PCI 3DS
De beveiligingsstandaard van de PCI SSC voor wie de infrastructuur achter 3-D Secure beheert, in plaats van voor de winkeliers die het gebruiken.
De PCI 3DS Core Security Standard verscheen in oktober 2017, ongeveer toen EMV 3DS 2 werd uitgerold. Hij beslaat de drie serverrollen van het protocol: de Access Control Server van de issuer, de Directory Server van het kaartnetwerk en de 3DS Server aan de kant van de webwinkel. De kaartnetwerken eisen dat aanbieders van die rollen gecertificeerd zijn, en de beoordeling wordt uitgevoerd door een speciaal gekwalificeerde 3DS-assessor.
De standaard heeft een basisdeel over algemene beveiliging, dicht bij PCI DSS, en een deel dat specifiek is voor 3DS. Dat laatste gaat vooral over sleutels. Een ACS die de sleutel lekt waarmee CAVV's worden gegenereerd, stelt iedereen in staat in te staan voor authenticaties die nooit hebben plaatsgevonden, waarbij de fraudeaansprakelijkheid bovendien bij de issuer terechtkomt. De eisen aan HSM's en sleutelbeheer zijn dan ook strenger dan die voor de kaartgegevens zelf.