Hai già sentito parlare del 3D Secure? vediamo insieme cos’è l’autenticazione che protegge gli acquisti online, cosa prevede la normativa e come attivarla.
Segui Money.it su Google Aggiungici alle fonti preferite per vedere più spesso le nostre notizie nei risultati di ricerca.
Se sei solito effettuare acquisti online, molto probabilmente ti sarà già capitato di aver inserito numero della carta, scadenza e CVV su un sito, aver premuto su Paga e venire reindirizzato su un’altra pagina. Qui ti è stato chiesto di toccare una notifica sul tuo telefono o di inserire un codice via SMS. Questo è il 3D Secure, ossia il passaggio che serve per verificare che a pagare sia davvero tu.
In Europa, l’autenticazione forte del cliente è un obbligo di legge e il 3D Secure è lo strumento tecnico usato da banche e circuiti. Capire come funziona può tornarti parecchio utile, sia per avere informazioni generali sia per avere la certezza di non sbagliare più nulla quando effettui acquisti online.
In questa guida, ti spieghiamo nel dettaglio cos’è, quale normativa lo regola, come funziona nel concreto, dove si usa e come attivarlo sulle carte più diffuse e utilizzate in Italia.
leggi anche
Rivoluzione Mastercard, l’IA farà shopping e pagamenti al posto tuo. Cosa cambia per i clienti
Cos’è il 3D Secure
Il 3D Secure è un protocollo che permette al negozio online e alla banca che ha emesso la carta di scambiarsi informazioni sull’acquisto e sul titolare della carta prima che il pagamento venga autorizzato. Lo standard è sviluppato da EMVCo, l’organismo tecnico dei circuiti di pagamento.
Ogni circuito lo propone con un marchio proprio. Ci sono per esempio Visa Secure, Mastercard Identity Check e American Express SafeKey. Va chiarito subito un punto. Il 3DS è il canale che trasporta la richiesta di verifica, non il metodo con il quale si certifica che il titolare sta pagando.
L’identità si controlla infatti con il riconoscimento biometrico, con un codice OTP ricevuto via SMS abbinato a un Key6, con una notifica da toccare o con altri sistemi certificati.
Cosa dice la normativa
Alla base del 3D Secure c’è la direttiva UE 2015/2366, nota come PSD2, che è stata recepita in Italia dal decreto legislativo 15 dicembre 2017, n. 218, in vigore dal 13 gennaio 2018. Le regole tecniche, invece, si trovano nel regolamento delegato UE 2018/389, pubblicato nella Gazzetta Ufficiale UE il 13 marzo 2018.
Qui viene definita l’autenticazione forte (SCA). Di cosa si tratta? Di un sistema che richiede almeno due elementi indipendenti di categorie diverse per confermare la titolarità di un pagamento. Si può trattare di password e PIN, di smartphone e token o di sistemi biometrici come la lettura delle impronte digitali o del volto.
L’obbligo è scattato il 14 settembre 2019, ma per i pagamenti online con carta l’EBA ha concesso tempo fino al 31 dicembre 2020. Un parere EBA del 21 giugno 2019 precisa che i dati stampati sulla carta di pagamento non bastano come elemento di verifica, mentre un SMS con codice OTP vale come conferma del possesso del dispositivo.
Sono previste esenzioni, a cui risponde la singola banca. Per esempio, molti enti per i pagamenti a distanza fino a 30 euro entro un cumulato di 100 euro o cinque operazioni dall’ultima verifica, non richiedono il 3D Secure. Lo stesso vale per i beneficiari di fiducia, per i pagamenti ricorrenti e per le operazioni giudicate a basso rischio.
L’obbligo riguarda invece i pagamenti in cui sia la banca di chi paga sia quella di chi riceve il denaro operano nello Spazio economico europeo. Guardando più avanti, la direttiva PSD3 e il nuovo Regolamento sui servizi di pagamento hanno raggiunto l’accordo politico il 27 novembre 2025.
I testi di compromesso sono datati 23 aprile 2026 e la commissione ECON del Parlamento euroepo li ha approvati il 5 maggio. Si attende ancora la pubblicazione in Gazzetta Ufficiale UE che, nel momento in cui stiamo scrivendo questa guida, non è ancora arrivata.
Come funziona il 3D Secure
Il processo con cui entra in gioco il 3D Secure è molto veloce e segue quattro passaggi principali. In primis, c’è l’utente che inserisce i dati della propria carta di pagamento in fase di checkout sul sito scelto.
Il negozio si occupa dunque, tramite il proprio fornitore di pagamenti, di inviare alla banca del cliente i dati dell’operazione e del dispositivo, passando per il circuito. La banca ha il compito di valutare il rischio. Se non vengono riscontrate incongruenze, l’approvazione avviene senza chiedere nulla all’utente. Altrimenti si chiede una verifica.
In quest’ultimo caso, si può confermare l’operazione con una notifica push nell’app con biometria o codice PIN, oppure con un codice OTP via SMS spesso abbinato al Key6.
Il negozio decide se avviare il 3DS, ma la banca può comunque rifiutare un pagamento senza la verifica. È per questo che, se la notifica non viene ricevuta sul dispositivo, è bene aprire l’app e controllare.
Dove si usa il 3D Secure
Il 3DS compare negli acquisti su siti e app con carte di credito, di debito o carte prepagate, ma solo quando l’esercente lo supporta.
Il primo pagamento può richiedere la verifica, mentre gli addebiti ricorrenti successivi con lo stesso esercente possono esserne esenti. Nexi e Intesa Sanpaolo offrono questo servizio gratuitamente.
Come attivare il 3D Secure sulla carta
Per poter attivare il 3D Secure sulla tua carta per i pagamenti online, hai bisogno di una carta abilitata, di un numero di cellulare registrato presso la tua banca e dell’app dell’emittente con le notifiche attive.
- Nexi: dopo la registrazione all’app Nexi Pay o all’Area Personale, il 3D Secure risulta sempre attivo. Se hai saltato il codice di registrazione, risulta invece Non attivo e ti servirà quel codice per attivarlo. Puoi impostare il Key6 direttamente dall’app, autorizzando poi con il riconoscimento biometrico. Se non hai l’applicazione, sul sito del negozio puoi inserire il Key6 e l’OTP via SMS;
- Poste Italiane: devi in primis associare il tuo cellulare alla carta o al conto e abilitarli nell’app Poste Italiane. Nel momento del pagamento, arriva una notifica da autorizzare con codice PosteID o riconoscimento biometrico. In alternativa, ricevi un OTP via SMS da inserire con la password di poste.it;
- Intesa Sanpaolo: le carte del gruppo sono abilitate al 3D Secure di default. Con O-Key Smart attivo nell’app Intesa Sanpaolo Mobile, riceverai una notifica push per ogni acquisto e dovrai confermare con impronta digitale, riconoscimento del volto o inserimento del codice PIN;
- Revolut: le carte supportano di base il 3DS. Se l’esercente lo richiede, arriva una notifica push sull’app da confermare. Se invece non compare, apri l’app e dalle impostazioni di sicurezza puoi gestire gli esercenti di fiducia, per i quali non è richiesto il controllo;
- American Express: c’è SafeKey, che è la versione Amex dell’EMV 3DS. Se serve una verifica, il circuito prevede l’invio di una notifica nell’app Amex o un codice OTP monouso via email o SMS.
Attenzione: non comunicare mai a nessuno OTP, Key6 o PIN, altrimenti rischi che altre persone approvino pagamenti al posto tuo. Prima di confermare un acquisto, controlla sempre l’importo da versare e l’esercente da cui è arrivata la notifica.
Commenti
3Il 3D Secure è davvero un bel passo avanti per la sicurezza degli acquisti online. Può sembrare noioso dover passare attraverso questi passaggi extra, ma è fondamentale per evitare frodi. In un mondo dove i dati girano in continuazione, avere un ulteriore livello di protezione è senz’altro una buona cosa. E poi, chi non ha mai temuto di inserire i dati della carta su un sito poco affidabile? La normativa in Europa, che rende tutto questo obbligatorio, è un segnale importante che stanno facendo il possibile per tutelarci. Spero solo che più persone si informino su come attivarlo, perché alla fine la sicurezza parte anche da noi.
Ma che noia ’sto 3D Secure! Se devo sempre fare mille passaggi per pagare, alla fine mollo il carrello!
Molto utile sapere di più sul 3D Secure! Ma chi non ha uno smartphone come fa con l’autenticazione?