Flujo de desafío (challenge flow)
La rama de 3-D Secure en la que el emisor no se fía de la evaluación de riesgo y pide al cliente que demuestre quién es.
En EMV 3DS el comercio envía primero una solicitud de autenticación cargada de datos del dispositivo y de la compra. El Access Control Server del emisor responde con un estado: Y significa que la compra pasa sin fricción y C, que hace falta un desafío. El ACS toma entonces el control mediante el par de mensajes CReq y CRes, ya sea en un marco del navegador o dentro de la app del comercio a través del 3DS SDK. El desafío puede ser un código de un solo uso por SMS, una comprobación biométrica o, cada vez más, una confirmación en la app del banco. La versión 2.2 añadió un modo desacoplado en el que el cliente puede aprobar más tarde, hasta una semana después.
Cada desafío cuesta ventas, por eso los emisores lo usan con moderación y los comercios presionan para conseguir exenciones de la autenticación reforzada. Superarlo sigue dando el desplazamiento de responsabilidad, que es lo que el comercio paga en realidad.