チャレンジフロー
3-D Secureのうち、カード発行会社がリスクスコアを信用しきれず、顧客本人であることの証明を求める経路。
EMV 3DSでは、まず加盟店がデバイス情報や購入内容を詰め込んだ認証リクエストを送る。発行会社のアクセス制御サーバー（ACS）は結果を返すが、Yなら摩擦なしで決済が通り、Cならチャレンジが必要という意味になる。以後はCReq/CResのメッセージ対でACSが主導し、埋め込みブラウザのフレーム内か、3DS SDKを介した加盟店アプリ内で進む。求められるのはSMSのワンタイムコード、生体認証、最近ではバンキングアプリでのタップなどだ。バージョン2.2では、最長一週間後まで顧客が後から承認できるデカップルド（分離）方式が加わった。
チャレンジはそのたびにコンバージョンを削るため、発行会社は控えめにしか使わず、加盟店は強力な顧客認証（SCA）の免除を求めて働きかける。それでもチャレンジに成功すれば責任転嫁（ライアビリティシフト）が得られ、加盟店が本当に対価を払っているのはこの部分である。