O 3-D Secure é o protocolo que permite ao emissor do cartão autenticar quem compra numa loja virtual antes de aprovar a transação. Na versão atual, mantida pela EMVCo com o nome EMV 3-D Secure, a loja manda ao emissor dados da compra, do meio de pagamento e do aparelho; o emissor decide se aprova direto ou se pede um desafio, como um código, uma biometria ou uma pergunta. A resposta curta para quem cuida de fraude no e-commerce: o 3-D Secure prova que o emissor autenticou o portador naquela compra, e é isso que muda quem paga a conta numa contestação por fraude. Mas a regra de quem paga não está no protocolo; está nas regras de cada bandeira e no contrato com a credenciadora.
Em resumo
- O EMV 3-D Secure troca dados entre loja e emissor; o emissor escolhe entre aprovar sem atrito e pedir um desafio ao portador.
- A especificação define o protocolo, não a responsabilidade pela fraude: isso fica nas regras de cada bandeira e no contrato da loja com a credenciadora.
- Nas regras públicas da Visa (edição de 18 de abril de 2026), a contestação por fraude em compra não presencial é inválida quando a transação foi autenticada com Visa Secure e EMV 3DS, com indicador 5 e o valor de autenticação na autorização.
- O 3-D Secure não resolve a compra feita pelo próprio titular enganado nem o pagamento autorizado sob golpe.
Como o protocolo funciona
A EMVCo, consórcio que mantém as especificações EMV de cartão, descreve o fluxo em poucas linhas na página oficial do EMV 3-D Secure. O consumidor faz a compra; para confirmar que é o portador, a loja usa o 3-D Secure, que "involves the merchant sending data or messages to the card issuer, which include details about the transaction, payment method and device information". O emissor usa esses dados para autenticar e aprovar.
For many transactions, this means consumers simply click "Buy" and the payment is approved. For higher-risk transactions, issuers may choose to require further authentication as an added layer of security. In these cases, consumers must authenticate themselves using a challenge, such as a one-time passcode, knowledge-based questions, biometrics, or other methods.
Dois pontos importam para quem opera o checkout. O primeiro é que a decisão entre o fluxo sem atrito e o desafio é do emissor, não da loja: a loja pode enviar mais dados para melhorar a análise, mas não escolhe o resultado. O segundo é a versão. A EMVCo recomenda que a versão 2.2 ou superior seja considerada "to access the optimum functionality", e a especificação está em revisão: o rascunho da versão 2.4 teve período de comentários até 1º de julho de 2026.
O que o protocolo não diz
A especificação da EMVCo é técnica. Ela define mensagens, componentes e fluxos, e diz que os dados do consumidor servem para avaliar risco e prevenir fraude, com a observação de que "merchants and issuers using this data for this purpose are responsible for complying with applicable privacy laws". Ela não diz quem arca com a fraude. Essa regra vive em outro lugar: no regulamento de cada bandeira, que vale para emissores e credenciadoras, e no contrato entre a loja e a credenciadora, que repassa à loja o que a bandeira atribui à credenciadora.
Por isso a pergunta "o 3-D Secure transfere a responsabilidade para o emissor?" só tem resposta por bandeira. A Visa publica as regras dela.
O que as regras da Visa dizem sobre a disputa por fraude
As Visa Core Rules and Visa Product and Service Rules, na edição de 18 de abril de 2026, tratam da contestação por fraude em ambiente sem cartão presente na condição de disputa 10.4, "Other Fraud - Card-Absent Environment". O motivo é o portador negar que autorizou ou participou da transação. A tabela de disputas inválidas é o que interessa à loja.
| Situação da transação | Efeito na disputa 10.4 | Condição |
|---|---|---|
| Autenticada com Visa Secure e EMV 3DS, indicador de comércio eletrônico (ECI) 5 | Disputa inválida | O emissor respondeu com confirmação de autenticação e o valor de autenticação do portador (CAVV) foi na autorização |
| Tentativa de autenticação com EMV 3DS, ECI 6 | Disputa inválida | CAVV na autorização, resposta de tentativa do emissor ou da Visa em nome dele, e não ser cartão pré-pago não recarregável |
| Credencial tokenizada autenticada, ECI 5 | Disputa inválida | Valor de autenticação do token (TAVV) na autorização e verificação do portador aprovada |
| Sem autenticação, ECI 7 | Segue as demais hipóteses da tabela, como a de compras anteriores não disputadas | Não há exceção por autenticação |
Há ressalvas na própria regra. Para algumas categorias de comércio nos Estados Unidos, a disputa vale "regardless of the Electronic Commerce Indicator value". E o adquirente só pode usar ECI 5 ou 6 no registro de compensação se a autorização trouxe o CAVV. Em outras palavras, o benefício depende de a autenticação ter acontecido de fato e de os dados certos terem chegado na autorização; marcar a transação como autenticada sem o valor de autenticação não protege ninguém.
Leia também Aprovar o ato, e não só a pessoa: o que um login forte não prova num pagamento
Atenção
A mesma tabela muda a evidência de compras anteriores a partir de 24 de outubro de 2026: a disputa passa a ser inválida quando o mesmo cartão foi usado, em uma ou mais lojas, em duas compras anteriores não reportadas como fraude e processadas mais de 120 dias antes, com identificador ou impressão do dispositivo, ou o IP, mais outro dado coincidente com a compra disputada, entre outras condições da regra. A regra pede a maior parte desses dados sem hash, e por isso quem registra em cada compra o identificador do dispositivo, o IP, o endereço de entrega e o login do cliente está mais bem posicionado para usá-la.
O que o 3-D Secure não resolve
O protocolo autentica o portador; ele não avalia se o portador foi enganado. A compra feita pelo próprio titular sob um golpe de engenharia social passa pela autenticação, porque é o titular quem digita o código. As regras da Visa tratam alguns desses casos à parte: a mesma tabela invalida a disputa 10.4 quando o portador participou da compra de ativo virtual ou de token não fungível e depois alega ter sido enganado a mandar para um destinatário fraudulento. Para a loja, a lição é que autenticação forte reduz a fraude de cartão roubado e muda a disputa, mas não substitui a análise de risco da própria loja nem a verificação de identidade em cadastros sensíveis.
Na UNIFOKAL, a verificação de identidade com documento, selfie e prova de vida entra antes, no cadastro da conta que depois compra.
Fontes citadas
- EMVCo, página oficial do EMV 3-D Secure, com as perguntas frequentes e as especificações, no site da EMVCo
- Visa, Visa Core Rules and Visa Product and Service Rules, edição de 18 de abril de 2026, seções 5.8.4.4 e 11.7.5, no site da Visa