3D Secure (3DS) é o protocolo das bandeiras em que o banco do cartão confirma, antes de aprovar uma compra online, que quem está pagando é o titular. O banco analisa os dados da compra e autentica sozinho ou pede uma confirmação no app ou por código. Compra autenticada transfere o chargeback por fraude para o banco.
Se você viu “autenticação do banco” no checkout, perdeu venda por fraude ou quer saber se o 3DS mata a conversão, este guia fecha o conceito. O produto comercial fica em 3DS no cartão. O par técnico — guardar o cartão sem guardar o número — está em tokenização de cartão.
O que é 3D Secure
3D Secure (também chamado de EMV 3-D Secure) é o padrão das bandeiras para autenticar o portador em compras online. Cada rede tem a marca própria: Visa Secure, Mastercard Identity Check, e o protocolo sobe pela especificação da EMVCo.
Na prática: antes de autorizar a venda, o emissor recebe o contexto da compra e decide se aquela pessoa no checkout é o titular.
Os 3 domínios
O nome “3-D” vem dos três domínios do fluxo:
- Domínio do emissor — o banco que emitiu o cartão (quem autentica).
- Domínio do adquirente — quem processa a venda da loja (adquirente / gateway).
- Domínio de interoperabilidade — o ambiente que conecta os dois (servidor 3DS / diretório da bandeira).
Você não “integra o banco”: o gateway abre a sessão 3DS; o emissor responde frictionless ou com desafio.
Como o 3DS funciona, passo a passo
Fluxo típico na AbacatePay (conferido na página de 3DS no cartão):
- O cliente digita o cartão — no checkout, no link de pagamento ou nos campos do
abacatepay.js. - A AbacatePay abre a sessão 3DS — envia valor, cartão, e-mail, CPF e endereço de cobrança ao banco.
- O banco decide — autentica sozinho (frictionless) ou pede desafio (app, biometria ou código).
- A cobrança sai autenticada — se o cliente confirma (ou o banco dispensa o desafio). Se não confirmar no checkout transparente,
tokenize()rejeita comTHREE_DS_FAILED.
Quem escolhe o caminho é o banco, não a loja.
Frictionless x desafio
Frictionless: o emissor confia no contexto (dispositivo, histórico, valor) e autentica sem pedir nada ao cliente. A janela pode abrir e fechar sozinha.
Desafio: o banco quer certeza. Costuma pedir toque no app (Face ID / digital) ou código por SMS/e-mail. O cliente confirma; a cobrança segue.
Na primeira compra de cada cartão na AbacatePay, o 3DS roda. Renovações de assinatura e cobranças com cartão salvo (cardToken) — inclusive upsell de 1 clique — não pedem 3DS de novo. Detalhe de recompra: one click buy.
3DS 1 x 3DS 2
| 3DS 1 | 3DS 2 (EMV 3DS) | |
|---|---|---|
| Experiência | Redirecionamento para página do banco | Autenticação dentro do checkout (iframe / janela controlada) |
| Credencial | Senha estática / fluxo antigo | Biometria no app, OTP, ou frictionless |
| Dados de contexto | Poucos | Mais sinais (dispositivo, endereço, valor) para o emissor decidir |
| Mobile / app | Frágil | Pensado para celular e carteiras |
O mercado opera em 3DS 2. Quando alguém fala “3DS” hoje, em geral é essa geração.
Liability shift: quem paga o chargeback por fraude
Liability shift é a troca de responsabilidade: em compra autenticada pelo 3DS, chargeback por fraude (“não reconheço a compra”) tende a ficar com o emissor, não com a loja.
O que não muda de lado:
- Desacordo comercial (produto errado, “não era o que eu pedi”)
- Não entregue (sem prova de envio ou de acesso)
- Erro de processamento (valor duplicado, cobrança indevida)
Nesses casos a loja continua responsável pela defesa. O mapa geral está em o que é chargeback e como evitar. Se a dúvida é Pix (não bandeira), veja chargeback no Pix e o MED.
O 3DS derruba a conversão?
O mito clássico: “toda compra vira senha de banco e o cliente desiste”.
Na prática:
- Muitas autenticações são frictionless — o cliente nem percebe.
- Desafio no app do banco (biometria) costuma ser mais rápido que digitar senha em página antiga.
- Você autentica a primeira compra; depois cobra o cartão salvo em assinatura e upsell sem 3DS de novo.
Sem inventar percentual de conversão. Meça na sua loja: aprovação, abandono no desafio e chargeback por fraude antes/depois. O desenho de produto (primeira compra autenticada, renovação sem atrito) está em /3ds.
3DS x antifraude x tokenização
Três camadas, três trabalhos:
| Camada | O que faz |
|---|---|
| Antifraude | Analisa risco da tentativa (dispositivo, velocidade, regras) antes/durante a captura |
| 3DS | Confirma que o pagador é o titular, com o banco |
| Tokenização de cartão | Troca o número do cartão por um token; a loja não guarda o PAN |
Antifraude e 3DS trabalham juntos na AbacatePay. Tokenização é o que permite salvar o cartão e cobrar de novo com segurança. O mapa comercial do plástico: cartão no e-commerce.
3DS no crédito, no débito e nas carteiras digitais
Na AbacatePay, o 3DS no cartão cobre crédito Visa e Mastercard, à vista ou em até 12x. No Apple Pay e no Google Pay, a autenticação acontece no aparelho (Face ID, digital ou senha).
Sobre obrigatoriedade: não existe regra única “3DS obrigatório em todo o Brasil” para o lojista. Emissores e bandeiras definem quando autenticar. Na documentação da Cielo sobre autenticação 3DS, a adquirente descreve o 3DS como obrigatório no débito e opcional no crédito no fluxo dela — isso é regra de produto/documentação da Cielo, não uma lei federal genérica.
Como ter 3DS na sua loja com a AbacatePay
- Sem custo extra: o 3DS já está na taxa do cartão. A taxa depende do prazo de recebimento que você escolhe na dashboard (D+1, D+7, D+15 ou D+30) e do número de parcelas: quanto mais longo o prazo, menor a taxa. No crédito à vista, vai de 5,42% + R$ 0,60 em D+1 a 3,5% + R$ 0,60 em D+30. O cartão começa em D+1 quando é ativado. Cartão é ativado sob consulta — como funciona a liberação. Produto: /cartao.
- Checkout e link de pagamento: nada a integrar; a página da AbacatePay já autentica.
- Checkout transparente:
tokenize()doabacatepay.jsfaz o 3DS; se o cliente não confirmar, erroTHREE_DS_FAILED. Detalhe: checkout transparente e 3DS no cartão. - Modo de teste: cartão
4242 4242 4242 4242não pede 3DS — para você testar o fluxo sem banco. - CNPJ: precisa de CNPJ (MEI serve).
Venda no cartão com 3DS incluso na taxa: fale com o time.
Perguntas frequentes
O 3DS é obrigatório no Brasil?
Não dá para afirmar uma regra geral para toda loja. Depende de emissor, bandeira e do adquirente/gateway. A documentação da Cielo trata o 3DS como obrigatório no débito e opcional no crédito no fluxo dela.
O que é autenticação frictionless?
É quando o banco autentica a compra sem pedir desafio ao cliente — analisa o contexto e libera. A janela pode abrir e fechar sozinha.
O 3DS elimina todo chargeback?
Não. Protege o chargeback por fraude em compra autenticada (liability shift para o emissor). Desacordo comercial, não entregue e erro de processamento continuam com a loja. Veja o que é chargeback e como evitar.
Por que o banco pediu confirmação no app numa compra online?
Porque o emissor pediu desafio: queria certeza de que era o titular. Face ID, digital ou código no app do banco são o desafio típico do 3DS 2.
O 3DS funciona com Apple Pay e Google Pay?
Nas carteiras, a autenticação é no aparelho (Apple Pay, Google Pay) — Face ID, digital ou senha — em vez da janela clássica do banco no checkout com digitação do cartão.
Qual a diferença entre 3DS e tokenização?
3DS confirma o titular na compra. Tokenização troca o dado do cartão por um token para cobrar sem guardar o número. Guia: tokenização de cartão.
O 3DS tem custo na AbacatePay?
Não. Está incluso na taxa do cartão. A taxa depende do prazo de recebimento que você escolhe na dashboard (D+1, D+7, D+15 ou D+30) e do número de parcelas: quanto mais longo o prazo, menor a taxa. No crédito à vista, vai de 5,42% + R$ 0,60 em D+1 a 3,5% + R$ 0,60 em D+30. O cartão começa em D+1 quando é ativado. Sem mensalidade e sem adesão pelo 3DS. Cartão sob consulta: /cartao.
Venda no cartão com 3DS incluso na taxa: fale com o time.
Leia também: tokenização de cartão · 3DS no cartão · o que é chargeback e como evitar · checkout transparente · antifraude