Utmaningsflöde (challenge flow)
Grenen i 3-D Secure där utgivaren inte litar på riskbedömningen och ber kunden bevisa vem hen är.
I EMV 3DS skickar handlaren först en autentiseringsförfrågan med enhets- och köpdata. Utgivarens Access Control Server svarar med en status: Y betyder att köpet godkänts friktionsfritt, C att en utmaning krävs. Då tar ACS:en över via meddelandeparet CReq och CRes, antingen i ett inbäddat webbfönster eller i handlarens app via 3DS SDK. Utmaningen kan vara en engångskod per sms, en biometrisk bekräftelse eller, vanligast i Norden, ett tryck i bankappen. Version 2.2 lade till en frikopplad variant där kunden kan godkänna senare, upp till en vecka efteråt.
Varje utmaning kostar köp. Därför används den sparsamt, och därför förhandlar handlare om undantag från stark kundautentisering. Den som klarar utmaningen får ändå ansvarsförskjutningen, vilket är vad handlaren egentligen betalar för.