Sanal POS ve Ödeme Sistemlerinde 3D Secure 2.2: Sürtünmesiz Ödeme (Frictionless Flow) ve Sepet Terkini Önleme

E-ticaret işletmelerinin karlılığını doğrudan etkileyen iki devasa metrik vardır: Dönüşüm Oranı (Conversion Rate) ve Sahtecilik/Ters İbraz (Chargeback) Kayıpları. Eski nesil 3D Secure 1.0 protokolü güvenliği sağlarken müşteriyi yavaşlatan SMS doğrulama adımıyla sepet terk oranlarını tırmandırmaktaydı. EMVCo tarafından geliştirilen ve Türkiye'deki bankalarca zorunlu tutulan 3D Secure 2.2 ise bu ikilemi kökünden çözmüştür.

1. Sürtünmesiz Akış (Frictionless Flow) Nasıl Çalışır?

3D Secure 2.2 altyapısında ödeme gerçekleşirken e-ticaret sitesi ile kart çıkaran banka arasında arka planda 100'den fazla veri parametresi (cihaz parmak izi, IP adresi, coğrafi konum, tarayıcı dili, önceki alışveriş alışkanlıkları vb.) milisaniyeler içinde paylaşılır.

• Düşük Riskli İşlem (Frictionless): İşlem müşterinin alışılagelmiş cihazından ve güvenli bir IP'den yapılıyorsa, banka işlemi düşük riskli sınıflandırır. Müşteriye hiçbir SMS şifre ekranı gösterilmez; sipariş anında onaylanır.
• Şüpheli / Yüksek Riskli İşlem (Challenge Flow): Kart daha önce hiç kullanılmamış yabancı bir ülkeden veya şüpheli bir VPN adresinden deneniyorsa, sistem devreye girerek banka mobil uygulamasından biyometrik onay (parmak izi/yüz tanıma) veya SMS kodu talep eder.

2. Sorumluluk Değişimi (Liability Shift) Güvencesi

İşletmeler için 3DS 2.2'nin en büyük avantajı, sürtünmesiz akışla (SMS sorulmadan) geçen işlemlerde dahi Sorumluluk Değişiminin (Liability Shift) geçerli olmasıdır. Yani kart sahibi daha sonra "Bu harcamayı ben yapmadım" diyerek ters ibraz (chargeback) talebinde bulunsa dahi, finansal zarar satıcıya rücu edilmez; risk tamamen kartı ihraç eden bankanın sorumluluğundadır.

3. Entegrasyonda Dikkat Edilmesi Gereken Parametreler

Ödeme kuruluşunuzun (İyzico, PayTR vb.) API entegrasyonunda 3DS 2.2'nin tam verimle çalışabilmesi için ödeme isteğinde (Payment Request) alıcının fatura adresi, teslimat adresi, cihaz ekran çözünürlüğü ve müşteri e-posta adresinin eksiksiz iletilmesi zorunludur. Veri seti ne kadar zengin olursa, sürtünmesiz geçiş oranı o kadar artar.