3-D Secure: как подтверждается оплата картой и что делать при сбое
3-D Secure помогает банку проверить держателя карты при оплате в интернете. При одной покупке дополнительное действие не требуется, при другой банк запрашивает подтверждение. Поэтому отсутствие СМС само по себе не означает сбой, а введённый код ещё не доказывает, что заказ оплачен.
Если экран уже ждёт код, а он не приходит, обращайтесь в банк, выпустивший карту. Если после проверки исход покупки неясен, сначала сверьте операцию в банке и состояние заказа, затем попросите продавца уточнить итог. До этого повторять оплату рискованно: первоначальная операция может ещё обрабатываться.
- 3-D Secure проверяет держателя карты, а не сообщает окончательный результат оплаты заказа.
- Банк может провести проверку без СМС или запросить дополнительное действие.
- CVC/CVV на карте и одноразовый код подтверждения выполняют разные задачи.
- Если запрошенный код не приходит, вопрос следует адресовать банку, выпустившему карту.
- При неясном исходе проверьте операцию и заказ до новой попытки оплаты.
- Покупку, которую вы не совершали, подтверждать нельзя; код посторонним не сообщают.
Что проверяет 3-D Secure при оплате картой
При покупке в интернете продавец не видит карту в руках покупателя. 3-D Secure помогает проверить, что оплату совершает её держатель. Для этого продавец и банк, выпустивший карту, обмениваются сведениями об операции, способе оплаты и устройстве. Банк получает данные для проверки в тот момент, когда покупатель оформляет платёж.
Проверка держателя и оплата заказа связаны, но это разные события. Банк может запросить у покупателя дополнительное действие, прежде чем операция продолжится. После этого платёж ещё должен получить итоговый результат, а продавец должен отразить его в заказе. Сообщение об успешном подтверждении нельзя без дополнительной сверки считать сообщением о выполненном заказе.
Реквизит карты и проверка держателя
Здесь легко смешать три разные вещи. CVC/CVV обозначает три цифры проверки подлинности на обороте карты. СМС-код, если банк его запросил, относится к отдельному подтверждению платежа. 3-D Secure обозначает сам механизм проверки держателя при интернет-покупке: дополнительное действие в нём может понадобиться, а может и не понадобиться.
Если на странице оплаты просят реквизиты карты, это ещё не значит, что перед вами запрос дополнительного подтверждения. И наоборот, одноразовый код не становится ещё одним реквизитом карты. Подробнее о назначении напечатанных цифр рассказано в материале о том, чем отличается CVC/CVV.
При сбое это различие помогает определить, какой вопрос задавать. Сообщение о проблеме с оплатой само по себе не показывает, на каком этапе возникло затруднение. Вспомните, запрашивал ли банк дополнительное действие, удалось ли его выполнить и появился ли понятный итог заказа. Вопрос о запрошенном коде относится к банку, а итог покупки нужно сверять с продавцом.
Когда 3-D Secure проходит без кода и когда банк просит подтверждение
Дополнительный код не является обязательным признаком каждой проверки. В рамках 3-D Secure часть операций может пройти без отдельного действия покупателя. В другом случае банк, оценив операцию, может запросить подтверждение. Покупатель видит разницу по происходящему на экране, но отсутствие запроса не доказывает, что проверки не было.
Когда СМС не запрашивали
Ситуация, когда после оформления покупки СМС не пришло и экран не просил его вводить, отличается от ситуации, когда код запрошен, но не получен. В первом случае искать сообщение только потому, что при прошлой покупке оно было, не требуется. Во втором есть конкретный незавершённый запрос, с которым нужно разбираться.
Способ дополнительной проверки определяет банк. Возможны одноразовый код, биометрия, ответ на вопрос или другой способ. Это перечень возможностей протокола, а не обещание, что определённый банк предложит все варианты. По нему нельзя заранее предсказать и то, какой способ появится при следующей покупке той же картой.
Две покупки одной картой могут проходить по-разному. При одной банк не просит покупателя о дополнительном действии, при другой появляется отдельный запрос на подтверждение. При этом банк может оценивать сведения об операции, способе оплаты и устройстве. Из различия между экранами нельзя заключить, что вторая покупка непременно завершится успешно.
Для карт Мир есть связанное понятие MirAccept 2.0. НСПК описывает его как протокол проверки держателей карт Мир при интернет-операциях, основанный на спецификациях 3-D Secure. Это поясняет связь технологий, но не устанавливает единый вид страницы подтверждения и не обещает СМС при каждой оплате картой Мир. Более широкий контекст платёжной системы есть в материале о том, как устроена карта Мир.
Ориентируйтесь на запрос, который действительно появился при вашей оплате. Пока отдельного запроса кода нет, отсутствие сообщения не является самостоятельным признаком ошибки. Если же страница ждёт определённое действие, разбираться нужно именно с этим запросом, а не с тем, как проходили прежние покупки.
Почему проверка держателя ещё не означает оплату заказа
После дополнительного подтверждения покупатель нередко снова видит страницу магазина. Переход легко принять за признак успеха: действие выполнено, страница продавца открылась. Но возврат в магазин сам по себе не сообщает итог оплаты.
У ЮKassa описан конкретный порядок, при котором покупателя могут направить на подтверждение, в том числе через 3-D Secure. После этого он возвращается на страницу продавца как при успешной оплате, так и при сбое. В этом случае по одному возвращению нельзя судить о результате. Нужно посмотреть, что продавец показывает по самому заказу.
Что бывает после действия покупателя
Действие покупателя не равно окончательному состоянию платежа. В описании ЮKassa после подтверждения платёж может продолжить обработку, успешно завершиться или быть отменён. Эти варианты относятся к конкретной системе приёма платежей. Переносить её названия состояний и порядок обработки на любой магазин было бы ошибкой.
Отдельный случай возникает при двухстадийной оплате через ЮKassa. Деньги могут быть авторизованы и ожидать последующего списания. Для покупателя это важно, если банковская операция уже видна, а заказ ещё не выглядит завершённым. Видимость операции не позволяет обещать ни немедленное списание, ни определённый срок изменения её состояния. Выяснять нужно итог конкретной покупки.
Проверка состоит из двух вопросов. Что банк показывает по операции с картой? Что продавец показывает по заказу и считает ли его оплаченным? Ответ только на один вопрос может оставить неопределённость. Например, возврат на страницу магазина не раскрывает состояние банковской операции, а запись об операции сама по себе не подтверждает, что продавец оформил заказ.
Это особенно заметно, когда в банке уже появилась запись об операции, а продавец ещё не показал оплаченный заказ. Один экран не объясняет другой: исход первоначальной попытки нужно выяснить по обоим сведениям.
Если экран банка ждёт код, а он не приходит
Здесь важно точное условие: на странице подтверждения уже есть запрос кода, но сообщения с ним нет. Это не тот случай, когда банк провёл проверку без дополнительного действия. Отсутствие СМС без запроса кода само по себе ничего не говорит о сбое; отсутствие кода при открытом запросе мешает выполнить именно запрошенное подтверждение.
В инструкции Альфа-Банка для такого случая с СМС покупателю предложено обратиться в банк, выдавший карту. Этот совет не означает, что каждый платёж должен сопровождаться сообщением. Он помогает выбрать адрес обращения, когда экран действительно ждёт код. Банк, выпустивший карту участвует в проверке держателя.
Перед обращением полезно подготовить сведения о попытке оплаты без раскрытия секретов: название магазина, сумму, примерное время и то, что видно на экране. Так банку проще определить, о каком запросе идёт речь. Не передавайте другому человеку одноразовый код, если он всё же придёт, а также CVC/CVV карты. Банк России предупреждает о недопустимости сообщения таких данных посторонним.
Не пытайтесь установить техническую причину только по отсутствию сообщения. Этот признак не показывает, какое решение принял банк и что произошло с самой операцией. Если страница оплаты уже закрылась или вернула вас в магазин, вопрос о результате самой покупки остаётся открытым.
Вопрос о непришедшем запрошенном коде адресуйте банку, который выпустил карту. Если неясно, принят ли заказ, уточните результат у продавца. Отсутствие кода не даёт ответа за обе стороны операции.
Если платёж отклонён или итог после проверки неясен
При отказе легко сосредоточиться на 3-D Secure, особенно если незадолго до него появлялся экран подтверждения. Но по отказу нельзя установить, что сбой произошёл именно в 3-D Secure. В инструкции Альфа-Банка среди возможных причин отказа названы запрет интернет-платежей по карте и недостаток денег. Это примеры причин отказа при оплате картой, а не объяснение для каждого сбоя подтверждения.
Проверьте только то, что можете установить сами: достаточно ли денег и допускает ли карта интернет-платежи по известным вам условиям. Если причина не стала ясна, спросите банк об операции. Перечень возможных причин не заменяет ответ банка по конкретному платежу.
Неясный итог требует другой проверки. Покупатель мог выполнить подтверждение и вернуться в магазин, но не увидеть понятного результата. Таблица ниже помогает разделить отказ, неизвестный исход и расхождение между записью об операции и состоянием заказа. Названия банковских операций могут различаться, поэтому важен ответ именно по вашей покупке.
| Ситуация | Чего пока нельзя заключить | Что проверить | К кому обратиться |
|---|---|---|---|
| Оплата отклонена | Что причиной стал именно 3-D Secure | Деньги и условия интернет-платежей | В банк, если причина неясна |
| Вы вернулись в магазин без ясного итога | Что заказ уже оплачен или точно отменён | Операцию в банке и состояние заказа | К продавцу за итогом покупки |
| Операция видна, но заказ не подтверждён | Что запись об операции равна завершённому заказу | Состояние операции и первоначального заказа | К продавцу, затем при необходимости в банк |
Таблица не заменяет сведения банка и продавца и не приписывает всем системам приёма платежей одинаковые состояния. Для неизвестного исхода сохраняйте сведения о первоначальной попытке, чтобы не обсуждать с поддержкой уже другую покупку.
Если пришёл запрос подтвердить покупку, которую вы не совершали
Запрос о незнакомой покупке требует другого решения, чем сбой вашей собственной оплаты. Если вы не совершали покупку, не подтверждайте её. Банк России советует игнорировать запрос подтверждения такой операции. Появление сообщения само по себе не делает покупку вашей и не создаёт обязанности завершить действие на экране.
Не сообщайте одноразовый код человеку, который позвонил или написал по поводу этого запроса. Это правило сохраняется, даже если собеседник знает какие-то сведения о покупке или называет себя сотрудником магазина. Код предназначен для подтверждения действия владельцем карты, а передача его постороннему человеку лишает вас контроля над этим действием.
Если вы хотите разобраться, посмотрите операции по карте через привычный банковский канал. Так можно отделить нежелательный запрос от ситуации, в которой уже есть операция и требуется объяснение банка. При обращении опишите незнакомый запрос, не называя код и CVC/CVV.