PCI 3DS
El estándar de seguridad del PCI SSC para quienes operan la infraestructura de 3-D Secure, no para los comercios que la usan.
El PCI 3DS Core Security Standard se publicó en octubre de 2017, más o menos cuando empezaba el despliegue de EMV 3DS 2. Cubre los tres papeles de servidor del protocolo: el Access Control Server del emisor, el Directory Server de la red de tarjetas y el 3DS Server del lado del comercio. Las redes exigen que los proveedores de esos papeles estén certificados, y la evaluación la realiza un asesor cualificado específicamente para 3DS.
El estándar tiene una parte básica de seguridad general, cercana a PCI DSS, y otra específica de 3DS. Esta última trata sobre todo de claves. Un ACS que filtra la clave con la que genera los CAVV permite a cualquiera avalar autenticaciones que nunca ocurrieron, y de paso trasladar al emisor la responsabilidad por el fraude. Por eso los requisitos sobre HSM y gestión de claves son más estrictos que los relativos a los propios datos de tarjeta.