3D Secure olmadan sanal POS kullanılır mı?
Evet, bazı işlemlerde 3D Secure doğrulaması olmadan sanal POS üzerinden kart ödemesi alınabilir. Ancak bu durum, her işletme ve her işlem için otomatik olarak geçerli değildir. 3D Secure’siz ödeme seçeneğinin kullanılabilirliği; bankanın veya ödeme kuruluşunun sunduğu sanal POS altyapısına, kart şemasına, kartı veren bankanın işlem kararına ve işyeri sözleşmesine göre değişebilir.
Bu nedenle “3D Secure Türkiye’de tamamen zorunludur” veya “her sanal POS’ta isteğe bağlıdır” şeklinde genel bir sonuç vermek doğru olmaz. İşletmenin başvurduğu sağlayıcı, hangi işlem türlerinde 3D Secure kullanılması gerektiğini, hangi işlemlerin doğrulamasız gönderilebileceğini ve risk yönetimi koşullarını ayrıca belirleyebilir.
Türkiye’de ödeme hizmetleri alanının temel çerçevesi 6493 sayılı Kanun ve buna dayanan ikincil düzenlemelerle oluşturuluyor. TCMB, ödeme hizmetleri alanındaki düzenleme ve denetim faaliyetlerinin bu mevzuat çerçevesinde yürütüldüğünü belirtiyor. Ancak bu çerçeve, tek başına bütün sanal POS işlemlerinde aynı 3D Secure akışının uygulanacağı anlamına gelmez. (tcmb.gov.tr)
3D Secure’siz ödeme nedir?
3D Secure’siz ödeme, kart bilgilerinin sanal POS’a iletilmesinden sonra kart sahibinin ayrıca bir 3D Secure ekranına yönlendirilmediği veya tek kullanımlık şifre, banka uygulaması onayı ya da benzeri ek bir doğrulama adımından geçmediği kartlı ödeme akışıdır.
Bu işlemde müşteri genellikle kart numarası, son kullanma tarihi ve güvenlik kodu gibi bilgileri ödeme ekranına girer. Sanal POS, işlem verilerini ilgili ödeme altyapısına iletir. Ardından kartı veren banka, işlemin onaylanıp onaylanmayacağına kendi kontrolleri ve risk değerlendirmesi doğrultusunda karar verir.
Burada önemli ayrım şudur: 3D Secure kimlik doğrulamasıdır; kart provizyonu ise işlemin tutar ve kart kullanılabilirliği açısından onaylanmasıdır. Bir işlemin 3D Secure doğrulamasından geçmesi, provizyonun kesin olarak alınacağı anlamına gelmez. Aynı şekilde 3D Secure adımının bulunmaması da işlemin mutlaka reddedileceği anlamına gelmez.
EMVCo’ya göre EMV 3-D Secure, kart sahibinin çevrim içi ve kartın fiziksel olarak kullanılmadığı işlemlerde doğrulanmasına yardımcı olan bir e-ticaret güvenlik protokolüdür. Protokol, işyeri ile kartı veren banka arasında işlem, ödeme yöntemi ve cihaz bilgileri gibi verilerin paylaşılmasını sağlayarak risk değerlendirmesine katkıda bulunur. (emvco.com)
3D Secure ile kart provizyonu arasındaki fark
Sanal POS ödeme sürecini iki ayrı aşama olarak düşünmek daha sağlıklıdır:
- Kimlik doğrulama: İşlemi yapan kişinin kartın gerçek kullanıcısı olup olmadığı değerlendirilir. 3D Secure bu aşamada rol oynar.
- Yetkilendirme ve provizyon: Kartın işlem için uygun olup olmadığı, limit veya kullanılabilir bakiye, kartın durumu ve bankanın risk kuralları incelenir.
EMV 3-D Secure akışında kartı veren banka, işlem verilerini değerlendirerek ek doğrulama gerekip gerekmediğine karar verebilir. Bazı işlemler kullanıcıdan ek adım istenmeden “frictionless” akışla tamamlanabilir. Daha yüksek riskli görülen işlemlerde ise tek kullanımlık şifre, biyometrik doğrulama veya başka bir “challenge” adımı uygulanabilir. (emvco.com)
Dolayısıyla müşterinin 3D Secure ekranı görmemesi her zaman işlemin tamamen doğrulamasız veya güvensiz olduğu anlamına gelmez. Bazı 3DS akışlarında doğrulama arka planda, risk temelli değerlendirmeyle gerçekleşebilir. Bu yapı, klasik SMS şifresi ekranı olmadan da işlem güvenliğini artırmayı amaçlar.
3D Secure olmadan ödeme almanın avantajları
3D Secure’siz akışın işletmeler açısından en belirgin avantajı, ödeme deneyiminin daha kısa olmasıdır. Müşteri başka bir sayfaya yönlendirilmeden veya banka uygulamasında ek onay vermeden işlemi tamamlayabilir.
Bu durum özellikle şu senaryolarda avantaj sağlayabilir:
- Tekrarlayan ödemeler ve kayıtlı kartla yapılan işlemler,
- Abonelik veya üyelik tahsilatları,
- Müşterinin ek doğrulama adımında zorlanabildiği mobil ödeme akışları,
- İşlem tutarı, müşteri geçmişi veya cihaz bilgileri açısından düşük riskli görülen ödemeler,
- Kullanıcı deneyiminin dönüşüm oranını doğrudan etkilediği hızlı satış süreçleri.
Bununla birlikte bu avantajlar her işletmede aynı sonucu doğurmaz. İşlem onay oranı; kartın bankasına, kart türüne, ülkeye, para birimine, işlem tutarına, işyeri kategorisine ve bankanın anlık risk kurallarına göre değişebilir. Bu nedenle yalnızca 3D Secure adımını kaldırmak, satışların kesin olarak artacağını göstermez.
3D Secure’siz ödemenin riskleri nelerdir?
3D Secure kullanılmayan işlemlerde, kart sahibinin işlem sırasında ayrıca doğrulanıp doğrulanmadığına ilişkin veri ve sorumluluk değerlendirmesi farklılaşabilir. Olası bir yetkisiz işlem, müşteri itirazı veya chargeback durumunda hangi tarafın ne ölçüde sorumlu olacağı; kart şeması kuralları, banka ve ödeme kuruluşu prosedürleri, sözleşme hükümleri ve işlemin teknik kayıtlarına göre incelenir.
Bu nedenle “3D Secure yoksa tüm risk işletmeye geçer” veya “3D Secure varsa chargeback kesinlikle işletmeye yansımaz” demek doğru değildir. 3D Secure, dolandırıcılık riskini azaltmaya yardımcı olan bir mekanizmadır; tek başına bütün itirazları veya sahtecilik ihtimalini ortadan kaldırmaz.
İşletme açısından başlıca risk alanları şunlardır:
- Kart bilgilerinin kötüye kullanılması,
- Yetkisiz işlem itirazları,
- Ürünün teslim edildiğinin veya hizmetin sunulduğunun ispatlanamaması,
- İade ve iptal süreçlerinin hatalı yönetilmesi,
- Aynı kart veya cihaz üzerinden şüpheli işlemlerin tekrarlanması,
- Sağlayıcının risk politikası nedeniyle bloke, inceleme veya ödeme gecikmesi yaşanması.
Bu riskleri azaltmak için adres doğrulama, cihaz ve IP analizi, işlem limiti, hız kontrolleri, şüpheli işlem kuralları, güçlü müşteri hesabı güvenliği ve teslimat kanıtı gibi ek kontroller değerlendirilebilir. Hangi kontrollerin kullanılabileceği, sağlayıcının teknik imkânlarına ve sözleşmesine bağlıdır.
Türkiye’de 3D Secure zorunlu mu?
Bu soruya bütün işlemler için tek kelimelik “evet” veya “hayır” cevabı vermek güvenilir değildir. Türkiye’de uygulanacak akış; güncel mevzuatın yanı sıra kart şemalarının kuralları, kartı veren bankanın politikaları, üye işyeri sözleşmesi ve ödeme kuruluşunun risk yaklaşımıyla birlikte değerlendirilmelidir.
Bazı işlem türlerinde banka veya ödeme kuruluşu 3D Secure doğrulamasını şart koşabilir. Bazı işlemlerde ise risk temelli değerlendirme, istisna veya farklı bir doğrulama akışı uygulanabilir. Ayrıca kartı veren banka, işyerinin 3D Secure talebinden bağımsız olarak işlemi reddedebilir veya ek doğrulama isteyebilir.
İşletme sözleşme imzalamadan önce şu soruları yazılı olarak sormalıdır:
- 3D Secure her işlemde mi, belirli işlem türlerinde mi çalışıyor?
- 3D Secure’siz işlemler hangi limit ve risk koşullarında mümkün?
- Yetkisiz işlem ve chargeback süreçlerinde tarafların görevleri neler?
- Abonelik, kayıtlı kart ve tekrarlayan tahsilat akışları nasıl işliyor?
- Başarısız doğrulama ile reddedilen provizyon ayrı ayrı raporlanıyor mu?
- İşlem kayıtları, doğrulama sonucu ve teslimat bilgileri nasıl saklanıyor?
Güncel uygulama sağlayıcıdan sağlayıcıya değişebileceğinden, karar yalnızca internet sitesindeki genel tanıtım metnine göre verilmemeli; işyeri sözleşmesi, teknik dokümantasyon ve destek biriminden alınan yazılı açıklamalar birlikte incelenmelidir. Yetkili ödeme kuruluşlarının faaliyet izinleri ve sundukları ödeme hizmetlerinin kapsamı konusunda TCMB’nin güncel kuruluş listeleri de kontrol edilebilir. (tcmb.gov.tr)
3D Secure’siz sanal POS kimler için uygun olabilir?
3D Secure’siz sanal POS, düşük riskli müşteri profiline sahip, işlemleri düzenli izleyen ve itiraz yönetimi için operasyonel kapasitesi bulunan işletmelerde değerlendirilebilir. Ancak yeni kurulmuş, yüksek tutarlı ürün satan, dijital teslimat yapan veya dolandırıcılık riski yüksek kategorilerde faaliyet gösteren işletmeler daha sıkı doğrulama politikalarına ihtiyaç duyabilir.
En doğru yaklaşım çoğu işletme için tek bir yönteme bağlı kalmak yerine risk temelli ve esnek bir ödeme kurgusu oluşturmaktır. Düşük riskli işlemlerde sürtünmesiz ödeme, şüpheli işlemlerde 3D Secure veya ek inceleme uygulanabilir. Bu kararın gerçekten çalışıp çalışmadığı; onay oranı, sepet terk oranı, itiraz sayısı, sahtecilik sinyalleri ve müşteri şikâyetleri izlenerek ölçülmelidir.
Sanal POS seçerken yalnızca komisyon oranına değil; 3D Secure seçeneklerine, provizyon ve iade raporlarına, chargeback yönetimine, teknik desteğe ve sözleşme koşullarına da bakın. Bu başlıkları daha geniş bir kontrol listesiyle incelemek için Sanal POS Seçerken Nelere Dikkat Edilmeli? rehberimize göz atabilirsiniz. Güncel sağlayıcı seçeneklerini ve işletmelerin deneyimlerini karşılaştırmak için Dataweb’in Sanal POS forumunu da inceleyebilirsiniz.
Sonuç: 3D Secure olmadan ödeme alınır mı?
Evet, bazı koşullarda 3D Secure doğrulaması olmadan sanal POS ödemesi alınabilir. Fakat 3D Secure’siz ödeme; kimlik doğrulaması, provizyon, dolandırıcılık önleme ve chargeback sorumluluğunun aynı şey olduğu anlamına gelmez.
İşletmeler için doğru karar; sağlayıcının sözleşmesini, kart ve banka kurallarını, işlem türünü ve kendi risk profilini birlikte değerlendirmektir. 3D Secure’ı tamamen kapatmak yerine, mümkünse işlem riskine göre farklı doğrulama seviyeleri sunan ve sonuçları raporlayabilen bir ödeme altyapısı tercih edilmelidir.