3D Secure nedir ve satıcıyı nasıl korur?
SMS şifresinin arkasındaki protokol, sorumluluk kayması kuralı, ters ibraz süreci ve 3D’siz ödemenin riskleri.
Online alışverişte kart bilgilerini girdikten sonra telefonunuza gelen SMS şifresi ya da bankacılık uygulamanızda beliren “Bu işlemi onaylıyor musunuz?” bildirimi, 3D Secure adı verilen doğrulama katmanının parçasıdır. Satıcı açısından bu adım bazen “müşteriyi kaçıran bir engel” gibi görünse de aslında hem dolandırıcılığa karşı korunmanın hem de itiraz durumunda sorumluluğun kime ait olacağını belirlemenin temel aracıdır. Bu yazıda 3D Secure’un nasıl çalıştığını, 3D’siz ödemenin risklerini ve küçük bir işletmenin bu konuda bilmesi gerekenleri anlatıyoruz.
3D Secure nedir?
3D Secure, kartla yapılan internet alışverişlerinde kart sahibinin kimliğini kartı çıkaran banka tarafından doğrulayan bir protokoldür. Adındaki “3D”, işleme dahil olan üç alanı (domain) ifade eder:
- Kart çıkaran banka alanı (issuer domain): Müşterinin kartını veren banka; doğrulamayı yapan taraftır.
- Üye işyeri bankası alanı (acquirer domain): Sizin sanal POS sağlayıcınız; ödemeyi sizin adınıza alan taraftır.
- Birlikte çalışabilirlik alanı (interoperability domain): Kart şemalarının (Visa, Mastercard, Troy vb.) iki tarafı birbirine bağlayan altyapısı.
Kart şemaları bu protokolü kendi markalarıyla sunar: Visa’da Visa Secure, Mastercard’da Mastercard Identity Check gibi isimler kullanılır. Protokolün genel tarihçesi ve teknik çerçevesi için Wikipedia’daki 3-D Secure maddesi iyi bir başlangıç noktasıdır.
Adım adım 3D Secure akışı
- Müşteri sitenizde kart bilgilerini girer ve ödeme düğmesine basar.
- Sanal POS altyapısı, kartın 3D Secure’a kayıtlı olup olmadığını kart şeması üzerinden sorgular.
- Kartı çıkaran banka, müşteriyi doğrulamak için bir yöntem seçer: SMS ile tek kullanımlık şifre, mobil uygulama onayı veya (yeni sürümlerde) arka planda risk değerlendirmesi.
- Müşteri doğrulamayı tamamlarsa banka bir doğrulama sonucu üretir ve bu sonuç ödeme isteğiyle birlikte provizyon için gönderilir.
- Provizyon onaylanır veya reddedilir; sonuç sitenize iletilir.
Bu akışın sitenizle ilgili kısmı, ödeme kuruluşunun entegrasyonu tarafından yönetilir. Siz genellikle yalnızca müşteriyi doğrulama sayfasına yönlendirir ve dönüşte sonucu kontrol edersiniz. Entegrasyonun genel yapısını sanal POS nedir yazımızda anlattık.
3D Secure 1 ile 3D Secure 2 farkı
İlk nesil 3D Secure, her işlemde müşteriyi ayrı bir sayfaya yönlendirip şifre isteyen, mobil cihazlarda kullanımı zor bir yapıydı. EMV 3-D Secure olarak da bilinen ikinci nesil (3DS2), bu deneyimi iyileştirmek için geliştirildi.
| Özellik | 3D Secure 1 | 3D Secure 2 (EMV 3DS) |
|---|---|---|
| Doğrulama yöntemi | Ağırlıklı olarak statik veya SMS şifre | Risk tabanlı; gerekirse SMS, uygulama onayı, biyometri |
| Mobil uyum | Zayıf, yönlendirme ağırlıklı | Uygulama içi ve mobil tarayıcıya uygun |
| Paylaşılan veri | Sınırlı | Cihaz, işlem ve teslimat bilgileri gibi zengin veri |
| Sürtünmesiz onay | Yok | Düşük riskli işlemler ek adım olmadan onaylanabilir |
3DS2’nin “sürtünmesiz” (frictionless) akışında banka, işlemi düşük riskli bulursa müşteriden ek bir şey istemeden onay verebilir. Riskli bulursa “meydan okuma” (challenge) adımı devreye girer ve müşteriden şifre veya uygulama onayı istenir. Türkiye’de uygulamada SMS ve mobil uygulama onayı hâlâ çok yaygındır; hangi yöntemin kullanılacağına kartı çıkaran banka karar verir.
Sorumluluğun yer değiştirmesi (liability shift)
3D Secure’un satıcı açısından en önemli sonucu, sorumluluk kayması denilen kuraldır. Genel ilke şöyledir: başarılı bir 3D Secure doğrulamasıyla yapılan işlemde, kart sahibi daha sonra “bu işlemi ben yapmadım” diyerek itiraz ederse, dolandırıcılıktan doğan zararın sorumluluğu büyük ölçüde kartı çıkaran bankaya geçer. 3D Secure kullanılmayan işlemlerde ise bu tür bir itirazda zarar genellikle satıcıya döner.
Sorumluluk kayması yalnızca “kart sahibi tarafından yapılmadı” türündeki dolandırıcılık itirazlarını kapsar. “Ürün gelmedi”, “ürün açıklamaya uymuyor” veya “iade ettim ama param gelmedi” gibi ticari itirazlarda 3D Secure sizi korumaz; bu durumlarda teslimat ve iletişim kayıtlarınız belirleyicidir. Kurallar kart şemasına ve sözleşmeye göre ayrıntıda farklılık gösterebilir.
Ters ibraz (chargeback) nedir?
Ters ibraz, kart sahibinin bankası aracılığıyla bir işleme itiraz etmesi ve tutarın satıcıdan geri alınması sürecidir. Süreç kabaca şöyle işler:
- Kart sahibi bankasına itiraz eder.
- Kartı çıkaran banka itirazı kart şeması üzerinden sizin sağlayıcınıza iletir.
- Sağlayıcınız sizden belge ister: fatura, kargo takip kaydı, teslim tutanağı, müşteriyle yazışmalar, 3D Secure kaydı.
- Belgeler değerlendirilir; itiraz haklı bulunursa tutar hesabınızdan düşülür.
Belge isteğine verilen yanıt süreleri sınırlıdır. Bu yüzden her siparişin kargo takip numarasını, teslim bilgisini ve fatura kaydını düzenli saklamak, itirazı kazanma şansınızı doğrudan etkiler.
3D’siz (non-3D) ödeme ne zaman kullanılır?
Bazı sağlayıcılar belirli koşullarda 3D Secure adımı olmadan ödeme almaya izin verir. Abonelik yenilemeleri, kayıtlı kartla tekrar eden ödemeler veya bazı kurumsal senaryolar buna örnektir. Ancak 3D’siz ödemenin bedeli açıktır: dolandırıcılık itirazlarında risk çoğunlukla sizdedir. Bu nedenle sağlayıcılar 3D’siz yetkiyi genellikle geçmişi olan, düşük riskli işletmelere ve sınırlı limitlerle verir.
Küçük bir işletme için kural basittir: ilk ödemeyi her zaman 3D Secure ile alın. Tekrarlayan ödemelerde kart saklama (tokenizasyon) gerekiyorsa bunu sağlayıcının güvenli kart saklama hizmeti üzerinden yapın; kart numarasını hiçbir koşulda kendi veritabanınızda tutmayın.
3D Secure dönüşümü düşürür mü?
Ek bir doğrulama adımı bazı müşterilerin ödemeyi yarıda bırakmasına neden olabilir. Bunun en sık nedenleri teknik sorunlardır, 3D Secure’un kendisi değil. Terk oranını azaltmak için şunlara dikkat edin:
- Mobil uyum: Doğrulama penceresinin telefonda düzgün açıldığını test edin. Sayfanızdaki açılır pencere engelleyiciler veya hatalı iframe boyutları sık sorun çıkarır.
- Anlaşılır mesajlar: Doğrulama başarısız olduğunda müşteriye “Bankanızın doğrulama adımı tamamlanamadı, tekrar deneyebilirsiniz” gibi açık bir mesaj gösterin.
- Sepetin korunması: Doğrulama başarısız olsa bile müşterinin sepeti ve adres bilgileri kaybolmamalı.
- Zaman aşımı: SMS gecikirse müşterinin yeniden deneyebileceği bir yol sunun.
- Doğru veri: 3DS2’de gönderilen e-posta, telefon ve adres bilgileri ne kadar tutarlıysa bankanın sürtünmesiz onay verme olasılığı o kadar artar.
Dolandırıcılığa karşı ek önlemler
3D Secure tek başına her riski kapatmaz. Özellikle yüksek değerli veya kolay satılabilen ürünler satıyorsanız şu önlemleri değerlendirin:
| Sinyal | Neden şüpheli? | Olası önlem |
|---|---|---|
| Kısa sürede aynı karttan çok sayıda deneme | Çalıntı kart bilgilerinin test edilmesi | Deneme sayısı sınırı, CAPTCHA |
| Fatura ve teslimat adresinin çok farklı olması | Kart sahibi dışında birinin siparişi olabilir | Siparişi telefonla teyit etme |
| İlk siparişte olağandışı yüksek tutar | Hesap veya kart ele geçirilmiş olabilir | Manuel onay kuyruğu |
| Acil teslimat ve kargo adresinin değiştirilmesi talebi | Sosyal mühendislik girişimi | Adres değişikliğinde yeniden doğrulama |
Linkle ödemede 3D Secure
Sosyal medya veya mesajlaşma uygulaması üzerinden satış yapan işletmelerin kullandığı ödeme linklerinde de 3D Secure genellikle varsayılan olarak açıktır. Müşteri linke tıklar, ödeme kuruluşunun sayfasında kart bilgisini girer ve bankasının doğrulama adımını tamamlar. Bu modelin ayrıntıları için linkle ödeme rehberimize bakabilirsiniz.
Satıcı için 3D Secure kontrol listesi
3D Secure’un sizi gerçekten koruması için entegrasyonun ve iş süreçlerinin birlikte doğru kurulması gerekir. Aşağıdaki listeyi canlıya geçmeden önce ve sonrasında belirli aralıklarla gözden geçirin:
- Doğrulama sonucunu okuyun: Ödeme sağlayıcısından dönen yanıtta işlemin 3D Secure ile tamamlanıp tamamlanmadığını gösteren alanı kontrol edin. Yalnızca “provizyon başarılı” bilgisine bakmak yeterli değildir; doğrulamanın tam mı, kısmi mi olduğu da önemlidir.
- Sipariş kaydına işleyin: Her siparişin yanında doğrulama durumunu, işlem numarasını ve tarihini saklayın. İtiraz geldiğinde bu bilgiye saniyeler içinde ulaşabilmelisiniz.
- Müşteri bilgilerini eksiksiz gönderin: 3DS2’de e-posta, telefon ve adres gibi alanlar bankanın risk değerlendirmesinde kullanılır. Bu alanları boş göndermek, gereksiz ek doğrulama adımlarına neden olabilir.
- Teslimat kanıtlarını toplayın: Kargo takip numarası, teslim tarihi ve mümkünse teslim alan kişinin bilgisi, ticari itirazlarda en güçlü belgenizdir.
- Ret nedenlerini izleyin: Doğrulama aşamasında takılan işlemlerin oranı aniden artarsa, sağlayıcınızla iletişime geçin. Sorun bazen sizin sayfanızdaki bir değişiklikten, bazen de bir bankanın altyapısından kaynaklanır.
- Personeli bilgilendirin: Müşteri hizmetleri ekibiniz, “SMS gelmedi” diyen bir müşteriye ne söyleyeceğini bilmeli. Genellikle doğru yanıt, kartı çıkaran bankanın kayıtlı telefon numarasını ve mobil uygulama bildirimlerini kontrol etmesini önermektir.
Bu küçük alışkanlıklar, hem itiraz sürecinde zaman kazandırır hem de ödeme sayfasındaki terk oranını düşürmenize yardımcı olur.
Sık sorulan sorular
Müşterinin kartı 3D Secure’a kayıtlı değilse ne olur?
Günümüzde Türkiye’de kart çıkaran bankaların büyük çoğunluğu kartları otomatik olarak doğrulama sistemine dahil eder. Kayıtlı olmayan bir kartla karşılaşıldığında ne olacağı, sağlayıcınızın ayarlarına bağlıdır; işlem reddedilebilir veya 3D’siz yetkiniz varsa farklı kurallarla işlenebilir.
Yurt dışı kartlarda da 3D Secure çalışır mı?
Evet, 3D Secure uluslararası bir protokoldür. Ancak yurt dışı kartlarda doğrulama yöntemi kartı çıkaran bankaya göre değişir; müşteri SMS yerine kendi bankasının uygulamasından onay verebilir.
3D Secure kayıtlarını saklamam gerekir mi?
Doğrulama sonucu ödeme sağlayıcısının sisteminde tutulur. Yine de sipariş kaydınızda işlemin 3D Secure ile mi yoksa 3D’siz mi alındığını not etmek, itiraz sürecinde hızlı yanıt vermenizi kolaylaştırır.