Платёж просит подтверждение, а SMS не приходит: как устроен 3-D Secure
СМС по зарубежной карте не приходит: у эмитента нет твоего телефона, и канал сообщений к карте вообще не подключён. Подтверждение живёт в личном кабинете: постоянный пароль 3-D Secure рядом с реквизитами и одноразовые коды во вкладке «3DS-коды». Открой карту до начала оплаты - окно подтверждения на чек-ауте держится минуту-две.
- Где брать код
- Кабинет, страница карты
- СМС
- Не приходит вообще
- Окно на ввод
- 1-2 минуты
- Версия протокола
- EMV 3DS 2.x
СМС по иностранной виртуальной карте не приходит и не придёт: у эмитента просто нет твоего номера, а привязать российский +7 к такой карте нельзя. Подтверждение выдаётся другим способом - через личный кабинет, где лежат реквизиты. Ниже разбираем, кто вообще требует этот шаг, почему половина платежей проходит без него и что делать, когда оплата встала ровно на экране подтверждения.
Зачем магазину подтверждение и кто его требует
3-D Secure - это протокол, который на секунду соединяет три стороны: магазин, платёжную систему и банк, выпустивший карту. Три домена, отсюда и «3-D» в названии, к трёхмерности это отношения не имеет. У Mastercard он называется Identity Check, у Visa - Visa Secure, но внутри это один и тот же стандарт.
Первая версия протокола, та самая со всплывающим окном банка и кодом из сообщения, отключена платёжными системами в октябре 2022 года. Сейчас везде работает EMV 3DS 2.x: чек-аут отдаёт эмитенту около сотни параметров об устройстве, браузере, сумме и истории покупок, и уже эмитент решает, спрашивать что-то у человека или пропустить молча.
Ключевое, что стоит запомнить: решение принимает не магазин. Магазин может пометить операцию как требующую подтверждения, но финальное слово всегда за эмитентом. Поэтому фраза поддержки «включите 3DS у себя в приложении» для зарубежной карты бессмысленна: включать нечего, протокол работает на стороне банка постоянно.
Магазинам подтверждение выгодно по скучной причине: с ним ответственность за спорную операцию переезжает на эмитента. Если платёж прошёл через 3-D Secure, а держатель потом заявляет «это не я», убыток ляжет не на продавца. Отсюда любовь к этому шагу у площадок с дорогими цифровыми товарами и у всего, что связано с играми и подписками.
Почему часть платежей проходит вообще без кода
Потому что вторая версия протокола умеет пропускать операцию без вопросов - это называется frictionless. Риск-модель эмитента смотрит на сумму, магазин, страну, привычность устройства и, если картина обычная, отвечает магазину «подтверждено» без единого экрана. Ты видишь только спиннер на секунду.
Второй механизм - регулярные списания. Когда ты первый раз привязываешь карту к подписке и проходишь подтверждение, вместе с платежом фиксируется согласие на будущие списания. Дальше сервис списывает деньги от своего имени, без твоего участия, и подтверждение там не запрашивается в принципе. Именно поэтому первый платёж просит код, а следующие двенадцать месяцев проходят молча.
| Операция | Спросят подтверждение | Почему так |
|---|---|---|
| Первая привязка карты к сервису | Почти всегда | Новое устройство, новая карта, нулевая история |
| Проверочное списание около доллара | Часто | Формально это тоже новая операция |
| Ежемесячное продление подписки | Нет | Списывает сервис по согласию с первого платежа |
| Покупка в магазине, где ты уже платил | Редко | Риск-модель узнаёт связку карты и продавца |
| Крупная разовая покупка | Обычно да | Сумма выбивается из привычного профиля |
| Оплата с нового IP или другой страны | Часто | Расхождение с прошлыми операциями |
Отсюда типовое недоумение: «вчера прошло без кода, сегодня просит». Ничего не сломалось. Поменялась сумма, магазин, браузер или просто накопилось несколько попыток подряд, и модель решила перестраховаться. Считать отсутствие подтверждения нормой и удивляться его появлению не стоит - лучше держать код под рукой всегда.
Откуда берётся подтверждение у виртуальной карты
Карта Mastercard выпущена зарубежным банком, который не знает ни твоего телефона, ни оператора. Канала СМС у такой карты нет физически, и ждать сообщение бесполезно - его не отправляли. Вместо этого подтверждение отдаётся в кабинете GetCard, там же, где номер карты и CVV.
Форм подтверждения две, и какая понадобится - зависит от того, что запросил чек-аут. Постоянный пароль 3-D Secure лежит в блоке «Данные для оплаты» рядом с реквизитами. Одноразовый код появляется во вкладке «3DS-коды» на странице карты, по кнопке «Получить коды», и живёт несколько минут.
- 1Открой карту в кабинете до оплаты
Не после того, как чек-аут показал экран подтверждения, а до. Отдельная вкладка с открытой страницей карты экономит те самые полторы минуты, которых обычно не хватает.
- 2Нажми «Показать» в блоке «Данные для оплаты»
Номер, срок, CVV и платёжный адрес открываются одним действием и копируются по клику. Вбивать их руками не надо: опечатка в индексе валит платёж так же надёжно, как опечатка в номере.
- 3Запусти оплату в магазине
Если экран подтверждения не появился, платёж ушёл по упрощённому маршруту, и это нормальный исход, а не сбой.
- 4Появился экран - вставь код
Постоянный пароль берёшь из блока реквизитов, одноразовый - из вкладки «3DS-коды» по кнопке «Получить коды». Вставляй копированием, без пробела в конце.
- 5Дождись возврата на сайт магазина
После подтверждения браузер сам вернётся на страницу заказа. Не закрывай вкладку раньше: закрытая на этом шаге страница оставляет резерв на карте и заказ без оплаты.
Самая частая причина «код не подошёл» - лишний пробел, подхваченный при выделении мышкой, или перепутанные ноль и букву O. Копируй кнопкой рядом со значением: она кладёт в буфер ровно то, что нужно, и очищает его через полминуты.
Что делать, если экран подтверждения завис
Зависший 3-D Secure выглядит одинаково у всех: белое окно, крутящийся индикатор и никакой реакции. Дальше начинается самое дорогое - человек обновляет страницу, жмёт оплату второй раз и получает уже два резерва на карте вместо одного. Разбирайся по симптому, а не перебором.
Блокировщик рекламы или расширение приватности режет фрейм подтверждения: он открывается с чужого домена и выглядит для них как трекер.
Отключи расширения на странице оплаты или открой чек-аут в приватном окне без надстроек. После этого запусти оплату заново с самого начала, а не обновляй зависшую вкладку.
Истёк таймаут сессии подтверждения. Обычно он около минуты-двух, и поиск кода в другой вкладке в него не укладывается.
Открой кабинет заранее и начни оплату заново. Резерв от сорванной попытки, если он появился, отпустится сам в течение нескольких дней.
Форма показывает старый сценарий подтверждения либо это вовсе не 3-D Secure, а проверка аккаунта самого магазина.
Читай, чей это экран. Подтверждение аккаунта магазин шлёт на почту или телефон, привязанный к аккаунту, - к карте это отношения не имеет. Настоящий 3-D Secure по нашим картам всегда закрывается кодом из кабинета.
Оборвался редирект: закрылась вкладка, пропала сеть, магазин не дождался ответа.
Проверь историю операций по карте в кабинете. Есть резерв - зайди в заказ на сайте магазина и посмотри статус, вторую оплату не запускай. Нет резерва - платёж не состоялся, можно пробовать снова.
3-D Secure подтверждает личность, а не деньги. После него эмитент отдельно проверяет баланс с учётом активных резервов и лимитов.
Положи на карту сумму счёта плюс 10-15% и повтори через несколько минут. Как устроены две проверки подряд, разобрано в статье что происходит с платежом.
Однажды я минут сорок воевал с оплатой хостинга и был уверен, что дело в карте. Экран подтверждения открывался, код вставлялся, страница краснела. Виновником оказалось расширение, которое резало сторонние фреймы: в приватном окне всё прошло с первой попытки. С тех пор любую первую оплату на незнакомом сайте я делаю в чистом окне браузера, и половина «загадочных» отказов исчезла.
Ошибки, которые выглядят как 3-D Secure, но не она
Люди привыкли валить на подтверждение всё, что случилось после нажатия кнопки оплаты. На деле экран подтверждения - лишь один из этапов, и отказ чаще прилетает до него или после.
- Отказ мгновенный, экрана вообще не было. До эмитента запрос не дошёл: сработал антифрод магазина или BIN карты не понравился площадке. Разбор в материале про BIN и отказы.
- Форма ругается на адрес или индекс. Это проверка AVS, она идёт раньше подтверждения и сверяет платёжный адрес с данными эмитента. Что вводить в эти поля - в статье какой адрес указывать.
- «Insufficient funds» после успешного кода. Личность подтверждена, денег не хватило. Считай не по номиналу счёта, а с учётом налога магазина и активных резервов.
- Магазин просит подтвердить почту или телефон. Это его собственная проверка аккаунта, к карте она не относится и кодом из кабинета не закрывается.
- Оплата отбивается на четвёртой попытке подряд. Счётчик неудачных операций растёт, и после серии отказов эмитент временно закрывает карту от новых списаний.
Каждая неудачная попытка ухудшает картину для риск-модели, а несколько отказов подряд ставят карту на паузу и отправляют аккаунт на проверку. Часть отказов платёжная система ещё и тарифицирует, удерживая небольшую сумму с баланса. Один осмысленный повтор через двадцать минут полезнее десяти подряд.
Как подготовиться к оплате, чтобы не спотыкаться каждый раз
Вся подготовка занимает минуту и снимает больше половины проблем на чек-ауте. Смысл простой: к моменту, когда откроется окно подтверждения, у тебя уже всё должно лежать перед глазами.
- Кабинет открыт в соседней вкладке, на странице нужной карты.
- Реквизиты раскрыты кнопкой «Показать», код подтверждения на виду.
- На карте сумма счёта плюс 10-15% на налог и проверочное списание.
- Платёжный адрес скопирован из кабинета, а не введён по памяти.
- Магазин открыт в приватном окне, расширения на этой вкладке выключены.
- Страна выхода в сеть не скачет между попытками.
Отдельно про регулярные платежи: первое списание с подтверждением - это не формальность, а тот самый момент, когда фиксируется согласие на будущие продления. Если первую оплату не довести до конца, автопродление у части сервисов просто не встанет, и подписка слетит через месяц без всякого предупреждения.
Если карты ещё нет, вся эта механика остаётся теорией: выпусти её и пополни рублями через СБП. Реквизиты и подтверждение появляются в кабинете сразу после выпуска, стоимость выпуска и сервисные сборы собраны в тарифах. Не сходится что-то конкретное по своей операции - напиши нам, в поддержке видно, что именно ответил эмитент.
Частые вопросы
Куда придёт код подтверждения по зарубежной карте?
Никуда не придёт: СМС по такой карте не отправляются, телефон эмитенту неизвестен. Подтверждение ты берёшь сам в кабинете на странице карты - постоянный пароль лежит рядом с реквизитами, одноразовый код открывается во вкладке «3DS-коды». Копируй его и вставляй в окно на сайте магазина.
Магазин требует SMS на иностранный номер - что делать?
Сначала разберись, чей это экран. Если магазин подтверждает свой аккаунт, номер нужен ему, а не платёжной системе, и карта тут ни при чём: обычно подойдёт подтверждение по почте. Если это действительно шаг оплаты, форма примет код из кабинета - поле для него там же, куда предлагают ввести код из сообщения.
Почему одна и та же карта то просит подтверждение, то нет?
Решение принимает эмитент заново на каждой операции, глядя на сумму, магазин, устройство и историю. Привычная покупка у знакомого продавца проходит по упрощённому маршруту без экрана, а новая привязка карты или крупная сумма подтверждение потребуют. Регулярные списания по подписке идут вообще без него, по согласию с первого платежа.
Можно ли отключить подтверждение?
Нет, и это защита в твою пользу. Протокол работает на стороне эмитента, тумблера у держателя карты не существует ни в кабинете, ни в поддержке. Единственное, на что ты влияешь, - скорость: держи код открытым заранее, и лишний шаг будет стоить пары секунд.
Платёж отклонили после ввода кода - в чём причина?
Подтверждение отвечает только на вопрос «это владелец карты», а деньги проверяются отдельным шагом после него. Самые частые причины отказа на этом месте - нехватка суммы с учётом налога магазина и активных резервов либо расхождение платёжного адреса. Пополни карту с запасом 10-15%, сверь адрес с реквизитами и повтори один раз через несколько минут.
Пошагово по сервисам
Нужна карта, которой это всё оплачивается
Иностранная Mastercard: выпуск моментальный, пополнение рублями через СБП или картой российского банка, списание в валюте сайта. От 950 ₽ разово, всё остальное - в тарифах.