Challenge flow
Il ramo del 3-D Secure in cui l'emittente non si fida del punteggio di rischio e chiede al cliente di dimostrare la propria identità.
In EMV 3DS l'esercente invia anzitutto una richiesta di autenticazione ricca di dati sul dispositivo e sull'acquisto. L'Access Control Server dell'emittente risponde con uno stato: Y significa che l'acquisto è passato senza attriti, C che è richiesta una verifica. L'ACS prende allora il controllo tramite la coppia di messaggi CReq/CRes, in un frame del browser incorporato oppure nell'app dell'esercente tramite l'SDK 3DS. La verifica può essere un codice monouso via SMS, un controllo biometrico o, sempre più spesso, un tocco nell'app della banca. La versione 2.2 ha introdotto una modalità disaccoppiata, in cui il cliente può approvare in un secondo momento, fino a una settimana dopo.
Ogni verifica costa conversioni: per questo gli emittenti la usano con parsimonia e gli esercenti cercano di ottenere esenzioni dall'autenticazione forte del cliente. Una verifica superata garantisce comunque il trasferimento di responsabilità, ed è proprio ciò per cui l'esercente paga.