Ao fazer compras online ou pagar assinaturas com um cartão de pagamento vinculado a criptoativos, pode surgir uma situação inesperada: o cartão tem saldo suficiente, o número e a data de validade foram informados corretamente, mas a página de pagamento exibe "3D Secure authentication failed" ou "Authentication unsuccessful". Em alguns casos, o titular conclui a verificação de identidade e, mesmo assim, o pagamento não é aprovado.
Essas mensagens não indicam necessariamente o mesmo problema. A transação pode ter sido interrompida durante a autenticação 3D Secure ou ter concluído essa etapa e sido recusada posteriormente, na autorização do pagamento.
O primeiro passo é identificar em que etapa ocorreu a falha. A partir disso, é possível decidir se é necessário verificar as configurações do cartão, entrar em contato com o estabelecimento ou procurar o emissor.
O que significa uma falha de autenticação 3D Secure?
O 3D Secure (3DS) é um protocolo de autenticação para transações online com cartões, atualmente baseado principalmente no padrão EMV 3-D Secure. Ele permite que estabelecimentos comerciais, prestadores de serviços de pagamento, bandeiras e emissores troquem informações de autenticação para ajudar a confirmar se a pessoa que está pagando está autorizada a utilizar o cartão.
O serviço correspondente da Visa é chamado Visa Secure, enquanto o da Mastercard é conhecido como Mastercard Identity Check.
Em geral, a autenticação 3DS ocorre por um de dois fluxos:
Fluxo sem fricção (Frictionless Flow): o emissor avalia a transação com base em sinais de risco, como valor da compra, informações do dispositivo e dados do estabelecimento, sem exigir uma ação adicional do titular.
Fluxo de desafio (Challenge Flow): o titular precisa confirmar sua identidade por meio de uma etapa adicional, como digitar uma senha de uso único (OTP), aprovar a operação no aplicativo do emissor ou utilizar outro método de autenticação aceito.
Portanto, a ausência de uma janela solicitando código não significa que o estabelecimento deixou de utilizar o 3DS. A autenticação pode ter sido concluída em segundo plano ou nem sequer ter sido iniciada corretamente. O resultado precisa ser confirmado com base na resposta de autenticação retornada pelo prestador de serviços de pagamento.
Para conhecer os fundamentos técnicos desses dois fluxos, consulte o white paper da EMVCo sobre EMV 3-D Secure.
Autenticação e autorização do pagamento são etapas diferentes
O 3DS realiza a autenticação (Authentication), enquanto a autorização do pagamento (Authorization) determina se a transação será aprovada.
Mesmo após o titular digitar corretamente a OTP ou confirmar sua identidade no aplicativo, o emissor ainda pode recusar o pagamento por saldo insuficiente, limites de transação, situação do cartão ou regras de controle de risco.
Essa distinção é especialmente importante para cartões de pagamento com criptoativos. Alguns produtos utilizam saldo previamente carregado; outros exigem a conversão de criptoativos no momento da compra ou definem o limite disponível de acordo com outros mecanismos de financiamento. Ter USDT ou USDC na conta não significa necessariamente que todos esses ativos possam ser utilizados diretamente na autorização da transação atual.
Se a autenticação já foi concluída com sucesso, a investigação deve se concentrar no resultado da autorização, em vez de solicitar repetidamente novos códigos.
Comece identificando o que aconteceu durante o pagamento
A mensagem "Payment Failed" exibida pelo estabelecimento geralmente informa apenas o resultado final do pagamento, não necessariamente o erro que o provocou. Mesmo quando a página mostra "3DS Failed", pode ser necessário verificar separadamente os registros de autenticação e autorização.
O que aconteceu no pagamento | O que investigar | Medida recomendada |
|---|---|---|
O pagamento falhou sem exibir a página de autenticação | Se o 3DS foi iniciado, a configuração de autenticação do estabelecimento ou uma recusa na autorização | Perguntar ao estabelecimento se a autenticação foi iniciada e qual erro foi efetivamente retornado |
A janela de autenticação apareceu, mas a OTP não chegou | Dados de contato vinculados à conta do titular e canais de notificação do emissor | Conferir o telefone, e-mail e aplicativo oficial utilizados na autenticação |
O código digitado foi considerado inválido ou expirado | Validade da OTP, sessão de autenticação ou envios repetidos | Verificar a situação do pedido original e reiniciar todo o processo de pagamento |
A página de autenticação fica em branco, não carrega ou permanece processando | Navegador, conexão, redirecionamentos ou serviço de autenticação | Testar um navegador convencional e descartar interferências de extensões ou navegadores integrados a aplicativos |
A operação foi aprovada no aplicativo, mas o estabelecimento informa falha na autenticação | Retorno do resultado de autenticação, expiração da sessão ou integração do estabelecimento | Pedir ao estabelecimento que confira o status final da autenticação |
A autenticação foi concluída, mas o pagamento acabou recusado | Se o resultado da autenticação foi utilizado, autorização do pagamento e restrições do cartão | Confirmar o resultado da autenticação e consultar os registros de autorização do emissor |
A tabela serve para orientar a investigação, mas não substitui os registros da transação. Quando a página do estabelecimento não informa um código de erro específico, normalmente o usuário não consegue determinar sozinho se a falha ocorreu na autenticação ou na autorização.
Não recebeu a OTP? Verifique a conta do titular, não apenas o cadastro na plataforma
As senhas de uso único são um método comum de autenticação por desafio no 3DS, mas o canal de envio depende do serviço responsável pela emissão do cartão.
A empresa que opera a marca de um cartão cripto pode não ser a mesma instituição que efetivamente o emite. O número de telefone utilizado no cadastro de uma plataforma de criptoativos também pode ser diferente do número associado à conta do titular para receber códigos de autenticação 3DS.
Se a OTP não chegar, acesse primeiro a interface oficial de gerenciamento do cartão. Confira se o telefone ou e-mail destinado à autenticação de transações está correto e se o produto utiliza SMS, e-mail ou autenticação pelo aplicativo.
Uma mensagem SMS pode não ser entregue por problemas com mensagens internacionais, filtros da operadora, alteração do número ou falhas no serviço de envio. A ausência da mensagem, por si só, não permite identificar quem é responsável.
Se o cartão utiliza notificações push no aplicativo, confirme se você está conectado à conta no aplicativo oficial, se o dispositivo tem acesso à internet e se existem transações aguardando aprovação. Alguns fluxos de autenticação não enviam SMS.
Ao receber vários códigos, lembre-se de que eles podem pertencer a sessões de autenticação diferentes. Solicitar outro código repetidamente pode invalidar o anterior. Fechar a página de pagamento também pode fazer com que a sessão original expire.
Nessas situações, primeiro confirme se o pedido ainda está sendo processado e se há autorizações pendentes no cartão. Só depois inicie um novo pagamento. Não continue tentando usar uma página cuja sessão já expirou.
Se os dados de contato estiverem corretos, mas as solicitações de autenticação nunca chegarem, o prestador de serviços do cartão ou o emissor deverá verificar o envio e o serviço de autenticação. Alterar repetidamente os dados de cobrança no site do estabelecimento não resolverá esse tipo de problema.
A página de autenticação não abre ou não retorna ao estabelecimento
A autenticação por desafio 3DS não depende apenas do emissor. Ela também exige uma integração correta entre a página de pagamento do estabelecimento e seu prestador de serviços de pagamento.
No navegador, a autenticação pode ocorrer em uma janela incorporada ou por redirecionamento. Depois que o titular conclui a verificação, o sistema do estabelecimento ainda precisa processar corretamente o resultado para que o pagamento continue.
Se aparecer uma janela em branco, a página ficar carregando repetidamente ou não for possível retornar ao estabelecimento após a autenticação, verifique:
Se a página de pagamento foi aberta no navegador integrado de um aplicativo de rede social ou de e-mail;
Se extensões do navegador, bloqueadores de scripts ou configurações de privacidade estão interferindo na página de autenticação;
Se a conexão foi interrompida durante o redirecionamento ou a autenticação;
Se a página original de pagamento ainda estava ativa após a aprovação no aplicativo.
O teste mais direto é acessar novamente o site oficial do estabelecimento usando um navegador convencional do dispositivo e, depois de confirmar a situação da transação original, tentar pagar outra vez.
Se necessário, descarte temporariamente possíveis interferências de extensões do navegador. Entretanto, não ignore erros de certificado, avisos de segurança ou redirecionamentos suspeitos.
Se o mesmo cartão consegue concluir o 3DS em outros estabelecimentos, mas apresenta erros recorrentes em um único site, a investigação deve se concentrar na integração de pagamentos e no fluxo de autenticação desse estabelecimento.
Por outro lado, se vários estabelecimentos sem relação entre si apresentarem falhas semelhantes, vale solicitar ao prestador de serviços do cartão que investigue a autenticação do lado do emissor. Trocar de navegador pode solucionar um problema de compatibilidade da interface, mas não corrige um cartão sem autenticação habilitada, canais configurados incorretamente ou falhas nos sistemas do emissor.
Segundo a arquitetura EMV 3DS, o sistema 3DS do estabelecimento precisa interagir com o servidor de controle de acesso (Access Control Server, ACS) do emissor para realizar a autenticação. O ACS também pode ser operado por um prestador contratado pelo emissor. Os titulares normalmente não conseguem consultar essas comunicações internas, de modo que a investigação costuma depender do estabelecimento, do prestador de serviços de pagamento ou do emissor.
Por que alguns estabelecimentos exigem autenticação e outros não?
Não é incomum que o mesmo cartão de pagamento com criptoativos encontre fluxos 3DS diferentes conforme o estabelecimento.
A decisão de iniciar o 3DS e exigir ou não um desafio do titular depende de fatores como a configuração de pagamentos do estabelecimento, a avaliação de risco do emissor, as regras das bandeiras e os requisitos regulatórios aplicáveis.
Uma transação pode ser concluída por autenticação sem fricção, enquanto outra exige uma OTP. Em determinados pagamentos online, se o estabelecimento não realizar a autenticação exigida, o emissor também poderá recusar a autorização e solicitar uma verificação adicional de identidade.
A Stripe identifica uma dessas situações de recusa relacionada à autenticação pelo código authentication_required. Conforme sua documentação oficial sobre códigos de recusa, as integrações de pagamento normalmente precisam tratar a exigência de autenticação e, quando necessário, permitir que o titular participe novamente do fluxo de pagamento.
Entretanto, se a transação já tiver sido autenticada com sucesso e o emissor continuar retornando authentication_required, a Stripe recomenda entrar em contato com o emissor. Isso não deve ser interpretado simplesmente como uma necessidade de repetir a autenticação indefinidamente.
Em mercados como o Espaço Econômico Europeu, nos quais se aplicam regras de Autenticação Forte do Cliente (Strong Customer Authentication, SCA), os pagamentos online com cartão também estão sujeitos às respectivas exigências regulatórias. A SCA não significa que todas as transações devam apresentar uma janela solicitando código. Isenções aplicáveis e mecanismos específicos de autenticação podem influenciar o fluxo apresentado ao usuário.
O mesmo vale para assinaturas. A autenticação do titular pode ser necessária na contratação inicial, enquanto transações posteriores iniciadas pelo estabelecimento, quando atendem às condições aplicáveis, podem ocorrer sem exigir nova participação do titular a cada pagamento.
A mensagem "Card not enrolled" significa que o cartão não aceita 3DS?
Não necessariamente.
"Card not enrolled" pode indicar que a conta do titular ainda não concluiu o registro no 3DS, que existe um problema de configuração de autenticação em determinado programa de cartões ou que o serviço responsável não conseguiu reconhecer o cartão. A causa exata deve ser confirmada nos registros do erro.
O cartão estar ativado, o usuário ter concluído o KYC ou o cartão exibir a marca Visa ou Mastercard não comprova, isoladamente, que ele tenha a capacidade de autenticação 3DS exigida pelo estabelecimento.
Cartões de pagamento com criptoativos podem utilizar emissores e serviços de autenticação diferentes. Mesmo produtos da mesma marca podem apresentar configurações distintas conforme a região de emissão, o programa de cartões ou a versão do produto.
Se o estabelecimento retornar explicitamente "3D Secure not supported" ou "Card not enrolled", pergunte ao prestador de serviços do cartão:
Se o cartão está habilitado e registrado no serviço de autenticação 3DS aplicável;
Quais métodos de autenticação são aceitos pelo programa de cartões e se existem restrições regionais ou do produto;
Qual procedimento seguir caso seja necessário concluir o registro, atualizar os dados de autenticação ou reativar o serviço.
Também é importante diferenciar a capacidade de autenticação 3DS das políticas de aceitação de cartões do estabelecimento. Alguns estabelecimentos restringem cartões pré-pagos, virtuais ou emitidos em determinadas regiões. Mesmo que esses cartões tenham 3DS plenamente funcional, isso não garante que serão aceitos.
A autenticação foi concluída. Por que o pagamento ainda falhou?
Se os registros do estabelecimento ou do emissor confirmam que a autenticação 3DS foi concluída com sucesso, mas o pagamento acabou recusado, o foco deve passar para a autorização.
Nos cartões cripto com saldo pré-carregado, os principais pontos a verificar são o saldo disponível, os limites de transação e a situação da conta. Nos produtos que envolvem conversão de criptoativos em tempo real ou outros mecanismos de financiamento, também é necessário confirmar o valor efetivamente disponível para compras e as condições de uso dos recursos.
Alguns estabelecimentos também podem solicitar uma pré-autorização ou enviar um valor de autorização diferente do preço anunciado. Essas situações, porém, dizem respeito à autorização do pagamento, e não a uma falha de autenticação 3DS.
Se houver um valor pendente na conta do cartão, mas a página do estabelecimento indicar pagamento recusado, confirme primeiro a situação do pedido e da autorização. Fazer novas tentativas consecutivas pode gerar autorizações duplicadas ou manter vários valores temporariamente bloqueados.
Para investigar questões de saldo, restrições de estabelecimentos e recusas comuns de autorização, consulte o artigo da UCard Radar sobre transações recusadas com cartões cripto.
Após falhas repetidas de autenticação, pare de tentar
Quando o mesmo pagamento falha repetidamente, continuar digitando códigos ou reenviando a transação normalmente não resolve problemas de configuração da autenticação ou de comunicação entre sistemas. Isso ainda pode acionar limites de tentativas de autenticação.
Na documentação de solução de problemas de 3D Secure para emissão de cartões, a Adyen informa que, para cartões emitidos por meio de seu serviço, cinco falhas consecutivas de autenticação provocam um bloqueio temporário de novas autenticações 3DS. A restrição normalmente é removida automaticamente após uma hora, e também é possível procurar a equipe de suporte.
A Adyen relaciona esse controle às exigências regulatórias da PSD2. No entanto, o limite de cinco falhas e o desbloqueio após uma hora são regras específicas de implementação descritas por esse prestador, não podendo ser aplicadas automaticamente a outros emissores.
Se o mesmo erro ocorrer duas vezes seguidas, especialmente quando um código for rejeitado, o serviço de autenticação estiver indisponível ou a conta indicar uma restrição temporária, interrompa as tentativas e verifique a mensagem de erro e a situação do cartão.
Alterar o endereço IP com frequência, informar uma região de conta falsa ou fornecer dados de cobrança incorretos também não resolverá problemas internos de configuração da autenticação. Essas ações podem, inclusive, provocar verificações de segurança adicionais.
Estabelecimento ou emissor: quem deve ser contatado?
A investigação de problemas com cartões de pagamento vinculados a criptoativos costuma envolver mais participantes do que a interface apresentada ao usuário sugere.
Uma plataforma de criptoativos pode cuidar da marca e do atendimento ao cliente, uma instituição emissora licenciada assumir a responsabilidade pela emissão, um processador independente tratar as autorizações e um prestador especializado de ACS realizar a autenticação 3DS.
Por isso, o aplicativo da marca nem sempre apresenta o histórico completo das tentativas de autenticação.
O serviço Adyen Issuing é um exemplo. Sua documentação oficial de solução de problemas explica que, quando a autenticação 3DS falha e impede que a transação avance além dessa etapa, a solicitação de autorização não é enviada à Adyen. Consequentemente, não é gerada uma solicitação de autorização encaminhada nem o webhook correspondente, e a transação não aparece na lista Payments do Adyen Customer Area. Trata-se de uma situação específica do processamento do Adyen Issuing, e não de uma regra que possa ser atribuída a todos os cartões cripto ou a outros emissores.
Portanto, a ausência de uma operação no histórico do cartão não significa que o estabelecimento não tenha tentado iniciar uma autenticação 3DS.
A ordem de contato pode ser definida conforme o problema apresentado:
Problema observado | Quem contatar primeiro |
|---|---|
A janela de autenticação não carrega ou não retorna à página de pagamento após a verificação | Estabelecimento ou seu prestador de serviços de pagamento |
A OTP não chega, não é possível aprovar pelo aplicativo ou o canal de autenticação falha | Prestador de serviços do cartão ou emissor |
O cartão é informado como não registrado ou incompatível com o método de autenticação exigido | Prestador de serviços do cartão ou emissor |
O desafio foi concluído, mas o estabelecimento ainda informa falha de autenticação | Primeiro, solicitar ao estabelecimento a confirmação do resultado; se necessário, envolver o emissor |
A autenticação foi confirmada, mas a autorização foi recusada | Emissor ou prestador responsável pela autorização do cartão |
Antes de procurar o atendimento, reúna a data e o horário da transação com o fuso horário, nome do estabelecimento, valor e moeda, últimos quatro dígitos do cartão, mensagem de erro original, etapa alcançada na autenticação e situação do pedido e das autorizações pendentes.
Ao entrar em contato com o estabelecimento, é possível perguntar diretamente:
Vocês poderiam confirmar se a autenticação 3D Secure foi iniciada para esta transação, qual foi o resultado final e se o pagamento chegou à etapa de autorização? Se a autenticação falhou, poderiam informar o código de erro correspondente ou o motivo da falha?
Essas informações normalmente ajudam mais a identificar a origem do problema do que uma pergunta genérica sobre o motivo da recusa do pagamento.
Como interpretar os códigos transStatus do 3DS?
Se o suporte técnico do estabelecimento puder fornecer registros detalhados de autenticação, eles poderão incluir o campo transStatus do EMV 3DS.
Esse campo indica o estado da autenticação ou verificação da conta, embora a interpretação e a apresentação possam variar conforme a etapa da mensagem, a versão do protocolo e o prestador de serviços.
Código de status | Significado técnico |
|---|---|
| Autenticação ou verificação da conta concluída com sucesso |
| A autenticação falhou ou a conta não foi verificada |
| A autenticação não pôde ser concluída por motivos técnicos ou outros fatores |
| O emissor rejeitou a autenticação e solicitou que não fosse tentada a autorização |
| É necessário realizar um desafio adicional; estado intermediário da autenticação |
| Foi realizado o processamento de uma tentativa de autenticação, mas a identidade do titular não foi autenticada com sucesso |
| Apenas informativo (Informational Only); a preferência de desafio indicada pelo solicitante 3DS foi reconhecida |
| A autenticação deve ocorrer por um método independente da sessão interativa atual (Decoupled Authentication) |
Os estados C e D não devem ser considerados automaticamente falhas definitivas de autenticação. Da mesma forma, A e I não equivalem a Y. Para determinar se a autenticação foi concluída, é necessário considerar a etapa da mensagem, os resultados relacionados e a forma de processamento do prestador de serviços de pagamento.
Segundo a especificação do protocolo 3DS da EMVCo, I significa Informational Only e indica que a preferência de desafio apresentada pelo solicitante 3DS foi reconhecida. Isso não significa que o titular concluiu a autenticação.
Já a referência da API 3D Secure 2 da Adyen descreve I como "Authentication / exemption granted by Issuer", ou seja, autenticação aprovada ou isenção concedida pelo emissor. Essa é a formulação específica da documentação da interface da Adyen e não deve ser confundida diretamente com a definição do protocolo EMV 3DS. Uma isenção de autenticação também não equivale à autenticação bem-sucedida representada por Y. O documento apresenta ainda códigos transStatusReason, que podem auxiliar as equipes técnicas dos estabelecimentos em investigações adicionais.
Os titulares normalmente não têm acesso direto a esses campos, mas podem pedir ao estabelecimento a confirmação do resultado final de autenticação. Se ela foi concluída com sucesso, é preciso verificar se a solicitação de autorização subsequente foi enviada e se o emissor a recusou.
Ao compartilhar capturas de tela ou informações de transações, forneça somente os dados necessários, com informações sensíveis ocultadas. Nunca revele o número completo do cartão, CVV, senha da conta, OTP ou frase de recuperação da carteira.
Para quem utiliza frequentemente cartões de pagamento com criptoativos em assinaturas, comércio eletrônico internacional e serviços online, vale confirmar, antes de solicitar um novo cartão, se o 3DS está disponível, quais canais de autenticação são utilizados e quem presta suporte em caso de falha. Essas informações ajudam mais a avaliar a capacidade de atendimento e manutenção do cartão no uso cotidiano do que uma afirmação genérica de que ele "aceita pagamentos online em todo o mundo".