Przepływ z wyzwaniem (challenge flow)
Gałąź 3-D Secure, w której wystawca nie ufa ocenie ryzyka i każe klientowi udowodnić, kim jest.
W EMV 3DS sklep najpierw wysyła żądanie uwierzytelnienia naładowane danymi o urządzeniu i zakupie. Serwer kontroli dostępu (ACS) wystawcy odpowiada statusem: Y oznacza, że transakcja przeszła bez tarcia, C – że wymagane jest wyzwanie. ACS przejmuje wtedy rozmowę za pomocą pary komunikatów CReq/CRes, w osadzonej ramce przeglądarki albo w aplikacji sklepu przez 3DS SDK. Wyzwaniem bywa jednorazowy kod z SMS-a, biometria, a coraz częściej zwykłe stuknięcie w aplikacji bankowej. Wersja 2.2 dodała tryb oddzielony (decoupled), w którym klient może zatwierdzić płatność później, nawet do tygodnia.
Każde wyzwanie kosztuje konwersję, dlatego wystawcy stosują je oszczędnie, a sklepy lobbują za wyłączeniami z silnego uwierzytelniania klienta. Udane wyzwanie daje jednak przeniesienie odpowiedzialności, a właśnie za nie sklep naprawdę płaci.