Você acabou de validar seu carrinho, inseriu seus dados bancários e uma tela adicional solicita um código recebido por SMS. Esta etapa é o protocolo 3D Secure. Ele protege contra fraudes, mas também desacelera o processo de compra. Alguns sites online funcionam sem essa verificação, e entender o porquê (e como) muda a maneira como percebemos a segurança de nossos pagamentos na internet.
Isenções DSP2: por que um pagamento sem 3D Secure pode continuar legal
A regulamentação europeia DSP2 impõe a autenticação forte para pagamentos online com cartão de crédito. Muitos consumidores pensam que a ausência de 3D Secure significa automaticamente uma falta de segurança. É mais sutil do que isso.
A DSP2 prevê na verdade várias isenções de autenticação forte perfeitamente conformes. Um pagamento pode passar sem a tela 3D Secure, desde que atenda a certos critérios específicos.
Entre os casos previstos pela regulamentação, estão os sites sem 3D Secure a conhecer que exploram essas isenções para facilitar a experiência de compra sem infringir a diretiva europeia.
- As transações de baixo valor (cerca de 30 euros), sujeitas a limites cumulativos e um contagem do número de transações sucessivas sem autenticação.
- Os beneficiários de confiança, que o titular do cartão adicionou previamente a uma lista branca junto ao seu banco.
- As transações recorrentes, como uma assinatura mensal idêntica, onde apenas a primeira operação exige uma autenticação forte.
- A análise de risco em tempo real (Transaction Risk Analysis), utilizada pelos prestadores de pagamento cujo índice de fraude trimestral permanece abaixo de um limite definido pelo regulamento delegado (UE) 2018/389.
Para o consumidor, isso significa que um site sem tela 3D Secure não é necessariamente suspeito. Ele pode simplesmente se beneficiar de uma isenção concedida pelo seu prestador de pagamento.
Taxa de fraude com cartão de crédito online e o papel real do 3D Secure
Você já percebeu que as fraudes com cartão de crédito estão frequentemente nas manchetes da mídia? Os números recentes, no entanto, mostram uma tendência oposta ao que se poderia pensar.
Segundo o Observatório de Segurança dos Meios de Pagamento, a fraude nos pagamentos com cartão atingiu um nível historicamente baixo, com uma taxa em torno de 0,05% do valor processado. Entre 2024 e 2025, a queda é de cerca de 10%, atribuída diretamente ao desdobramento da autenticação forte 3D Secure 2 imposta pela DSP2.
Esse protocolo, portanto, provou sua eficácia em grande escala. Os sites que optam por não utilizá-lo assumem um risco mensurável, mesmo que as isenções permitam fazê-lo legalmente.
Quem suporta o risco em caso de fraude sem 3D Secure
Quando um comerciante aceita um pagamento sem autenticação forte e ocorre uma fraude, a responsabilidade financeira recai sobre o comerciante, não sobre o banco do cliente. É o mecanismo chamado de “liability shift” previsto pelas redes Visa e Mastercard.
Na prática, o consumidor permanece protegido: seu banco deve reembolsá-lo em caso de operação não autorizada. O comerciante, por sua vez, perde a mercadoria e o valor da transação. É por isso que a maioria das lojas online ativa o 3D Secure, mesmo quando uma isenção seria possível.
Sites de pagamento online sem verificação 3D Secure: casos concretos
Algumas plataformas bem conhecidas contornam o 3D Secure de maneira transparente. Seu ponto em comum: utilizam seus próprios sistemas de segurança em complemento ou substituição ao protocolo bancário clássico.
PayPal e carteiras eletrônicas
O PayPal não aciona o 3D Secure no momento do pagamento em um site comerciante. A autenticação ocorre previamente, no momento da conexão à conta PayPal (senha, autenticação dupla via aplicativo). O comerciante nunca vê os dados do cartão de crédito, o que reduz o risco de vazamento de dados.
O princípio é o mesmo para outras carteiras eletrônicas. O comprador se identifica uma vez na solução de pagamento, e depois valida suas compras sem passar por uma tela bancária a cada transação.
Cartões corporativos e transações B2B
Os cartões de empresa (corporate) se beneficiam de uma isenção específica na DSP2. As compras realizadas com um cartão identificado como profissional podem passar sem autenticação forte. Essa isenção visa simplificar os fluxos de suprimento das empresas, onde os volumes de transações são altos e os valores muitas vezes recorrentes.
Assinaturas e pagamentos recorrentes
Os serviços por assinatura (streaming, softwares, imprensa online) acionam o 3D Secure apenas no primeiro pagamento. Os débitos seguintes, com valor idêntico, passam automaticamente. Apenas a primeira transação requer uma autenticação forte, as seguintes sendo classificadas como recorrentes.
Precauções concretas para pagar online sem 3D Secure
A ausência de 3D Secure não significa a ausência de proteção, desde que algumas medidas simples sejam tomadas.
- Verificar se o site utiliza o protocolo HTTPS (cadeado na barra de endereço) antes de inserir informações bancárias.
- Preferir cartões virtuais de uso único oferecidos pela maioria dos bancos online, que limitam a exposição dos dados reais do cartão.
- Ativar as notificações de transação em tempo real no aplicativo bancário para identificar imediatamente qualquer operação suspeita.
- Adicionar sites de confiança à lista de beneficiários autorizados junto ao seu banco, o que permite aproveitar a isenção “beneficiário de confiança” sem abrir mão do controle.
Esses reflexos compensam a ausência da camada 3D Secure e mantêm um nível de segurança satisfatório para compras comuns na internet.
A tendência de fundo permanece clara: a autenticação forte fez a fraude com cartão de crédito cair para seu nível mais baixo na França. As isenções ao 3D Secure existem por razões práticas, não para enfraquecer a segurança. Conhecer esses mecanismos permite fazer compras online com mais tranquilidade, entendendo o que realmente acontece entre o clique em “pagar” e a validação da transação.
