3-D Secure
Il protocollo con cui l'emittente della carta verifica chi si trova davvero davanti alla tastiera quando la carta viene usata online.
Visa lo lanciò intorno al 2001 come «Verified by Visa» e Mastercard seguì con SecureCode. I tre «domini» del nome sono quello dell'emittente, quello dell'acquirer e l'infrastruttura condivisa nel mezzo. La prima versione dirottava il cliente su un popup in cui inserire una password statica scelta anni prima e ormai dimenticata. Il risultato furono carrelli abbandonati e un regalo ai phisher, perché nessuno era in grado di distinguere un popup autentico da uno falso.
Il 3DS2 di EMVCo, pubblicato nel 2016, ribaltò l'impostazione. L'esercente invia un centinaio di dati sul dispositivo e sull'acquisto, l'emittente valuta il rischio e la maggior parte delle transazioni passa senza attriti. Solo quelle sospette ricevono una richiesta di verifica, di solito nell'app della banca. Autenticarsi con 3DS sposta inoltre la responsabilità per le frodi dall'esercente all'emittente, ed è il motivo per cui gli esercenti lo tollerano. La versione 1 è stata disattivata nell'ottobre 2022.