定义
3D Secure（Three-Domain Secure）是由 Visa、Mastercard 等卡组织推出的在线支付身份验证协议，旨在降低信用卡欺诈风险。该协议通过持卡人身份验证（CAV）机制，在支付流程中增加额外的安全验证层，与 Payment Gateway、PCI DSS 配合，共同保障跨境物联网场景下的支付安全。
工作原理
3D Secure 采用「三域」模型：发卡行域（持卡人银行）、收单行域（商户银行）、互操作域（卡组织）。当持卡人在线支付时，系统会跳转至发卡行验证页面，要求输入动态密码、短信验证码或生物识别等信息。验证通过后，发卡行向商户返回认证结果，商户据此完成交易。3D Secure 2.0（3DS2）进一步支持无跳转验证、设备指纹、风险评分等，提升用户体验的同时保持高安全等级。
在 ICMP 中的应用
在国际物联网云平台（ICMP）中，企业客户常需通过 支付网关 完成 SIM 卡订购、流量包购买、月费结算等支付操作。3D Secure 可集成至平台支付流程，对高额交易、跨境支付、新客户首次支付等场景触发强验证，满足 PCI DSS 合规要求，降低拒付与欺诈损失。达希物联 ICMP 支持与主流支付网关对接，可配置 3DS 验证策略，兼顾安全与转化率。
优势与考量
3D Secure 的主要优势包括：将欺诈责任从商户转移至发卡行（责任转移）、满足强客户认证（SCA）要求、降低拒付率。但传统 3DS1 的跳转验证会带来一定流失，3DS2 通过无跳转、后台验证等方式改善体验。平台在接入时需权衡安全策略与转化率，对低风险交易可采用宽松验证，对高风险交易强制 3DS。
三域报文里各参与方实际核对什么
持卡人确认支付之后，验证请求并不会把整张订单直接交给发卡行。三域协议把同一次卡交易拆开发卡行域、收单行域和互操作域。发卡行域核对自己的持卡人是否完成动态口令、银行应用确认或生物特征；收单行域提交商户号、金额、币种和订单号；互操作域只在目录服务与访问控制服务之间传递认证请求和结果。国际连接平台里被核验的是购买卡片、流量包或支付结算账单的那一笔卡交易，不是蜂窝数据会话。认证完成后返回的电子商务指示码和持卡人认证校验值，只说明这次挑战是否完成，并不代替额度判断、事后争议和账单核对。
协议有跳转式和基于数据的两代做法。前一种会把浏览器带到发卡行页面，持卡人离开商户结账页；后一种先收集设备信息、浏览器参数和交易上下文，由发卡行决定直接放行还是追加挑战。直接放行仍然是一次完成的认证，只是持卡人看不到额外页面。平台若只保存“成功”或“失败”，而丢掉版本号、指示码和校验值，后续请款和拒付申诉都会缺少证据。
适合打开强验证的交易条件
强验证适合打开的前提，是这笔支付走卡组织网络、发卡行支持对应版本，并且平台拿得到设备与浏览器信息。金额较高、新付款工具首次使用、账单国家与发卡国家不一致、短时间连续失败后再试，通常应走挑战流程。低风险、已经绑定且金额落在收单行与发卡行事先约定范围内的交易，才可能直接放行。商户发起的周期性扣款，若首次交易已经完成持卡人验证，后续不应每次都弹出挑战页；持卡人不在场时，发卡行常会因为无法完成挑战而拒绝。
接入前还要确认返回地址、超时时间和币种小数位与支付网关一致，否则认证成功也无法回到原订单。跨境场景里，验证币种必须和最终请款币种相同。平台若先按一种货币做挑战、再按另一种货币扣款，会被视为交易内容在认证之后被改写。与跨境计费同时存在时，应把卡支付的认证金额和稍后生成的连接账单分开记账，避免把流量费争议当成支付认证失败。
挑战窗口配错时的拒付与流失
把直接放行当成“没有做验证”，是最常见的责任缺口。直接放行仍然产生认证数据，授权请求必须一并上送；漏传时，欺诈责任不会转到发卡行，拒付仍可能落在商户侧。另一类差错是挑战页超时后仍把订单标成已支付：持卡人在银行页面放弃，平台订单与授权结果就分叉，卡可能已扣款或完全没扣款。第三类是用测试商户号拿到的验证结果去生产环境请款，指示码对不上，收单行会直接拒收。
体验上的差错同样会打断开通。把全部低额续费都强制跳转，持卡人中途关闭页面，卡和套餐都停在未支付。挑战窗口过短，短信口令还没到达就超时；窗口过长，同一订单被重复发起认证，后一次覆盖前一次的校验值。还要避免在回调里只看页面跳转成功、不核对金额和订单号，攻击者或错误集成都可能把别人的认证结果套到当前订单上。生产切换前，应分别走通直接放行、挑战成功、挑战放弃和认证不可用四条路径，并确认失败订单不会进入开通。