O protocolo 3D Secure adiciona uma etapa de autenticação durante uma compra online com cartão de crédito. Imposto em grande parte pela diretiva europeia DSP2, esse mecanismo envia um código por SMS ou notificação no aplicativo bancário antes de validar a transação. Alguns sites comerciantes não ativam essa verificação, seja porque usam um prestador de pagamento que não a requer, seja porque a transação se enquadra em um caso de isenção previsto pela regulamentação.
Isenções DSP2: por que algumas transações escapam do 3D Secure
O 3D Secure não é uma escolha binária do comerciante. A DSP2 prevê vários casos em que a autenticação forte não é obrigatória, e é frequentemente esse mecanismo que explica a ausência de verificação, em vez de um simples recuso do protocolo.
As transações consideradas de baixo risco pelo emissor do cartão podem ser isentas. Os prestadores de pagamento utilizam algoritmos de análise em tempo real (Transaction Risk Analysis) para avaliar cada operação. Se a taxa de fraude do prestador permanecer abaixo de um limite definido pela regulamentação, ele pode solicitar uma isenção para pagamentos de baixo valor.
- Os pagamentos recorrentes (assinaturas) acionam o 3D Secure apenas na primeira transação, não nas seguintes.
- As compras abaixo de um certo limite podem ser isentas se o adquirente mantiver uma taxa de fraude suficientemente baixa.
- Os beneficiários de confiança, adicionados manualmente pelo portador do cartão junto ao seu banco, contornam a autenticação forte.
Em outras palavras, a ausência de 3D Secure não significa a ausência de segurança. Ela frequentemente reflete uma análise de risco favorável realizada em segundo plano, invisível para o comprador.
Para explorar este assunto em detalhes, uma lista de sites sem 3D Secure reúne as plataformas onde essa verificação não é acionada sistematicamente.
Fraude com cartão de crédito na França: o que mostram os últimos números
A taxa de fraude com cartão de crédito na França caiu para cerca de 0,048 % no primeiro semestre de 2025, segundo o Observatório da Segurança dos Meios de Pagamento (OSMP) do Banco da França. Em valor, isso representa 211 milhões de euros, uma queda de quase 10 % em um ano.
Essa queda se explica em parte pela generalização do 3D Secure. O cartão continua sendo o meio de pagamento menos fraudado proporcionalmente.
O paradoxo está em outro lugar. A fraude em todos os meios de pagamento aumentou cerca de 7 %, atingindo 618 milhões de euros no mesmo período. A fraude não desaparece, ela se desloca. As técnicas de engenharia social (falso conselheiro bancário, phishing direcionado) representavam cerca de 32 % da fraude em pagamentos em 2024, e essa proporção subiu para cerca de 40 % em 2025.
Pagar em um site sem 3D Secure, portanto, não constitui o principal risco para um portador de cartão hoje. O verdadeiro perigo vem das manipulações humanas, não da ausência de um código SMS.
Pagamento sem 3D Secure: o que o comerciante assume
Quando um comerciante escolhe não acionar a autenticação 3D Secure, ele assume o risco de contestação. Em caso de fraude comprovada, é o comerciante (e não o banco do portador) que suporta a perda financeira no âmbito do mecanismo de liability shift.
Essa transferência de responsabilidade explica por que algumas grandes plataformas internacionais desativam voluntariamente o 3D Secure. O cálculo é simples: o custo dos carrinhos abandonados supera o da fraude absorvida. Uma etapa de autenticação adicional provoca abandonos significativos de carrinho, e para um site de alto volume, cada ponto de conversão perdido representa uma perda considerável.
Os sites que fazem essa escolha geralmente possuem sistemas antifraude internos sofisticados. Eles analisam o endereço IP, a impressão do navegador, o histórico de compras e dezenas de outros sinais antes de aceitar uma transação. A ausência do 3D Secure visível não significa a ausência de filtragem.
Tipos de sites envolvidos
As plataformas de serviços digitais (streaming, armazenamento em nuvem, alguns aplicativos móveis) estão entre as mais frequentes. Os sites de viagem e reserva de hotéis também utilizam isenções, especialmente para pagamentos recorrentes ou pré-pagamentos de baixo risco.
Alguns e-comerciantes especializados em pequenos valores também contornam o 3D Secure graças aos limites de isenção previstos pela DSP2.
Proteger seu cartão de crédito sem contar com o 3D Secure
Confiar apenas no 3D Secure para proteger suas compras online seria um erro. Várias medidas complementares oferecem uma proteção mais robusta, independentemente do site utilizado.
- Os cartões virtuais de uso único, oferecidos pela maioria dos bancos online, geram um número de cartão temporário vinculado a um valor e uma duração específicos.
- A ativação de notificações em tempo real para cada transação permite detectar imediatamente uma operação não autorizada e bloquear o cartão pelo aplicativo bancário.
- A verificação do protocolo HTTPS e da reputação do comerciante antes de qualquer compra continua sendo um reflexo básico, mais eficaz do que um código SMS enviado posteriormente.
- Nunca comunicar seus dados bancários por telefone, mesmo a um interlocutor que se apresenta como seu banco, limita a exposição a fraudes por engenharia social que explodiram em 2025.
O 3D Secure é uma camada de proteção entre outras, não um escudo absoluto. Os sites que não o utilizam geralmente compensam com sistemas de análise de risco em tempo real do lado do servidor. O portador do cartão, por sua vez, mantém o controle sobre a segurança de seus dados ativando as ferramentas que seu banco disponibiliza.