定义
3DS（3D Secure）是由 Visa、Mastercard 等卡组织推出的在线支付身份验证协议，旨在增强银行卡远程交易的安全性。该协议通过引入发卡行、收单行、持卡人之间的三方验证流程，在支付环节增加动态验证码、生物识别或短信验证等强身份认证手段，有效降低盗刷、欺诈等风险。3DS 1.0 于 2001 年推出，3DS 2.0（EMV 3-D Secure）于 2016 年发布，支持无跳转验证、设备指纹、风险评分等能力，显著提升用户体验与交易通过率。
技术架构与流程
3DS 2.0 采用「发卡行—目录服务器—收单行」的三方架构。持卡人发起支付时，收单行向目录服务器请求验证，目录服务器将请求转发至发卡行；发卡行基于设备信息、交易历史、行为数据等进行风险评估，对高风险交易触发挑战式验证（如 OTP、生物识别），对低风险交易可静默通过。验证结果通过 3DS 消息通道返回，收单行据此完成或拒绝交易。该流程符合 PSD2 强客户认证（SCA）要求，是欧盟等地区在线支付的合规基础。
在物联网与跨境场景中的应用
在物联网场景中，3DS 与物联网卡结合，为跨境充电桩、无人零售、自动售货机、共享设备等提供安全支付能力。充电桩运营商在海外部署设备时，需支持当地卡组织的 3DS 验证，以满足合规要求并降低拒付风险。达希物联国际物联网卡方案覆盖 200+ 国家和地区，支持 eSIM、流量池共享、一卡多国等能力，为充电桩、POS 机、支付终端等设备提供稳定跨境连接，配合 3DS 协议实现安全、合规的远程支付交易。
认证请求里由谁承担欺诈责任
国际物联网终端上的 3DS，指远程银行卡交易在送去授权之前先完成持卡人验证。收单机构或支付网关把金额、币种、商户类别、终端所在国家以及能够采集到的设备数据组成认证请求，送到卡组织的目录服务器，再由发卡行返回认证结果。结果分成两条路径：发卡行认为风险低时给出无挑战通过；认为需要进一步确认时，则要求动态口令、银行应用确认或生物特征，这一步称为挑战。认证结果和电子商务指示符必须原样写入后续授权报文，收单侧才具备讨论责任转移的依据。它不保护卡号在终端里的存储方式，也不能代替令牌化，那是另一条独立的数据保护措施。
启用它要同时满足几项具体条件。收单协议必须开通对应卡组织的 3DS，商户号、商户类别与终端真实业务一致；网关必须在授权前同步等待认证结果，而不是先扣款再补验证。无人值守的充电桩、售货机和共享设备通常没有浏览器，也没有可以弹出银行页面的屏幕，因此只能使用商户发起交易、预授权后的小额免验，或事先取得持卡人委托的令牌，并且这些安排要写进收单合同。充电运营平台下单前应知道该终端能不能完成挑战。跨境时，蜂窝出口所在国、商户注册国和持卡人账单国经常不同，认证请求里的国家、币种和商户类别必须按当笔交易填写，不能沿用国内测试商户号。终端若只能提供不稳定的出口地址、又没有可重复识别的设备标识，发卡行缺少判断依据，会减少静默放行。
无人终端上把挑战流打开之后
常见的错法是把 3DS 理解成“把支付报文加密”。加密处理的是传输机密性，3DS 处理的是这笔交易有没有经过发卡行认可的持卡人验证。另一种错法是在没有交互界面的桩体上打开挑战流：持卡人无法输入动态口令，会话停在等待，桩体超时后重试，同一张卡被反复送检。还有一种是认证已经返回，授权报文却丢掉了认证值和指示符，事后争议时收单侧拿不出当时的验证记录。漫游现场还容易把测试目录服务器地址留在固件里，境外终端连不上或连到错误入口，表现为偶发支付失败，而蜂窝注册本身是成功的。排查时应先看认证请求是否发出、返回的交易状态，以及授权报文是否原样携带结果，再决定要不要查卡的附着。
还有一组条件经常被漏掉。目录服务器与发卡行之间的等待要按跨境往返留余量，桩体若把时限设成局域网里的一两秒，认证尚未返回就被本地取消。同一订单重复发起认证却不更换交易引用，会被目录服务器当成重放。委托扣款如果没有保存首次验证时的委托标识，后续每一笔都会被重新要求挑战。更换支付模块或模组序列号后，设备数据没有同步更新，发卡行会把原先可静默放行的终端重新看成陌生设备。这些都不是覆盖或套餐问题，重新拨号不能消除。