Когда вы принимаете кредитные и дебетовые карты, вы должны защищать платежные данные клиента и минимизировать вероятность платежного мошенничества. Аутентификация является передовой практикой в платежной индустрии для повышения безопасности платежей: она дает держателю карты возможность доказать, что он совершает платеж на законных основаниях.

Аутентификация работает как проверка личности в момент совершения платежа. Методы биометрической аутентификации, такие как отпечаток пальца, сканирование лица или ключ доступа, отлично подходят для быстрой и простой верификации клиента, поскольку злоумышленнику сложно их подделать или украсть. Аутентифицированные платежи с большей вероятностью будут одобрены эмитентом, а также приведут к перекладыванию ответственности на него с продавца в случае платежного мошенничества.

При некоторых формах аутентификации платежей могут возникать компромиссы между пользовательским опытом и безопасностью платежей, которые могут повлиять на конверсию. Когда клиентов просят аутентифицировать платеж — например, пройти верификацию через отдельное приложение или ввести код, — это может вызвать разочарование, путаницу или подозрения, что приводит к отказу от покупки.

В последнее время появляются более удобные и скрытые методы аутентификации платежей, такие как «бесшовная» аутентификация, которая предполагает минимальное вмешательство пользователя или обходится вовсе без него.

Что такое аутентификация платежей?

Аутентификация платежей — это процесс обеспечения того, что лицо, пытающееся совершить платеж, является законным держателем карты.

Аутентификация подтверждает, что транзакцию пытается совершить именно клиент, а не мошенник, использующий украденные данные карты. С технической точки зрения аутентификация обычно означает следование протоколу 3D Secure (3DS или «three domain secure»), который является доминирующим мировым стандартом для кардоненационных транзакций по картам.

С точки зрения бизнеса аутентификация является эффективным инструментом против множества различных видов онлайн-мошенничества с платежами, которые обычно приводят к финансовым потерям, более высоким затратам на обработку и ущербу для репутации. Таким образом, аутентификация платежей является эффективным инструментом против дорогостоящих чарджбэков.

В соответствии со стандартными правилами EMV 3-D Secure и платежных систем, продавцы, успешно прошедшие аутентификацию цифровых транзакций, получают выгоду в виде перекладывания ответственности на эмитента конкретно по неосажденным спорам о мошенничестве. Это ключевое преимущество аутентификации платежей.

Примечание: Чтобы быстро объяснить разницу между аутентификацией и авторизацией: аутентификация сосредоточена на проверке личности держателя карты, в то время как авторизация пытается подтвердить сам платеж (например, проверяет, доступен ли банковский счет для использования и содержит ли он достаточные средства).

Как работает аутентификация платежей?

Это обзор типичного запроса на аутентификацию при инициированной клиентом транзакции в интернете. Она происходит до авторизации.

Продавец собирает такие точки данных, как идентификатор устройства, браузер, IP-адрес, операционная система (и многое другое), и инициирует запрос аутентификации (AReq), содержащий как детали транзакции, так и эту контекстную полезную нагрузку.
Поставщик платежных услуг (PSP) продавца может помочь правильно отформатировать данные и выбрать наиболее подходящий путь аутентификации. Он перенаправляет запрос на сервер управления доступом (ACS) соответствующего эмитента карты через платежную сеть.
Эмитент выполняет анализ рисков и направляет запрос по бесшовному сценарию или сценарию с вызовом (челленджем). В последнем случае клиенту потребуется вручную аутентифицировать платеж.
Затем эмитент отправляет ответ на аутентификацию (ARes), который указывает, не удалась ли аутентификация (возможно, из-за истечения времени ожидания или ввода клиентом неверных учетных данных), требует ли она повторной попытки (в случае мягкого отказа) или прошла ли она успешно. Успешный ответ ARes содержит криптографически подписанный токен, известный как CAVV (значение подтверждения аутентификации держателя карты) или AAV (значение подтверждения аутентификации владельца счета).
Если аутентификация прошла успешно, продавец отправляет криптографический токен CAVV/AAV вместе с запросом авторизации по традиционным платежным каналам (Продавец → Эквайер → Платежная сеть → Эмитент).

Какие данные необходимы для аутентификации?

Для аутентификации платежей продавцы, поставщики платежных услуг и эмитенты обычно полагаются на комбинацию трех основных факторов. К ним относится то, что держатель карты:

Знает (например, PIN-код, пароль или ответ на секретный вопрос)
Имеет (устройство, такое как смартфон, планшет или компьютер)
Является (его уникальные биометрические идентификаторы, такие как рисунок лица, радужная оболочка глаза, голос или отпечаток пальца)

Некоторые из конкретных способов аутентификации платежа клиентом могут включать:

Подтверждение запроса платежа посредством уведомления в платежном приложении клиента
Ввод пароля или использование ключа доступа
Биометрическая верификация: сканирование лица или отпечатка пальца

Эти факторы называются знанием, владением и присущностью. Они являются передовыми стандартами безопасности promoted by the National Institute of Standards and Technology (NIST) в США, а также обязательными в ЕЭЗ и Великобритании в соответствии с PSD2.

Что такое сильная аутентификация клиентов (SCA)?

Сильная аутентификация клиентов (SCA) — это нормативное требование к поставщикам платежных услуг в рамках PSD2 в Европейской экономической зоне (ЕЭЗ) и в Великобритании в соответствии с аналогичными правилами. Она применяется, когда клиент инициирует электронный платеж, получает доступ к платежному счету онлайн или совершает определенные удаленные действия, которые могут нести риск платежного мошенничества (если не применяется исключение).

SCA требует аутентификации вашего клиента с использованием по меньшей мере двух из трех факторов аутентификации: знания, владения и присущности. Это применимо, когда соответствующие финансовые институты (т. е. эквайер и эмитент) находятся в ЕЭЗ или Великобритании.

Определенные платежи подпадают под исключения SCA, и вы должны позаботиться о том, чтобы применять их там, где это уместно. Это может улучшить клиентский опыт при сохранении соответствия требованиям. Например, компания Klarna отметила рост коэффициента успешности на 6% для транзакций на сумму менее 30 евро на четырех ключевых рынках (Великобритания, Норвегия, Испания и Дания) благодаря динамическому применению исключений к транзакциям с низкой стоимостью.

Обратите внимание, что инициированные продавцом транзакции и платежи по заказу почтой/телефоном (MOTO) обычно не входят в сферу применения. Ознакомьтесь с нашими документами по соблюдению требований SCA для получения дальнейших рекомендаций.

Тенденции платежной индустрии в области аутентификации

В мировой индустрии наблюдается более широкая тенденция к повышению безопасности платежей в онлайн-транзакциях, причем такие страны, как Сингапур, отказываются от одноразовых паролей и внедряют более надежные методы аутентификации, такие как биометрия и токены, совместимые с FIDO. Рамочной программы разделенной ответственности в Сингапуре является примером модернизации методов предотвращения мошенничества, которая расширяет ответственность за защиту клиентов от фишинговых мошенничеств и денежных потерь.

В целом многофакторная аутентификация (MFA) приобретает все большее значение при проведении онлайн-транзакций. Это подразумевает сбор по меньшей мере двух различных типов данных аутентификации, таких как то, что вы знаете (например, пароль), то, что у вас есть (например, устройство), или то, что вы собой представляете (например, сканирование лица). Например, в 2025 году Резервный банк Индии обязал использовать по меньшей мере два фактора аутентификации для всех цифровых платежей.

Стандарты аутентификации различаются по всему миру, поскольку регионы вводят нормативные требования в собственном темпе. В то время как европейское законодательство внедрило требования сильной аутентификации клиентов back in 2019, Центральный банк ОАЭ выразил еще большую поддержку аутентификации онлайн-платежей more recently, in 2025. Неравномерность глобальной политики в области аутентификации — это одна из причин, почему консультация с партнером по обработке платежей, имеющим опыт работы в ваших регионах деятельности, может принести пользу разработке стратегии.

Тенденция к бесшовным и биометрическим методам мобильной аутентификации

По мере роста числа онлайн-платежей потребители стремятся к удобству без ущерба для безопасности. Регуляторы, банки и отраслевые организации внедряют новые стандарты для удобного сбора данных о безопасности платежей, и теперь у продавцов есть больше возможностей для быстрой аутентификации.

С 2016 года EMVCo предусматривает два различных пути аутентификации: бесшовный поток (не требующий от клиента дополнительных действий) или поток с подтверждением (который требует ввода данных клиентом). В настоящее время бесшовный поток может принимать форму обмена данными, что означает передачу продавцом расширенной контекстуальной телеметрии, данных об устройстве и поведении (таких как цифровые отпечатки устройства, IP-адрес, возраст учетной записи и история оформления заказов), чтобы помочь эмитенту оценить риски платежа в фоновом режиме без запроса пользователя.

В некоторых случаях можно избежать перенаправления на проверку 3DS с помощью таких решений, как Google Secure Payment Authentication (SPA), что позволяет улучшить пользовательский опыт.

Биометрическая аутентификация становится все более распространенной, поскольку современные устройства обычно оснащены высококачественными камерами и датчиками, что делает аутентификацию платежей быстрой и удобной для клиентов. Например, китайское платежное приложение WePay сканирует руку клиента для аутентификации платежа и повышения безопасности, а Google SPA также использует биометрическую аутентификацию через веб-интерфейс Google.

Современные мобильные платежи, такие как Apple Pay и Google Pay, объединяют несколько вышеупомянутых технологий для соответствия современным требованиям аутентификации. Обе системы включают в себя основной номер счета устройства (DPAN) — защищенную форму платежных реквизитов клиента, криптографически привязанную к аппаратной части устройства. Кроме того, пользователи обычно разблокируют свое устройство с помощью код-пароля, Face ID или отпечатка пальца — точек данных, которые удобно включаются в платежные сценарии. Это помогает сократить количество случаев, когда пользователю приходится выполнять дополнительные действия для аутентификации цифровых платежей.

Как Checkout.com может помочь вам извлечь выгоду из аутентификации

Checkout.com предлагает три различные модели интеграции аутентификации:

Интегрированная аутентификация: использование аутентификации через Checkout.com с помощью 3DS или Google SPA с возможностью переключения между ними.
Автономная аутентификация (Sessions API): сначала выполните аутентификацию, а затем авторизацию через Checkout.com или другого провайдера платежных услуг (PSP), используя либо размещенные сеансы (где Checkout.com управляет процессом), либо неразмещенные сеансы (где вы больше контролируете этот процесс).
Сторонняя аутентификация: если вы уже используете другого провайдера 3DS, вы можете отправить его данные аутентификации вместе с запросом на авторизацию платежа через Checkout.com.

Конкурентоспособные продавцы будут использовать динамическую стратегию аутентификации, которая адаптирует платежи в зависимости от контекста и повышает шансы на успешный результат. Вы можете использовать Intelligent Acceptance, чтобы решать, когда применять 3DS, какую версию протокола или исключение запрашивать, а также использовать бесшовный поток или поток с подтверждением. Это может привести к улучшению показателей и доходов: например, у NordVPN показатель успешности транзакций (Acceptance Rate) вырос на 1,9% для трафика, управляемого с помощью SCA, после начала использования Intelligent Acceptance.