3D Secure
EMV 3DS 2.x，PCI-3DS 认证。
在不损失认证强度的前提下降低摩擦——基于风险的判定、设备指纹、无感与挑战流。
能力
- ACS（访问控制服务器）与 3DS Server 同一部署
- 基于风险的认证，商户侧规则可调
- 低风险走无感流
- OOB 与挑战流按需启用
- 浏览器与移动 SDK 集成
- 商户后台内置认证分析
发起 3DS 认证
POST /v1/3ds/authentications
bash
# 启动无感 / 挑战认证
curl -X POST https://api.coshine.com/v1/3ds/authentications \
-H "Authorization: Bearer $COSHINE_TOKEN" \
-H "Idempotency-Key: $(uuidgen)" \
-H "Content-Type: application/json" \
-d '{
"card": { "token": "tk_9p3a..." },
"amount": { "value": 12500, "currency": "SGD" },
"merchant_id": "merch_sg_001",
"browser_data": { "user_agent": "...", "accept_header": "...", "color_depth": 24 },
"purchase_intent": "ecom"
}'
# 200 OK — 无感
{
"id": "tds_8h2k3l",
"status": "AUTHENTICATED",
"decision": "FRICTIONLESS",
"eci": "05",
"cavv": "...",
"ds_trans_id": "...",
"issuer": { "risk_score": 0.12, "policy_version": "2.3.1" },
"processing_ms": 142
}决策矩阵
| 风险分段 | 持卡人情境 | 方法 | 结果 |
|---|---|---|---|
| 0.00 – 0.30（低） | 已识别设备、历史无感成功 | 跳过挑战 | 无感 · ECI 05 · 责任转移 |
| 0.30 – 0.60（中） | 已识别设备、小额交易 | Attempt 模式 | 无感 · ECI 06 · Visa 责任转移 |
| 0.60 – 0.85（升高） | 未识别设备、新商户 | 挑战（OTP / OOB / SDK） | 需挑战 · 成功后责任转移 |
| 0.85 – 1.00（高） | 速度或地理异常、信息不匹配 | 挑战前拒绝 | 认证拒绝 · 商户可回落 |
| 发卡方策略覆盖 | 发卡方强制 step-up | 挑战 | 按发卡方策略 |
性能
| 指标 | 典型值 |
|---|---|
| 无感率 | 认证的 70% – 85%（取决于发卡方组合） |
| 认证成功率 | 已识别设备 ≥ 95% |
| 端到端认证延迟（p95） | < 400 ms（含发卡 ACS 往返） |
| 3DS Server 可用性 | 99.99% 月度 |
| 支持的挑战方式 | OTP（短信 / 邮件）· OOB（银行 App）· 生物 SDK |
| 误拒率 | 按商户跟踪；与风控团队月度复盘 |
常见问题
EMV 3DS 2.x 相比 3DS 1，对我有什么变化？
三件事：(1) 更丰富的浏览器与设备数据让发卡方更频繁选择无感，转化率提升；(2) 责任转移覆盖更广的 EMV 3DS 流程；(3) 持卡人体验从重定向页变成应用内或浏览器内挑战，仅在必要时出现。多数市场实质上已强制从 3DS 1 迁出。
无感 vs 挑战谁决定？
发卡方 ACS 最终决定，依据商户发送的数据与发卡方策略。Coshine 代发卡方运营 ACS；我们暴露策略杠杆（风险分、速度、设备信任）给发卡方风控团队微调。商户通过发送数据的质量影响无感概率。
支持哪些挑战方式？
短信 / 邮件 OTP、经银行 App 推送的 OOB 挑战，以及在发卡方移动 App 内的生物 / SDK 挑战。具体支持集取决于银行在 ACS 中接入了哪些 — 现代部署多数三者全支持。
责任转移何时生效？
无感或挑战认证成功且 ECI 值正确（Visa 05、Mastercard 02 等）时，欺诈拒付责任在适用原因码下从商户转到发卡方。Attempt-only 流在 Visa 上部分转移；失败认证不转。具体按卡组与区域不同 — 项目设计阶段确认。
软拒重试怎么做？
当发卡方因 SCA 原因软拒（Visa 1A01、Mastercard 65）时，网关可自动经一次 3DS 认证后重新授权。硬拒不重试。软拒转 3DS 流程是商户可配置策略。
合规
Coshine 同时持有 PCI 3DS、PCI DSS Level 1、PCI PIN。证书可经信任中心通过 NDA 获取。