Что такое обогащение аутентификации и почему вы должны это делать?

[CarderPlanet]

Зачем просить своих клиентов проходить через все препятствия для аутентификации, если у вас уже есть достаточно данных, подтверждающих уровень риска? 3DS2 позволяет вам делиться большим количеством данных с эмитентом - вот как это работает...

Когда вступят в силу окончательные сроки PSD2, ожидается, что продавцы будут применять строгую аутентификацию клиента (SCA) еще к миллионам транзакций, инициируемых плательщиками. Это, безусловно, повлияет на общий уровень принятия с ожидаемым резким снижением. Масштабы воздействия пока не определены, поэтому продавцам необходимо подготовиться к получению наилучшего возможного результата для каждой транзакции в соответствии с новыми правилами.

Использование самой передовой формы 3D Secure (3DS) даст продавцам наилучшие шансы на успех - вот напоминание об улучшениях, заложенных в 3DS2:

• Больше данных, меньше проблем - отправляйте гораздо больше данных анализа рисков в банк-эмитент, чтобы они могли использовать это для распознавания клиента и избежать строгой аутентификации клиента.
• Более гибкие способы аутентификации в соответствии с требованиями клиента - например, сканирование лица и одноразовые пароли.
• Улучшение пользовательского интерфейса - оптимизировано для мобильных устройств с помощью наборов для разработки программного обеспечения для iOS и Android для собственных вариантов оплаты.

Потенциальные проблемы с 3D Secure 2​

Хотя 3DS2 выглядит так, как будто это будет большим улучшением по сравнению с более ранними версиями, есть некоторые признаки того, что это все еще может вызывать проблемы. 3DS2 будет сильно зависеть от методов аутентификации с мобильного телефона для многих платежей, что может вызвать проблемы у клиента без его телефона или в районах с низким уровнем сигнала

В конечном счете, чтобы 3DS была действительно эффективной, вы должны использовать ее правильно и, что важно, только тогда, когда это необходимо.

Наилучший подход - использовать динамическую аутентификацию во всех ваших транзакциях. Зачем просить ваших клиентов проходить через все препятствия для аутентификации, если у вас уже есть достаточно данных, подтверждающих уровень риска? Кроме того, несмотря на очевидные улучшения, заложенные в 3DS2, это все равно стоит того, чтобы избавить ваш бизнес от дополнительных затрат на аутентификацию и увеличения риска отсева при каждой транзакции.

Вот тут-то и появляется обогащение аутентификации.

Что такое обогащение аутентификации?​

Расширение аутентификации - это добавление расширенных данных о продавцах и мошенничестве в запрос на аутентификацию (AReq). AReq - это, по сути, сообщение эмитенту, запрашивающему аутентификацию для транзакции. AReq также можно использовать для обмена данными с эмитентом, чтобы позволить им принять более обоснованное решение.

Почему вы должны обогащать свой AReq?​

Добавление дополнительных данных поможет обеспечить беспрепятственный процесс оформления заказа. Проще говоря, чем больше данных у эмитента, тем больше у него возможностей предоставлять исключения из аутентификации. Представьте, что вы пытаетесь арендовать автомобиль без каких-либо доказательств того, что вы сдали экзамен по вождению - это будет выглядеть как большой риск!

Если вы предоставляете абсолютный минимум в своих запросах на аутентификацию и не используете обогащение данных для заполнения ключевых полей, вы не предоставляете отправителю то, что им нужно для обеспечения аутентификации без затруднений. Без всех данных более вероятно, что эмитент применит 3DS ко всем транзакциям, даже к тем, которые имеют низкий риск и могут претендовать на освобождение.

Как отправляется сообщение AReq?

Сервер 3DS формирует AReq, и для каждой аутентификации используется только один. Сервер 3DS генерирует AReq, который отправляется на сервер контроля доступа эмитента через серверы каталогов card schemes. Таким образом эмитенты могут получать все расширенные данные, позволяющие им одобрить запрос на освобождение или применить аутентификацию без затруднений.

Какие новые данные могут получать эмитенты в рамках 3DS2?​

С помощью 3DS2 продавцы могут отправлять эмитенту более 100 точек данных - по сравнению с менее чем 10 при использовании 3DS1. AReq состоит из четырех разных групп полей, некоторые из которых классифицируются как "Рекомендуемые", а некоторые - как "Необязательные’. Эти четыре группы:

1. Информация об учетной записи владельца карты (например: индикатор изменения учетной записи владельца карты, количество попыток инициализации в день, возраст платежной учетной записи и использование адреса доставки).
2. Индикатор риска продавца (например: адрес электронной почты доставки, сумма подарочной карты, дата предварительного заказа, индикатор доставки (способ доставки, такой как адрес для выставления счета, самовывоз из магазина и т.д.))
3. Информация об отправителе запроса 3DS (например: метод аутентификации отправителя запроса 3DS, временная метка аутентификации отправителя запроса 3DS)
4. Информация о проверке подлинности предыдущей транзакции отправителя запроса 3DS (например: метод проверки подлинности предыдущей транзакции отправителя запроса 3DS, ссылка на проверку подлинности предыдущей транзакции отправителя запроса 3DS)

Важно помнить, что разные организации уделяют различное внимание этим полям. EMV Co и схемы использования карт имеют разные предпочтения в отношении того, что рекомендуется / необязательно.

Например:

Индикатор проверки запроса 3DS - EMV Co классифицирует это поле как необязательное, но для Visa это поле всегда обязательно.

Индикатор соответствия адресов - это необязательно для EMVCo и Mastercard, но обязательно, если доступно для Visa.

Почему обогащение AReq укрепляет доверие к эмитенту​

Эмитенты не получают доступа ко всей информации, ориентированной на клиента, на основе которой торговцы и Ravelin могут делать выводы. Это может включать данные устройства, данные для входа или информацию о том, отображаются ли данные пользователя в нашей базе данных взломанных учетных данных.

Мы можем помочь вам поделиться этими сведениями с эмитентом, что позволит вам продемонстрировать доказательства того, что вы применяете надежный анализ рисков к своим транзакциям. Это позволяет вам укреплять доверие к каждому отправленному расширенному AReq и успешной аутентификации или авторизации.