U heeft zojuist uw winkelwagentje gevalideerd, u voert uw bankgegevens in, en een extra scherm vraagt om een code die u per sms heeft ontvangen. Deze stap is het 3D Secure-protocol. Het beschermt tegen fraude, maar vertraagt ook het aankoopproces. Sommige online sites functioneren zonder deze verificatie, en begrijpen waarom (en hoe) verandert de manier waarop we de veiligheid van onze betalingen op internet waarnemen.
Uitzonderingen DSP2: waarom een betaling zonder 3D Secure legaal kan blijven
De Europese regelgeving DSP2 vereist sterke authenticatie voor online betalingen met een creditcard. Veel consumenten denken dat de afwezigheid van 3D Secure automatisch een gebrek aan veiligheid betekent. Het is genuanceerder dan dat.
De DSP2 voorziet in feite in meerdere uitzonderingen op sterke authenticatie die volledig conform zijn. Een betaling kan doorgaan zonder 3D Secure-scherm, zolang aan bepaalde specifieke criteria wordt voldaan.
Onder de gevallen die door de regelgeving zijn voorzien, zijn er onder andere de sites zonder 3D Secure die u moet kennen die deze uitzonderingen gebruiken om de winkelervaring te vergemakkelijken zonder de Europese richtlijn te schenden.
- Transacties met een laag bedrag (rond de 30 euro), onderworpen aan cumulatieve plafonds en een telling van het aantal opeenvolgende transacties zonder authenticatie.
- De vertrouwde ontvangers, die de kaarthouder vooraf aan een whitelist bij zijn bank heeft toegevoegd.
- Terugkerende transacties, zoals een identiek maandabonnement, waarbij alleen de eerste transactie sterke authenticatie vereist.
- Realtime risicoanalyse (Transaction Risk Analysis), gebruikt door betalingsproviders wiens kwartaalfraudepercentage onder een drempel blijft die is vastgesteld door de gedelegeerde verordening (EU) 2018/389.
Voor de consument betekent dit dat een site zonder 3D Secure-scherm niet per se verdacht is. Het kan gewoon profiteren van een uitzondering die door zijn betalingsprovider is verleend.
Fraudepercentage bij online creditcardbetalingen en de werkelijke rol van 3D Secure
Heeft u al gemerkt dat creditcardfraude regelmatig het nieuws haalt? De recente cijfers tonen echter een omgekeerde trend aan van wat men zou kunnen denken.
Volgens het Observatorium voor de veiligheid van betaalmiddelen, heeft de fraude bij kaartbetalingen een historisch laag niveau bereikt, met een percentage rond de 0,05 % van de verwerkte waarde. Tussen 2024 en 2025 bedraagt de daling ongeveer 10 %, rechtstreeks toegeschreven aan de uitrol van de sterke authenticatie 3D Secure 2 die door de DSP2 is opgelegd.
Dit protocol heeft dus zijn effectiviteit op grote schaal bewezen. De sites die ervoor kiezen om het niet te gebruiken, lopen een meetbaar risico, ook al maken de uitzonderingen het legaal mogelijk.
Wie draagt het risico in geval van fraude zonder 3D Secure
Wanneer een handelaar een betaling accepteert zonder sterke authenticatie en er een fraude plaatsvindt, valt de financiële verantwoordelijkheid terug op de handelaar, niet op de bank van de klant. Dit is het zogenaamde “liability shift”-mechanisme dat door de netwerken Visa en Mastercard is voorzien.
In de praktijk blijft de consument beschermd: zijn bank moet hem terugbetalen in geval van een niet-geautoriseerde transactie. De handelaar verliest echter de goederen en het bedrag van de transactie. Dit is de reden waarom de meeste online winkels 3D Secure inschakelen, zelfs wanneer een uitzondering mogelijk zou zijn.
Online betalingssites zonder 3D Secure-verificatie: concrete gevallen
Bepaalde bekende platforms omzeilen 3D Secure op een transparante manier. Hun gemeenschappelijke kenmerk: ze gebruiken hun eigen beveiligingssystemen ter aanvulling of ter vervanging van het klassieke bancaire protocol.
PayPal en elektronische portemonnees
PayPal activeert geen 3D Secure op het moment van betaling op een handelswebsite. De authenticatie vindt vooraf plaats, bij het inloggen op het PayPal-account zelf (wachtwoord, dubbele authenticatie via de app). De handelaar ziet nooit de gegevens van de creditcard, wat het risico op datalekken vermindert.
Het principe is hetzelfde voor andere elektronische portemonnees. De koper identificeert zich één keer op de betalingsoplossing, en valideert vervolgens zijn aankopen zonder bij elke transactie opnieuw door een bankenscherm te gaan.
Corporate kaarten en B2B-transacties
Bedrijfskarten (corporate) profiteren van een specifieke uitzondering in de DSP2. Aankopen gedaan met een kaart die als professioneel is geïdentificeerd, kunnen doorgaan zonder sterke authenticatie. Deze uitzondering is bedoeld om de inkoopstromen van bedrijven te vereenvoudigen, waar de transactievolumes hoog zijn en de bedragen vaak terugkerend.
Abonnementen en terugkerende betalingen
Abonnementsdiensten (streaming, software, online pers) activeren 3D Secure alleen bij de eerste betaling. De volgende incasso’s, met hetzelfde bedrag, gaan automatisch door. Alleen de eerste transactie vereist sterke authenticatie, de volgende worden als terugkerend geclassificeerd.
Concreet voorzorgsmaatregelen voor online betalen zonder 3D Secure
De afwezigheid van 3D Secure betekent niet de afwezigheid van bescherming, mits u enkele eenvoudige maatregelen neemt.
- Controleer of de site het HTTPS-protocol gebruikt (slotje in de adresbalk) voordat u bankgegevens invoert.
- Geef de voorkeur aan virtuele kaarten voor eenmalig gebruik die door de meeste online banken worden aangeboden, die de blootstelling van de werkelijke kaartgegevens beperken.
- Schakel realtime transactie-notificaties in op de bankapp om onmiddellijk verdachte transacties op te merken.
- Voeg vertrouwde sites toe aan de lijst van geautoriseerde ontvangers bij uw bank, zodat u kunt profiteren van de “vertrouwde ontvanger”-uitzondering zonder het toezicht op te geven.
Deze reflexen compenseren de afwezigheid van de 3D Secure-laag en handhaven een bevredigend beveiligingsniveau voor reguliere aankopen op internet.
De onderliggende trend blijft duidelijk: sterke authenticatie heeft de fraude met creditcards tot het laagste niveau in Frankrijk verlaagd. De uitzonderingen op 3D Secure bestaan om praktische redenen, niet om de veiligheid te verzwakken. Het kennen van deze mechanismen stelt u in staat om online aankopen met meer gemoedsrust te doen, door te begrijpen wat er werkelijk gebeurt tussen de klik op “betalen” en de validatie van de transactie.
