3D-Secure 2.0: почему конверсия падает, а фрод остается в игре

3D-Secure 2.0: почему конверсия падает, а фрод остается в игре

3DS — не бронежилет, а фильтр с дырками. Его продают как магию против чарджбеков, а потом удивляются, почему честный клиент сваливается на challenge, а фродстер уезжает через эксэмпт или кривой риск-скоринг.

Главная ошибка — включить 3DS и считать задачу закрытой. Нет. Если у вас:
— слабый routing на issuer’ов;
— нет нормальной идемпотентности;
— webhook’и падают или приходят задом наперед;
— плохо настроены frictionless/exemptions;
то вы просто добавили лишний шаг в и без того хрупкий платёжный путь. Костыль на костыле и финтехом погоняет.

Фрод при этом не исчезает, потому что атакуют не сам факт аутентификации, а слабые места вокруг неё: повторные попытки, token replay, спорные возвраты, ручные refund-процессы. 3DS не чинит плохую сегментацию риска и не спасает, если мерчант наивно шлёт всех подряд в challenge.

Смотрите не на религию “3DS on/off”, а на математику потока: где падает step-up, где ломается callback, где issuer режет frictionless, где у вас лишний redirect убивает mobile checkout. Документация — это ложь, логи — истина.

Итог простой: 3DS надо не «включать», а проектировать как часть антифрод-цепочки. Идемпотентность или смерть.