Het 3D Secure protocol voegt een authenticatiestap toe bij online aankopen met een creditcard. Voor een groot deel opgelegd door de Europese richtlijn DSP2, stuurt dit mechanisme een code via SMS of notificatie op de bankapp voordat de transactie wordt gevalideerd. Sommige webwinkels activeren deze verificatie niet, hetzij omdat ze een betalingsprovider gebruiken die dit niet vereist, hetzij omdat de transactie onder een vrijstellingsgeval valt dat door de regelgeving is voorzien.
DSP2-vrijstellingen: waarom sommige transacties aan 3D Secure ontsnappen
3D Secure is geen binaire keuze van de handelaar. De DSP2 voorziet in verschillende gevallen waarin sterke authenticatie niet verplicht is, en vaak is dit mechanisme de reden voor het ontbreken van verificatie in plaats van een simpele weigering van het protocol.
Transacties die door de kaartuitgever als laag risico worden beschouwd, kunnen worden vrijgesteld. Betalingsproviders gebruiken realtime analysemethoden (Transaction Risk Analysis) om elke transactie te evalueren. Als het fraudetarief van de provider onder een door de regelgeving gedefinieerde drempel blijft, kan hij een vrijstelling aanvragen voor betalingen van laag bedrag.
- Terugkerende betalingen (abonnementen) activeren 3D Secure alleen bij de eerste transactie, niet bij de volgende.
- Aankopen onder een bepaalde drempel kunnen worden vrijgesteld als de verkoper een voldoende laag fraudetarieft behoudt.
- Vertrouwde begunstigden, handmatig toegevoegd door de kaarthouder bij zijn bank, omzeilen de sterke authenticatie.
Met andere woorden, het ontbreken van 3D Secure betekent niet dat er geen beveiliging is. Het duidt vaak op een gunstige risicobeoordeling die op de achtergrond is uitgevoerd, onzichtbaar voor de koper.
Om dit onderwerp in detail te verkennen, bevat een lijst van sites zonder 3D Secure de platforms waar deze verificatie niet systematisch wordt geactiveerd.
Fraude met creditcards in Frankrijk: wat de laatste cijfers tonen
Het fraudetarief met creditcards in Frankrijk is in het eerste semester van 2025 gedaald tot ongeveer 0,048 %, volgens het Observatorium voor de veiligheid van betaalmiddelen (OSMP) van de Banque de France. In waarde vertegenwoordigt dit 211 miljoen euro, een daling van bijna 10 % op jaarbasis.
Deze daling is deels te verklaren door de generalisatie van 3D Secure. De kaart blijft het minst gefraudeerde betaalmiddel in verhouding.
Het paradox ligt elders. De fraude met alle betaalmiddelen samen is met ongeveer 7 % gestegen, en bereikte 618 miljoen euro in dezelfde periode. De fraude verdwijnt niet, ze verschuift. Technieken van sociale engineering (nep bankadviseur, gerichte phishing) vertegenwoordigden ongeveer 32 % van de fraude met betalingen in 2024, en dit percentage steeg naar ongeveer 40 % in 2025.
Betalen op een site zonder 3D Secure vormt dus niet het belangrijkste risico voor een kaarthouder vandaag. Het echte gevaar komt van menselijke manipulaties, niet van het ontbreken van een SMS-code.
Betalen zonder 3D Secure: wat de handelaar op zich neemt
Wanneer een handelaar ervoor kiest om de 3D Secure-authenticatie niet te activeren, neemt hij het risico van betwisting op zich. In geval van bewezen fraude is het de handelaar (en niet de bank van de kaarthouder) die de financiële verlies draagt binnen het liability shift-mechanisme.
Deze overdracht van verantwoordelijkheid verklaart waarom sommige grote internationale platforms opzettelijk 3D Secure deactiveren. Hun rekensom is eenvoudig: de kosten van verlaten winkelwagentjes overschrijden die van de geabsorbeerde fraude. Een extra authenticatiestap leidt tot significante winkelwagentjeverlatingen, en voor een site met een zeer hoog volume vertegenwoordigt elk verloren conversiepunt een aanzienlijk gemis.
De sites die deze keuze maken, beschikken doorgaans over geavanceerde interne antifraudesystemen. Ze analyseren het IP-adres, de browserfingerprint, de aankoopgeschiedenis en tientallen andere signalen voordat ze een transactie accepteren. Het ontbreken van zichtbare 3D Secure betekent niet dat er geen filtering plaatsvindt.
Soorten betrokken sites
Digitale dienstplatforms (streaming, cloudopslag, bepaalde mobiele applicaties) behoren tot de meest voorkomende. Reis- en hotelreserveringssites maken ook gebruik van vrijstellingen, met name voor terugkerende betalingen of laagrisico-prebetalingen.
Bepaalde e-commercebedrijven die gespecialiseerd zijn in kleine bedragen omzeilen ook 3D Secure dankzij de vrijstellingsdrempels die door de DSP2 zijn voorzien.
Bescherm uw creditcard zonder op 3D Secure te vertrouwen
Alleen op 3D Secure vertrouwen om uw online aankopen te beveiligen zou een vergissing zijn. Verschillende aanvullende maatregelen bieden een robuustere bescherming, ongeacht de gebruikte site.
- Virtuele eenmalige kaarten, aangeboden door de meeste online banken, genereren een tijdelijk kaartnummer dat is gekoppeld aan een specifiek bedrag en een bepaalde duur.
- Het activeren van realtime notificaties voor elke transactie maakt het mogelijk om onmiddellijk een ongeautoriseerde transactie te detecteren en de kaart vanuit de bankapp te blokkeren.
- Het controleren van het HTTPS-protocol en de reputatie van de handelaar voordat u een aankoop doet, blijft een basisreflex, effectiever dan een SMS-code die achteraf wordt verzonden.
- Gegevens van de bank nooit telefonisch delen, zelfs niet met iemand die zich als uw bank voordoet, beperkt de blootstelling aan sociale-engineeringfraude die in 2025 explodeert.
3D Secure vormt een beschermingslaag onder andere, geen absoluut schild. Sites die het niet gebruiken, compenseren doorgaans met realtime risicobeheersystemen aan de serverzijde. De kaarthouder behoudt de controle over de beveiliging van zijn gegevens door de tools te activeren die zijn bank ter beschikking stelt.