaScript no navegador do usuário por meio do SDK 3DS no estabelecimento. O SDK 3DS saberá o URL do Método ACS por meio do servidor de diretório. O methodURL é a ação de um envio de formulário, e o JS de inteligência de dispositivo resultante do methodURL é renderizado no iframe de destino. Devem ter existido boas razões para essa abordagem de integração tão complexa, como, por exemplo, dificultar que os navegadores a bloqueiem.
Detalhes da integração:
- Execução:O SDK 3DS incorpora o JavaScript do Device Intelligence na resposta do Method URL.
- Dados enviados: O script coleta características do navegador, incluindo plugins, resolução de tela e fuso horário.
- Tratamento da Resposta: O ACS recebe e processa as informações do dispositivo para determinar a estratégia de autenticação.
Tratamento da resposta de Method URL pelo ACS
Assim que o ACS recebe as informações do dispositivo, ele decide se deve:
- Prosseguir com a autenticação (AReq)
- Permitir autenticação sem fricção
- Bloquear transações suspeitas
Exemplo de implementação de ACS (Node.js)
SDK do Comerciante lidando com a resposta da Method URL
Agora, quando o ACS detecta um dispositivo suspeito, ele rejeita a autenticação e informa ao SDK do lojista para não prosseguir com o AReq.
Integração com o ACS:
- Recebe inteligência do dispositivo por meio da execução de uma URL de método.
- Aplica detecção de fraude com base nos atributos coletados.
- Responde com uma decisão de autenticação.
Por que os emissores devem usar a URL do Método
O Method URL desempenha um papel fundamental na autenticação 3D Secure ao possibilitar a identificação do dispositivo e a detecção de fraude. Ao integrar a coleta de dados via JavaScript e tratar corretamente as respostas no ACS, os emissores podem otimizar a autenticação, prevenir fraudes e aumentar a segurança das transações.
Se um processador emissor ou emissor precisar de ajuda com o seu Servidor ACS para reduzir fraudes ou aumentar o fluxo frictionless sem comprometer a segurança contra fraudes, entre em contato com a Sardine. A Sardine utilizará dados de Dispositivo, Comportamento e Cliente (AReq) para tomar uma decisão ultraprécisa.
Entre em contato com a Sardine se você quiser explorar mais maneiras de aumentar aprovações sem fricção sem aumentar a fraude.
Perguntas frequentes
Como o 3D Secure ajuda a reduzir fraudes em pagamentos online?
O 3D Secure exige que os titulares do cartão verifiquem a sua identidade durante o checkout, tornando muito mais difícil para criminosos concluírem transações fraudulentas com informações de cartão roubadas.
O que é a URL do método em 3D Secure e por que ela é importante?
A URL do método é um mecanismo para coletar informações do dispositivo e dados do navegador antes da autenticação. Essas informações ajudam os emissores a avaliar o risco, possibilitando uma detecção de fraude mais inteligente e aprovações com menos fricção.
O 3D Secure impede todos os chargebacks?
Não, o 3D Secure é mais eficaz para evitar estornos relacionados a fraude. Ele não protege contra estornos decorrentes de disputas sobre o produto, problemas de serviço ou insatisfação do cliente.
O 3DS2 é obrigatório para todos os comerciantes?
O 3DS2 não é obrigatório em todo o mundo, mas é altamente recomendado. Em algumas regiões, como a UE sob a PSD2, ele é exigido para cumprir os requisitos de Autenticação Forte do Cliente (SCA).
Como a inteligência de dispositivos melhora a autenticação sem fricção?
A inteligência de dispositivo permite que os emissores avaliem o risco com mais precisão em tempo real. Transações de baixo risco podem ser aprovadas sem etapas extras para o cliente, resultando em uma experiência de pagamento mais fluida e em taxas de aprovação mais altas.
O que devo fazer se quiser aumentar as aprovações sem atrito sem elevar o risco de fraude?
Garanta que seu ACS e sua stack de pagamentos estejam usando 3DS2 com inteligência de dispositivo via Method URL. Trabalhe com parceiros de prevenção a fraude, como a Sardine, para ajustar a autenticação e a avaliação de risco.