PCI 3DS
Lo standard di sicurezza del PCI SSC per chi gestisce l'infrastruttura dietro il 3-D Secure, e non per gli esercenti che lo utilizzano.
Il PCI 3DS Core Security Standard è stato pubblicato nell'ottobre 2017, più o meno quando iniziava la diffusione di EMV 3DS 2. Copre i tre ruoli server del protocollo: l'Access Control Server dell'emittente, il Directory Server del circuito e il 3DS Server lato esercente. I circuiti richiedono che i fornitori di questi ruoli siano certificati, e la valutazione è svolta da un assessor 3DS specificamente qualificato.
Lo standard ha una parte di base sulla sicurezza generale, vicina al PCI DSS, e una specifica per il 3DS. Quest'ultima riguarda soprattutto le chiavi. Un ACS che lasci trapelare la chiave con cui genera i CAVV permette a chiunque di garantire autenticazioni mai avvenute, spostando di fatto la responsabilità per le frodi sull'emittente. I requisiti per HSM e gestione delle chiavi sono perciò più severi di quelli per i dati della carta stessa.