Última actualización el 29 de octubre de 2024.

El 15 de marzo de 2024, se revisó un conjunto de lineamientos del sector que describen las medidas de seguridad para las empresas que realizan pagos con tarjeta en Japón, las «Pautas sobre seguridad de las tarjetas de crédito» (Pautas sobre seguridad de las tarjetas de crédito versión 5.0).

Las Pautas sobre seguridad de las tarjetas de crédito establecen que los comerciantes que realicen ventas en línea (usuarios de Stripe) deberán habilitar la autenticación con 3D Secure antes de fines de marzo de 2025 para combatir el fraude.

La autenticación con 3D Secure (3DS) es un mecanismo que proporciona un nivel de autenticación más en los pagos con tarjeta de crédito y protege a las empresas de la responsabilidad de los pagos fraudulentos con tarjeta.

Plazo de implementación de 3DS de Stripe

Stripe exigirá 3DS en todos los pagos aplicables a partir del 31 de marzo de 2025. En algunos casos, puedes decidir si utilizas o no 3DS.

En enero de 2025, Stripe empezó a exigir 3DS en un pequeño porcentaje de pagos y lo aumentará gradualmente hasta el 100 % de los pagos el 31 de marzo de 2025, sin incluir los pagos exentos del requisito 3DS. Debes realizar los cambios necesarios en tu integración con Stripe antes de fines de 2024 para evitar fallas en los pagos.

Si tus preparativos para 3DS se extienden más allá de diciembre de 2024, puedes solicitar que se te excluya del plazo de enero, pero Stripe seguirá exigiendo 3DS en todos los pagos aplicables a partir del 1 de abril de 2025.

Los pagos con tarjeta de crédito en API más antiguas que no admiten 3DS (API Charges y API Orders) empezarán a requerir 3DS y, por lo tanto, empezarán a fallar, a partir de abril de 2025. Para el 30 de junio de 2025, todos los pagos con tarjeta de crédito en estas API fallarán.

Pagos aplicables

Hay casos en los que puedes decidir si aplicar o no 3DS. Cuando los pagos se realizan sin 3DS utilizando una exención, no se aplica la transferencia de responsabilidad por pagos fraudulentos. Consulta nuestra documentación para ver cómo Stripe implementa las exenciones 3DS.

Comprueba tu integración

Si ya utilizas Stripe, es posible que tengas que comprobar tu integración para asegurarte de que 3DS sea compatible.

Te recomendamos que utilices los números de tarjeta de prueba de Stripe para comprobar que tu integración funciona con 3DS. Puedes obtener más información sobre las pruebas en nuestra documentación.

Si utilizas la API Charges o la API Orders

Ni la API Charges ni la API Orders admiten 3D Secure 2. Por lo tanto, si tu cuenta utiliza estas API heredadas, los pagos con tarjeta de crédito fallarán. Te recomendamos encarecidamente que migres a la API Payment Intents lo antes posible para evitar fallas.

Si utilizas la API Payment Intents

Tendrás que asegurarte de que tu integración pueda gestionar el estado requires_action para pedir a tus clientes que autentiquen sus pagos. Es posible que tengas que actualizar tu integración para gestionar la autenticación de tarjetas.

Además, si finalizas los pagos en el servidor, debes tomar más medidas para mostrar el flujo de autenticación 3DS del lado del cliente. Consulta esta guía para obtener más información.

Si utilizas Stripe Billing con una versión de API anterior a 2019-03-04

Tendrás que actualizarte a la versión 2019-03-14 o posterior de la API, o bien utilizar el parámetro payment_behavior tal y como se describe en esta guía para asegurarte de que los pagos iniciales de las suscripciones de tus clientes estén autenticados.

Si utilizas Stripe a través de una integración de terceros o una plataforma de terceros, tendrás que consultarlo directamente con ellos para saber si están preparados.

Comunícate con tus clientes

Prepárate para las preguntas de tus clientes sobre 3DS. Además, si es necesario, asegúrate de que cualquier contenido de soporte necesario para tus clientes describa el requisito de 3DS.

Uso de Radar y Radar para Equipos de Fraude

Stripe Radar ayuda a prevenir el fraude mediante el análisis de los datos de pago de más de un millón de empresas de todo el mundo y la detección y el bloqueo de pagos fraudulentos. Radar utiliza machine learning para realizar evaluaciones de riesgo basadas en cientos de señales, como el tipo de tarjeta, el país de uso, el dispositivo y el comportamiento. Stripe ofrece tres reglas de Radar predeterminadas que solicitan 3DS de forma dinámica. Al configurar estas reglas en el Dashboard, se puede solicitar otra autenticación a los clientes cuando su empresa de emisión de tarjetas requiera 3DS.

Con Radar para Equipos de Fraude, que permite la configuración de reglas personalizadas, las empresas pueden adaptar su propia configuración exclusiva de gestión de riesgos para 3DS. Las solicitudes de 3DS pueden realizarse en función de los niveles de riesgo o de metadatos específicos, lo que ayuda a evitar el bloqueo excesivo de pagos legítimos, reducir la tasa de rechazo de pagos y maximizar los ingresos.

El uso de Radar puede ayudar a mitigar la pérdida de conversión al tiempo que permite adoptar medidas antifraude basadas en el riesgo. Además, Radar puede utilizarse para realizar el análisis de riesgos necesario para los pagos iniciados por el cliente con tarjetas guardadas.

Preguntas frecuentes

¿Están las transacciones en persona con tarjeta de crédito fuera de alcance?

Las transacciones en las que se usa una tarjeta física en persona están fuera de alcance.

Los comerciantes de Japón deben implementar medidas de seguridad según la Ley de ventas en cuotas. ¿Se penaliza a los comerciantes que no cumplan con estos requisitos?

No se cobra una multa, pero puede abrirse una investigación al comerciante a través de Stripe o de la entidad adquirente, que puede ordenar al comerciante que adopte las medidas de seguridad necesarias si no toma las medidas adecuadas para evitar el uso fraudulento y proteger los números de las tarjetas de crédito. Si, pese a estas instrucciones, el comerciante no adopta las medidas de seguridad, es posible que se cancele su onboarding como comerciante.

¿Hay alguna comisión asociada a 3DS?

En la mayoría de los casos, no hay más comisiones por 3DS. Sin embargo, si tu cuenta tiene un plan de precios personalizado, es posible que incurras en comisiones por cada intento de 3DS.

¿Qué ocurre si utilizo Stripe a través de una integración de terceros?

Si utilizas Stripe a través de un plugin o integración de terceros, es posible que tengas que realizar cambios para cumplir con los nuevos requisitos de 3DS. Los pasos exactos dependerán de la implementación de tu proveedor externo. Te recomendamos que te pongas en contacto con tu proveedor externo o plugin lo antes posible para confirmar que se estén preparando para estas normativas y para conocer cualquier actualización que debas realizar por tu parte.

¿Cómo puedo comprobar que 3DS funciona correctamente?

Puedes usar una clave API de prueba junto con tarjetas de prueba para crear transacciones de prueba. Al usar tarjetas de prueba que requieren autenticación, puedes validar la autenticación 3DS.

¿Es obligatorio aunque acepte pagos de clientes que están fuera de Japón?

Para las cuentas en Japón, debes cumplir los nuevos requisitos de 3DS tanto para las tarjetas nacionales como las internacionales. Las cuentas fuera de Japón no están sujetas a este requisito.

¿Cómo puedo activar manualmente 3DS?

Aunque haya excepciones para 3DS, puede ser conveniente incurrir en una transferencia de responsabilidad activando manualmente 3DS por sospecha de fraude. Puedes hacer esto a través de las reglas de Radar en el Dashboard o mediante la API.

• Stripe proporciona reglas de Radar predeterminadas y puedes incluir reglas 3DS personalizadas utilizando Radar para equipos.
• Para la API, al crear o confirmar un PaymentIntent o SetupIntent, o al crear una sesión de Checkout, puedes establecer payment_method_options[card][request_three_d_secure] en cualquiera o en comprobación según tu objetivo de optimización para activar manualmente 3DS.

¿La autenticación se realizará en el flujo de comprobación o en el flujo continuo?

Básicamente, esto se determina por la evaluación de riesgos realizada por el emisor de la tarjeta.

• La autenticación adicional se produce cuando la transacción se considera de alto riesgo. Por lo general, el emisor de la tarjeta envía por correo electrónico una contraseña de un solo uso al titular de la tarjeta, que la introduce en la pantalla de pago.
• Si el emisor de la tarjeta considera que la transacción es de bajo riesgo, puede optar por no exigir una autenticación adicional, lo que se denomina flujo continuo.

En ambos casos se produce una transferencia de responsabilidad. Si deseas especificar el flujo de comprobación en la API de Payment Intents, establece «request_three_d_secure» como comprobación.

¿Qué debo hacer si quiero guardar con antelación la información de las tarjetas de los clientes y facturarles más adelante?

Si tu negocio implica guardar tarjetas con antelación, tienes que verificar que el cliente que inicia sesión sea efectivamente el titular de la cuenta. Debes implementar una gestión estricta de las cuentas y medidas contra inicios de sesión no autorizados.

Puedes implementarla mediante la API Setup Intents, mediante la cual Stripe activará automáticamente 3DS en las siguientes situaciones, o usar el modo de configuración en Checkout para activar 3DS de forma predeterminada durante el registro de la tarjeta.

• uso: off_session (predeterminado)
• uso: on_session y payment_method_options.card.request_three_d_secure: cualquiera

Si la autenticación 3DS se ha completado durante el registro de la tarjeta, estará exenta para las transacciones posteriores. Sin embargo, para cada transacción, deberás evaluar el riesgo de fraude en función del importe de la transacción, los bienes/servicios, los atributos y el análisis del comportamiento y, si lo consideras necesario, deberás volver a realizar la autenticación 3DS. En tales casos, usa SetupIntent una vez más.

¿Qué debo hacer si mi modelo de negocio implica pagos únicos de los clientes?

En primer lugar, comprueba que tu flujo de pagos existente funciona correctamente con las tarjetas de prueba de 3DS.

Aunque no sea necesario realizar ningún trabajo básico adicional, es aconsejable verificar que tu sistema procesa 3DS.

¿Qué debo hacer si acepto suscripciones?

En primer lugar, comprueba que tu flujo de pagos existente funciona correctamente con las tarjetas de prueba de 3DS.

• Si deseas activar 3DS al introducir los datos de la tarjeta, consulta la sección «¿Qué debo hacer si quiero guardar con antelación la información de las tarjetas de los clientes y facturarles más adelante?»
• Si no activas 3DS al introducir los datos de la tarjeta y deseas activarlo durante el primer pago, especifica el uso como on_session.

Si utilizas la API Subscriptions y no creas un objeto SetupIntent manualmente tras la introducción de la tarjeta, se creará uno por ti si se requiere 3DS. Tendrás que gestionar esto en tu front-end para permitir a tu usuario completar la autenticación con 3DS.

Para pagos recurrentes, si la autenticación con 3DS se ha completado en el momento del registro de la tarjeta o del primer pago, puede quedar exenta para los pagos posteriores y no necesitarás realizar la autenticación con 3DS. Sin embargo, si se producen interacciones con el cliente relacionadas con cambios del contrato u otras compras, deberás volver a realizar la autenticación con 3DS.