Сценарий с подтверждением (Challenge flow)
Ветка 3-D Secure, в которой эмитент не доверяет оценке риска и просит клиента доказать, что это он.
В EMV 3DS мерчант сначала отправляет запрос аутентификации с данными об устройстве и покупке. Сервер контроля доступа (ACS) эмитента отвечает статусом: Y — покупка прошла без трения (frictionless), C — нужно подтверждение. Дальше ACS берёт управление на себя через пару сообщений CReq/CRes — во встроенном окне браузера или внутри приложения мерчанта через 3DS SDK. Подтверждением может быть одноразовый код по SMS, биометрия или, всё чаще, нажатие кнопки в банковском приложении. В версии 2.2 появился отложенный (decoupled) режим: клиент может подтвердить платёж позже, вплоть до недели.
Каждое подтверждение стоит конверсии, поэтому эмитенты применяют его экономно, а мерчанты добиваются исключений из строгой аутентификации клиента. Успешное подтверждение всё же переносит ответственность на эмитента (liability shift) — именно за это мерчант на самом деле и платит.