# 3DS / 3-D Secure：为什么你的银行有时会问"真的是你吗？"

> 了解 3D Secure（3DS）的工作原理、银行为什么会触发 OTP 挑战验证，以及如何在不损害结账转化率的情况下减少拒付。
- **Author**: Ambuj Kumar
- **Published**: 2025-09-17
- **Category**: Resources
- **URL**: https://dodopayments.com/blogs/zh/3d-secure-3ds-payment-authentication

---

如果你曾经输入银行卡信息、点击 **支付**，然后被跳转到银行 App 进行 OTP 验证或批准，那么这段短暂的停留就是 3-D Secure（3DS）。你可以把它理解成互联网世界里礼貌的门卫：大多数人都能顺利通过；有时银行会要求额外验证。只要设计得当，3DS 就能降低风控风险，又不会破坏结账转化率。想了解这一步身份验证在完整支付流程中的位置，请阅读我们关于[支付网关工作原理](https://dodopayments.com/blogs/how-payment-gateway-works)的说明。

3DS 是商户、卡组织和银行之间的一次快速验证，用来确认持卡人确实是实际使用者。它发生在扣款之前：当银行需要更多信心时，会要求持卡人输入一次性密码（OTP）或在 App 中批准。当银行获得的信号足够可靠时，整个过程会无感完成，消费者不会看到任何额外步骤。

## 无感验证 vs 挑战验证----为什么银行有时会介入

通常有两种结果：

> 创业者在设置支付时犯的最大错误，就是把支付当成一个已经解决的问题。你接入一个网关，加上一个结账按钮，然后以为一切都完成了。六个月后，你可能会面对税务通知、续费失败，以及由于缺少本地支付方式而导致的结账放弃。
>
> \- Ayush Agarwal，Dodo Payments 联合创始人兼 CPTO

**无感验证：** 发卡行看到受信任的信号、设备指纹、交易历史、IP/位置匹配信息以及已令牌化的已存卡片信息后，会静默批准身份验证。

**挑战验证：** 发卡行要求客户确认身份（OTP、生物识别或 App 批准）。

为什么会触发挑战验证？常见原因包括：

**监管规则：** 欧盟 PSD2 下的强客户身份验证（SCA），或印度的附加身份验证因素（AFA）规则，要求对某些交易进行额外验证。

**风险信号：** 新设备、异常地理位置、高订单金额，或发卡行风控模型标记出的异常模式。

**发卡行政策：** 有些银行本身就更加谨慎，因此更频繁地触发挑战验证。

3DS 已经发展到 3DS2，可以接收更丰富的上下文数据，让发卡行更智能地判断风险。发送这些额外信息可以提高无感批准率，为商户和客户都带来好处。

## 3DS 如何影响消费者

触发挑战验证时，通常不到一分钟即可完成。典型的消费者流程如下：

1. 结账页面请求银行进行身份验证。

2. 客户收到 OTP 或推送通知并完成批准。

3. 客户会自动返回商户页面，支付继续进行。

优秀的支付体验可以缓和这一瞬间带来的阻碍。使用简单的提示，例如"你将收到银行 OTP，以验证这笔购买"，显示清晰可见的倒计时，提供明确的"重新发送 OTP"按钮，并让移动端的 App 切换流程顺畅无阻。在 Dodo Payments，我们会针对这些边缘情况进行设计，避免客户感到慌乱并放弃购买。

一些实用建议：

- 始终在支付前展示预期步骤（提前避免意外）。

- 如果身份验证失败，提供其他支付方式。

- 跟踪并记录挑战验证耗时，以便优化重试和提示信息。

## 3DS 如何帮助商户降低拒付，同时不牺牲转化率

身份验证成功后，某些类型的风控责任通常会转移给发卡行。这意味着经过身份验证的交易更难被成功发起争议。但如果处理不当，3DS 也可能增加阻碍，导致购物车放弃。

我们的运营方案：

- **发送丰富且保护隐私的信号：** 传递设备、配送、账单和订单元数据，让发卡行在可能的情况下直接无感批准。

- **按发卡行和市场进行调整：** 有些银行更偏好推送批准，另一些则依赖短信 OTP。根据国家或地区定制流程，可以减少不必要的挑战验证。

- **在适当情况下使用豁免：** 在受监管地区，基于风险的豁免（例如低金额购买或商户发起的交易）可以避免不必要的阻碍，但前提是你的风险状况和交易模式确实支持这么做。

- **优雅地处理失败：** 如果挑战验证超时，立即提供重试选项和其他支付方式，让客户能够完成购买。

同时跟踪风控风险率和转化率。优化目标是尽量降低拒付成本与销售损失的总和。

## 订阅、周期性支付与 3DS（安全结账的细节）

[周期性计费](https://dodopayments.com/blogs/recurring-billing-alternatives)有其特殊机制。对于许多支付网络，首次订阅扣款需要客户明确完成身份验证；后续周期性扣款则可能在特定规则下使用已存储的支付凭证（商户发起的交易）。因此，首次[结账](https://docs.dodopayments.com/developer-resources/checkout-session#checkout-sessions)是订阅体验设计中最敏感的时刻，你需要在此设定预期并获取客户同意（例如："我们将按月向你收费；现在请确认首次付款。"）。

如果你面向国际市场销售试用方案或自动续费服务，请在每个主要市场测试首次付款流程，避免出现意外拒付或额外阻碍。

## 印度与 AFA

接受印度银行卡付款的卖家应预期会出现更多可见的身份验证步骤，因为 AFA 有相关要求。首次订阅付款通常需要明确完成身份验证；后续续费可能遵循不同规则。如果你向印度市场销售，请为首次客户提示做好准备，并在用户体验中清楚说明。

## 误区 vs 事实：快速澄清常见的 3DS 误解

误区：3DS 总是意味着 OTP。

事实：许多交易会被静默批准。

误区：无感验证不安全。

事实：银行会使用强大的后台信号来做出判断。

误区：3DS 总会降低转化率。

事实：糟糕的用户体验会降低转化率；优秀的 3DS 设计能够保护收入。

## 产品与运营团队应跟踪的指标（支付体验 + 安全 KPI）

要优化 3DS，你需要关注正确的信号：

- 按发卡行和国家划分的挑战率----客户多频繁会遇到挑战验证。

- 无感批准率----在风控风险率保持较低的情况下，越高越好。

- 挑战验证成功耗时----客户完成确认需要多长时间。

- 挑战验证后的转化率----完成挑战验证后最终完成支付的客户比例。

- 已验证交易与未验证交易的拒付率。

使用这些数据来决定投资方向：更好的提示信息、不同的路由方式，或其他支付方式。

## 常见问题

### 为什么有些支付会触发 3D Secure，而其他支付不会？

发卡行会根据风险信号、监管要求和银行政策，在无感验证与挑战验证流程之间做出选择。新设备、异常位置、高金额购买，或 PSD2 和 AFA 等地区性规则，都可能提高触发挑战验证的频率。

### 3DS 是否总是意味着客户必须输入 OTP？

不是。文章解释了，许多 3DS 检查都是无感的，会在后台静默完成。只有当发卡行需要更强的确认时，才会出现 OTP 或 App 批准。

### 3DS 会损害订阅业务的转化率吗？

如果挑战验证体验糟糕，确实可能会；但设计良好的提示信息和重试流程可以减少放弃。文章强调，首次订阅付款通常是最敏感的时刻，应当在此清楚设定客户预期。

### 团队应如何处理印度银行卡支付中的 3DS？

对于印度市场，由于 AFA 要求，尤其是在首次付款时，应预期会出现更明显的身份验证。建议在结账体验中提前规划这一客户提示，而不是把它当作异常情况处理。

### 哪些指标最有助于改善 3DS 表现？

跟踪挑战率、无感批准率、挑战验证完成耗时、挑战验证后的转化率，以及已验证与未验证交易的拒付率。这些 KPI 可以帮助团队在降低风控风险与保持转化表现之间取得平衡。

## 欧盟支付改革对 3DS 的影响

强客户身份验证不会消失。根据议会与理事会于 2025 年 11 月就 PSD3 和《支付服务条例》一揽子方案达成的协议，支付服务提供商仍负有确保强客户身份验证的明确责任，同时新增了开展风险评估，以及为客户提供消费限额和支付拦截控制的义务。

该方案还规定，在适当的风控防范措施未被实施时，相关风控责任将更多转移给支付服务提供商。实际操作中，这通常意味着在实现更智能的身份验证决策之前，身份验证要求会先变得更加严格，因此应为挑战率上升的阶段做好准备。相关立法尚未生效，具体时间表和细节请参阅[PSD3 详解](https://dodopayments.com/blogs/psd3-explained-saas)。

## 最后：安全结账应该几乎感觉不到

安全不应该让人觉得像在做作业。最好的 3DS 流程，就是客户几乎注意不到它的存在。在 [Dodo Payments](https://dodopayments.com/) ，我们平衡安全与速度：保护客户安全，让结账保持快速，并维持健康的收入表现。如果你希望自己的结账流程也能做到这一点，欢迎联系我们。
---
- [More Resources articles](https://dodopayments.com/blogs/category/resources)
- [All articles](https://dodopayments.com/blogs)