Access Control Server (ACS)
La metà di 3-D Secure che spetta all'emittente della carta: il server che decide se l'acquirente passa liscio o deve dimostrare chi è.
3-D Secure divide il mondo in tre domini: quello dell'acquirer (dove risiede il 3DS Server dell'esercente), quello dell'interoperabilità (il Directory Server del circuito) e quello dell'emittente. L'ACS è il lato dell'emittente. Riceve i dati della transazione, ne valuta il rischio e risponde in modalità frictionless — approvata senza che il cliente se ne accorga — oppure con una challenge: codice monouso, app della banca o biometria.
Nel vecchio 3DS 1.0 l'ACS era soprattutto un pop-up che chiedeva una password dimenticata da tutti. EMV 3DS 2.x, specificato da EMVCo a partire dal 2016, trasporta oltre cento campi di dati — dispositivo, indirizzo di spedizione, storico degli acquisti — così l'ACS può lasciar passare la maggior parte degli acquisti. Poche banche ne gestiscono uno proprio; la maggior parte lo noleggia da un pugno di fornitori specializzati.