Аутентификация 3‑D Secure
Общая информация
Аутентификация пользователя с использованием протокола 3‑D Secure (Three-Domain Secure) предназначена для безопасного проведения интернет-оплат с использованием платёжных карт. Такая аутентификация, как правило, обязательна для проведения оплаты и может выполняться по-разному: как с необходимостью пользователя выполнить определённые действия для подтверждения своей личности, так и без такой необходимости.в следующих вариантах:
Аутентификация 3‑D Secure может выполняться в следующих вариантах:
- Аутентификация без участия пользователя (frictionless flow). В этом случае личность пользователя подтверждается исходя из информации, которой располагает эмитент.
- Аутентификация с подтверждением пользователем своей личности (challenge flow). В этом случае подтверждение личности пользователя выполняется, например, с использованием одноразового кода или биометрических данных, если такая возможность поддерживается эмитентом.
Со стороны мерчанта выбрать требуемый вариант аутентификации нельзя, поддерживается только указание предпочтений по такому выбору, но итоговое решение принимается на стороне эмитента. Кроме указания предпочтений в запросах на вызов платёжной формы можно передавать ряд других необязательных параметров — это может повысить вероятность выбора варианта аутентификации frictionless flow. Информация о таких параметрах представлена далее.
Особенности
Область применения
Выполнение аутентификации 3‑D Secure, как правило, обязательно для платежей с прямым использованием платёжных карт. Это связано с требованиями второй директивы о платёжных услугах (Payment Services Directive 2, PSD2), включающими в себя необходимость выполнения строгой аутентификации пользователя (Strong Customer Authentication, SCA) при проведении таких платежей.
К платежам, на которые не распространяются требования PSD2 к строгой аутентификации, относятся:
- Оплаты с использованием платёжных карт не из Европейской экономической зоны.
- Оплаты с использованием анонимных предоплаченных платёжных карт, например с использованием подарочной карты или виртуальной карты с предоплаченной стоимостью.
- Оплаты категории Mail Order/Telephone Order (MO/TO).
- Оплаты, инициируемые мерчантом (Merchant-initiated transactions, MIT); в платёжной платформе ecommpay к ним относятся регулярные оплаты и автооплаты (с типом платежа
recurring), а также операции по изменению суммы предварительной блокировки (с типом операцииincremental). - Оплаты с использованием большинства альтернативных платёжных методов.
В платёжной платформе поддерживается определение таких платежей и аутентификация для них не выполняется.
Допустимые исключения
Директива PSD2 допускает наличие исключений (SCA Exemptions), при которых аутентификация может не выполняться по решениям эмитентов. Такими исключениями могут выступать платежи следующих категорий:
- Платежи на незначительные суммы (Low value) — оплаты на суммы до 25 фунтов стерлингов (в пределах Великобритании) или 30 евро (в пределах Европейской экономической зоны), в случаях, когда с момента последней успешной аутентификации было проведено не более пяти платежей и общая сумма этих платежей не превышает 85 фунтов стерлингов или 100 евро соответственно.
- Платежи с низким уровнем риска (Transaction Risk Analysis) — оплаты, проводимые эквайером, уровень мошенничества в платёжном трафике которого соответствует порогам, заданным в PSD2.
- Платежи доверенным мерчантам (Trusted beneficiaries) — оплаты в пользу тех мерчантов, которые по инициативе или с согласия держателя карты занесены в список доверенных.
- Безопасные корпоративные платежи (Corporate payments) — оплаты, инициируемые юридическими лицами с использованием процессов и протоколов, обеспечивающих высокий уровень защиты от мошенничества.
В платёжной платформе поддерживается работа с исключениями для платежей с использованием карт платёжных систем Mastercard и Visa на заданную сумму или с соответствующим заданным порогам уровнем риска.
Работа с допустимыми исключениями
Применение исключений может помочь снизить количество действий со стороны пользователя и положительно влиять на проходимость платежей. При этом ответственность за возможные мошеннические действия для таких платежей возлагается на мерчанта.
Если эта возможность подключена, соответствующие исключения применяются автоматически, кроме отдельных платежей, для которых со стороны мерчанта указано предпочтительное выполнение аутентификации. При этом следует учитывать, что в случае проведения платежа, который относится к исключениям, решение о необходимости аутентификации остаётся за эмитентом. С его стороны может быть направлен «мягкий отказ» (soft decline), означающий необходимость выполнения аутентификации. В случае получения такого отказа аутентификация для такого платежа выполняется стандартно, без применения исключений, и, как правило, в варианте challenge flow. Кроме того, исключения не могут применяться при регистрации повторяемой оплаты — в этом случае выполнение аутентификации 3‑D Secure обязательно.
Информация о применённых исключениях передаётся в оповещениях о результате платежа и отображается карточках платежей в интерфейсе Dashboard. По вопросам, касающимся подключения этой возможности, можно обращаться к курирующему менеджеру ecommpay.
Пользовательские сценарии
Со стороны пользователя проведение оплаты с аутентификацией 3‑D Secure может выглядеть следующим образом:
- На стороне веб-сервиса мерчанта пользователь подтверждает готовность перейти к оплате.
- Пользователю отображается платёжная форма с учётом параметров её вызова, после чего он выполняет необходимые действия, подтверждает оплату и ему отображается страница ожидания Payment Page.
- Если эмитентом выбран вариант аутентификации challenge flow, пользователю отображается страница аутентификации (ACS), после чего он выполняет необходимые действия и ему отображается страница ожидания Payment Page.
- Пользователю отображается страница Payment Page с информацией о результате оплаты.
Подключение
Аутентификация 3‑D Secure подключается для проекта специалистами ecommpay вместе с подключением карточных платежей, дополнительных действий со стороны мерчанта не требуется.
Форматы данных
Обязательные параметры
В запросах на проведение платежей с прямым использованием платёжных карт необходимо передавать один из следующих параметров.
| Параметры | Описание |
|---|---|
|
|
Адрес электронной почты пользователя. Необходимо передавать, если не передан номер телефона пользователя |
|
|
Номер телефона пользователя. Необходимо передавать, если не передан адрес электронной почты пользователя |
В запросах на проверку платёжных инструментов (режим работы платёжной формы Card Verify) передавать эти параметры не требуется.
Рекомендуемые параметры
Для повышения вероятности выбора варианта аутентификации frictionless flow при вызове платёжной формы рекомендуется передавать дополнительную информацию о платеже и о пользователе. Это может быть, например, информация о предпочтительном варианте аутентификации, выбранном способе доставки, платёжном адресе пользователя и его контактных данных. Такую информацию можно собирать любым удобным способом, в том числе непосредственно в платёжной форме (с использованием возможности сбора данных о пользователях) и указывать в следующих параметрах.
| Параметр | Описание | |
|---|---|---|
|
|
Информация о деталях покупки пользователя и о предпочтительном для мерчанта варианте аутентификации. Передаётся в виде строки, полученной в результате кодирования с применением алгоритма Base64 JSON-объекта {
"payment":{
"reorder":"01",
"preorder_purchase":"01",
"preorder_date":"11-10-2022",
"challenge_indicator":"01",
"challenge_window":"01",
"gift_card":{
"amount":12345,
"currency":"USD",
"count":1
}
}
}
|
2 |
|
|
Указатель предпочтения по использованию варианта аутентификации challenge flow. Возможные значения:
|
2-12 |
|
|
Размер окна для открытия страницы аутентификации. Возможные значения:
|
2-22 |
|
|
Планируемая дата поступления товара или услуги в формате ДД-ММ-ГГГГ |
2-32 |
|
|
Индикатор предварительного заказа. Возможные значения:
|
2-42 |
|
|
Индикатор первичной или повторной покупки данного товара или услуги пользователем. Возможные значения:
|
2-52 |
|
|
Объект с информацией об оплате предоплаченными или подарочными картами | 2-62 |
|
|
Общая сумма оплаты предоплаченными или подарочными картами в минорных единицах валюты | 2-6-12-6 |
|
|
Код валюты оплаты предоплаченными или подарочными картами в формате ISO 4217 alpha-3 (например, GBP) |
2-6-22-6 |
|
|
Количество предоплаченных или подарочных карт, использованных для оплаты | 2-6-32-6 |
|
|
Информация об учётной записи пользователя на стороне веб-сервиса и о контактных данных пользователя. Передаётся в виде строки, полученной в результате кодирования с применением алгоритма Base64 JSON-объекта {
"customer":{
"address_match":"Y",
"home_phone":"44991234567",
"work_phone":"44997654321",
"account":{
"additional":"gamer12345",
"age_indicator":"01",
"date":"01-10-2022",
"change_indicator":"01",
"change_date":"01-10-2022",
"pass_change_indicator":"01",
"pass_change_date":"01-10-2022",
"purchase_number":12,
"provision_attempts":16,
"activity_day":22,
"activity_year":222,
"payment_age_indicator":"01",
"payment_age":"01-10-2022",
"suspicious_activity":"01",
"auth_method":"01",
"auth_time":"01-10-202213:12",
"auth_data":"login_0102"
}
}
}
|
3 |
|
|
Указатель совпадения платёжного адреса пользователя с адресом доставки, указанным в объекте Возможные значения:
|
3-13 |
|
|
Номер домашнего телефона пользователя, может содержать только цифры, от четырёх до двадцати четырёх (например, 44991234567) |
3-23 |
|
|
Номер рабочего телефона пользователя, может содержать только цифры, от четырёх до двадцати четырёх (например, 44997654321) |
3-33 |
|
|
Объект, содержащий информацию об учётной записи пользователя на стороне мерчанта | 3-43 |
|
|
Дополнительная информация об учётной записи пользователя, например её идентификатор; в произвольном формате с использованием до шестидесяти четырёх символов | 3-4-13-4 |
|
|
Количество попыток проведения оплаты за последние 24 часа, не более трёх символов (999) |
3-4-23-4 |
|
|
Количество попыток проведения оплаты за последние 365 дней, не более трёх символов (999) |
3-4-33-4 |
|
|
Количество дней с момента создания учётной записи пользователя. Возможные значения:
|
3-4-43-4 |
|
|
Дополнительная информация об аутентификации на стороне веб-сервиса в произвольном формате. Параметр может содержать не более 255 символов | 3-4-53-4 |
|
|
Указатель способа последней аутентификации пользователя на стороне веб-сервиса. Возможные значения:
|
3-4-63-4 |
|
|
Дата и время последней аутентификации пользователя на стороне веб-сервиса в формате ДД-ММ-ГГГГчч:мм |
3-4-73-4 |
|
|
Дата создания учётной записи в формате ДД-ММ-ГГГГ |
3-4-83-4 |
|
|
Дата последних изменений в учётной записи, за исключением изменения или сброса пароля, в формате ДД-ММ-ГГГГ |
3-4-93-4 |
|
|
Количество дней с момента последних изменений в учётной записи, за исключением изменения или сброса пароля. Возможные значения:
|
3-4-103-4 |
|
|
Дата последнего изменения или сброса пароля в формате ДД-ММ-ГГГГ |
3-4-113-4 |
|
|
Количество дней с момента последнего изменения или сброса пароля. Возможные значения:
|
3-4-123-4 |
|
|
Дата добавления платёжных данных карты в формате ДД-ММ-ГГГГ |
3-4-133-4 |
|
|
Количество дней с момента сохранения данных платёжной карты, используемой для проведения платежа, в учётной записи пользователя. Возможные значения:
|
3-4-143-4 |
|
|
Количество попыток сохранения новых платёжных данных карты за последние 24 часа, не более трёх символов (999) |
3-4-153-4 |
|
|
Количество покупок, совершённых через эту учётную запись за последние 6 месяцев, не более четырёх символов (9999) |
3-4-163-4 |
|
|
Индикатор подозрительной активности. Возможные значения:
|
3-4-173-4 |
|
|
Информация о доставке товара или услуги пользователю. Передаётся в виде строки, полученной в результате кодирования с применением алгоритма Base64 JSON-объекта {
"customer":{
"shipping":{
"type":"01",
"delivery_time":"01",
"delivery_email":"test@gmail.com",
"address_usage_indicator":"01",
"address_usage":"01-10-2022",
"city":"Vilnius",
"country":"LT",
"address":"Dukstu street 30",
"postal":"LT-071171",
"region_code":"VL",
"name_indicator":"01"
}
}
}
|
4 |
|
|
Объект, содержащий информацию о доставке | 4-14 |
|
|
Адрес доставки, не более ста пятидесяти символов | 4-1-14-1 |
|
|
Дата первого использования адреса доставки, указанного в параметрах этого объекта, в формате ДД-ММ-ГГГГ |
4-1-24-1 |
|
|
Количество дней с момента первого использования адреса доставки, указанного в параметрах этого объекта. Возможные значения:
|
4-1-34-1 |
|
|
Название города доставки, не более пятидесяти символов | 4-1-44-1 |
|
|
Код страны доставки в формате ISO 3166-1 alpha-2 (например, LT) |
4-1-54-1 |
|
|
Адрес электронной почты в случае доставки на этот адрес. Может содержать не более 255 символов | 4-1-64-1 |
|
|
Срок доставки. Возможные значения:
|
4-1-74-1 |
|
|
Индикатор совпадения имени пользователя с именем получателя. Возможные значения:
|
4-1-84-1 |
|
|
Почтовый индекс доставки, не более шестнадцати символов | 4-1-94-1 |
|
|
Код штата, провинции или региона страны в формате ISO 3166-2, например VL для Вильнюсского уезда.При указании значения этого параметра также необходимо указать значение параметра |
4-1-104-1 |
|
|
Способ доставки, выбранный пользователем. Возможные значения:
|
4-1-114-1 |
|
|
Информация о предыдущей аутентификации пользователя. Передаётся в виде строки, полученной в результате кодирования с применением алгоритма Base64 JSON-объекта {
"customer":{
"mpi_result":{
"acs_operation_id":"00000000-0005-5a5a-8000-016d3ea31d54",
"authentication_flow":"01",
"authentication_timestamp":"202210101050"
}
}
}
|
5 |
|
|
Объект с данными о предыдущей аутентификации пользователя | 5-15 |
|
|
Идентификатор предыдущей операции пользователя на стороне эмитента, не более тридцати шести символов. В качестве этого идентификатора необходимо использовать значение, полученное в параметре acs_operation_id оповещения о результате проведения предыдущего платежа |
5-1-15-1 |
|
|
Указатель варианта предыдущего прохождения аутентификации пользователем, полученное в параметре Возможные значения:
|
5-1-25-1 |
|
|
Дата и время предыдущей успешной аутентификации пользователя. В качестве значения необходимо использовать данные, полученные в параметре mpi_timestamp оповещения о результате проведения предыдущего платежа |
5-1-35-1 |
|
|
Улица платёжного адреса пользователя | 6 |
|
|
Город платёжного адреса пользователя | 7 |
|
|
Страна платёжного адреса пользователя в формате ISO 3166-1 alpha-2 | 8 |
|
|
Почтовый индекс платёжного адреса пользователя | 9 |
|
|
Код штата, провинции или региона страны в формате ISO 3166-2, например VL для Вильнюсского уезда.При указании значения этого параметра также необходимо указать значение параметра |
10 |
|
|
Адрес электронной почты пользователя | 11 |
|
|
Номер телефона пользователя, может содержать только цифры, от четырёх до двадцати четырёх | 12 |