Acaba de validar su carrito, ingresa sus datos bancarios, y una pantalla adicional le solicita un código recibido por SMS. Este paso es el protocolo 3D Secure. Protege contra el fraude, pero también ralentiza el proceso de compra. Algunos sitios en línea funcionan sin esta verificación, y entender por qué (y cómo) cambia la manera en que percibimos la seguridad de nuestros pagos en internet.
Exenciones DSP2: por qué un pago sin 3D Secure puede seguir siendo legal
La regulación europea DSP2 impone la autenticación fuerte para los pagos en línea con tarjeta bancaria. Muchos consumidores piensan que la ausencia de 3D Secure significa automáticamente una falta de seguridad. Es más matizado que eso.
La DSP2 prevé en realidad varias exenciones de autenticación fuerte perfectamente conformes. Un pago puede pasar sin pantalla 3D Secure siempre que cumpla con ciertos criterios específicos.
Entre los casos previstos por la regulación, se encuentran los sitios sin 3D Secure que debes conocer que aprovechan estas exenciones para facilitar la experiencia de compra sin infringir la directiva europea.
- Las transacciones de bajo monto (alrededor de 30 euros), sujetas a límites acumulativos y un conteo del número de transacciones sucesivas sin autenticación.
- Los beneficiarios de confianza, que el titular de la tarjeta ha añadido previamente a una lista blanca con su banco.
- Las transacciones recurrentes, como una suscripción mensual idéntica, donde solo la primera operación requiere una autenticación fuerte.
- El análisis de riesgo en tiempo real (Transaction Risk Analysis), utilizado por los proveedores de pago cuyo índice de fraude trimestral se mantiene por debajo de un umbral definido por el reglamento delegado (UE) 2018/389.
Para el consumidor, esto significa que un sitio sin pantalla 3D Secure no es necesariamente sospechoso. Puede simplemente beneficiarse de una exención otorgada por su proveedor de pago.
Tasa de fraude con tarjeta bancaria en línea y papel real del 3D Secure
¿Ya has notado que los fraudes con tarjeta bancaria son regularmente noticia en los medios? Sin embargo, las cifras recientes muestran una tendencia inversa a lo que podríamos pensar.
Según el Observatorio de la seguridad de los medios de pago, el fraude en los pagos con tarjeta ha alcanzado un nivel históricamente bajo, con una tasa alrededor del 0,05 % del valor tratado. Entre 2024 y 2025, la disminución se acerca al 10 %, atribuida directamente al despliegue de la autenticación fuerte 3D Secure 2 impuesta por la DSP2.
Este protocolo ha demostrado, por lo tanto, su eficacia a gran escala. Los sitios que eligen no utilizarlo asumen un riesgo medible, incluso si las exenciones permiten hacerlo legalmente.
Quién asume el riesgo en caso de fraude sin 3D Secure
Cuando un comerciante acepta un pago sin autenticación fuerte y ocurre un fraude, la responsabilidad financiera recae en el comerciante, no en el banco del cliente. Es el mecanismo conocido como “liability shift” previsto por las redes Visa y Mastercard.
En la práctica, el consumidor sigue protegido: su banco debe reembolsarlo en caso de una operación no autorizada. El comerciante, por su parte, pierde la mercancía y el monto de la transacción. Esta es la razón por la cual la mayoría de las tiendas en línea activan el 3D Secure, incluso cuando una exención sería posible.
Sitios de pago en línea sin verificación 3D Secure: casos concretos
Ciertas plataformas bien conocidas eluden el 3D Secure de manera transparente. Su punto en común: utilizan sus propios sistemas de seguridad en complemento o en reemplazo del protocolo bancario clásico.
PayPal y las billeteras electrónicas
PayPal no activa el 3D Secure en el momento del pago en un sitio comercial. La autenticación se realiza previamente, al iniciar sesión en la cuenta de PayPal (contraseña, doble autenticación a través de la aplicación). El comerciante nunca ve los datos de la tarjeta bancaria, lo que reduce el riesgo de fuga de datos.
El principio es el mismo para otras billeteras electrónicas. El comprador se identifica una vez en la solución de pago, y luego valida sus compras sin volver a pasar por una pantalla bancaria en cada transacción.
Tarjetas corporativas y transacciones B2B
Las tarjetas de empresa (corporate) se benefician de una exención específica en la DSP2. Las compras realizadas con una tarjeta identificada como profesional pueden pasar sin autenticación fuerte. Esta exención busca simplificar los flujos de aprovisionamiento de las empresas, donde los volúmenes de transacciones son altos y los montos a menudo recurrentes.
Suscripciones y pagos recurrentes
Los servicios por suscripción (streaming, software, prensa en línea) solo activan el 3D Secure durante el primer pago. Los siguientes cargos, por monto idéntico, pasan automáticamente. Solo la primera transacción requiere una autenticación fuerte, las siguientes se clasifican como recurrentes.
Precauciones concretas para pagar en línea sin 3D Secure
La ausencia de 3D Secure no significa la ausencia de protección, siempre que se tomen algunas medidas simples.
- Verificar que el sitio utiliza el protocolo HTTPS (candado en la barra de direcciones) antes de ingresar información bancaria.
- Preferir las tarjetas virtuales de uso único ofrecidas por la mayoría de los bancos en línea, que limitan la exposición de los datos reales de la tarjeta.
- Activar las notificaciones de transacción en tiempo real en la aplicación bancaria para detectar inmediatamente cualquier operación sospechosa.
- Agregar los sitios de confianza a la lista de beneficiarios autorizados con su banco, lo que permite aprovechar la exención “beneficiario de confianza” sin renunciar al control.
Estos reflejos compensan la ausencia de la capa 3D Secure y mantienen un nivel de seguridad satisfactorio para las compras cotidianas en internet.
La tendencia de fondo sigue siendo clara: la autenticación fuerte ha hecho caer el fraude con tarjeta bancaria a su nivel más bajo en Francia. Las exenciones al 3D Secure existen por razones prácticas, no para debilitar la seguridad. Conocer estos mecanismos permite realizar compras en línea con más tranquilidad, entendiendo lo que realmente sucede entre el clic en “pagar” y la validación de la transacción.
