Terakhir diperbarui tanggal 29 Oktober 2024.

Pada tanggal 15 Maret 2024, serangkaian pedoman industri yang menguraikan langkah-langkah keamanan untuk bisnis yang melakukan pembayaran kartu di Jepang, yaitu "Pedoman Keamanan Kartu Kredit", telah direvisi (Pedoman Keamanan Kartu Kredit Versi 5.0).

Pedoman Keamanan Kartu Kredit tersebut menyatakan bahwa merchant yang melakukan penjualan online (pengguna Stripe) harus mengaktifkan autentikasi 3D Secure paling lambat akhir Maret 2025 untuk memerangi penipuan.

Autentikasi 3D Secure (3DS) adalah mekanisme yang menyediakan lapisan autentikasi tambahan untuk pembayaran kartu kredit dan memproteksi bisnis dari tanggung jawab atas pembayaran kartu tipuan.

Linimasa peluncuran 3DS Stripe

Stripe akan mewajibkan 3DS pada semua pembayaran yang berlaku mulai 31 Maret 2025. Dalam beberapa kasus, Anda dapat memutuskan apakah akan menggunakan 3DS atau tidak.

Pada Januari 2025, Stripe mulai mewajibkan 3DS pada sebagian kecil pembayaran dan secara bertahap akan meningkatkannya hingga 100% pembayaran pada 31 Maret 2025, kecuali pembayaran yang dibebaskan dari persyaratan 3DS. Anda harus melakukan perubahan yang diperlukan pada integrasi Stripe Anda sebelum akhir 2024 untuk menghindari kegagalan pembayaran.

Jika persiapan Anda untuk 3DS melampaui Desember 2024, Anda dapat mengajukan permohonan untuk dikecualikan dari jadwal yang Januari, tetapi Stripe tetap akan mewajibkan 3DS pada semua pembayaran yang berlaku mulai 1 April 2025.

Pembayaran kartu kredit pada API lama yang tidak mendukung 3DS (Charges API dan Orders API) akan mulai mewajibkan 3DS, sehingga pembayaran tersebut akan gagal mulai April 2025. Pada 30 Juni 2025, semua pembayaran kartu kredit pada API ini akan gagal.

Pembayaran yang berlaku

Ada kasus di mana Anda dapat memutuskan apakah akan menerapkan 3DS atau tidak. Bila pembayaran dilakukan tanpa 3DS dengan menggunakan pembebasan, perpindahn tanggung jawab atas pembayaran tipuan tidak berlaku. Lihatlah dokumentasi kami untuk mengetahui cara Stripe menerapkan pengecualian 3DS.

Periksa integrasi Anda

Jika Anda sudah menggunakan Stripe, Anda mungkin perlu memeriksa integrasi untuk memastikan dukungan 3DS.

Kami menyarankan penggunaan nomor kartu percobaan Stripe untuk memastikan integrasi Anda berfungsi dengan 3DS. Anda dapat mempelajari selengkapnya tentang percobaan di dokumentasi kami.

Jika Anda menggunakan Charges API atau Orders API

Baik Charges API maupun Orders API tidak mendukung 3D Secure 2. Akibatnya, jika akun Anda menggunakan API terdahulu ini, pembayaran kartu kredit akan gagal. Kami sangat menyarankan agar Anda bermigrasi ke Payment Intents API sesegera mungkin untuk menghindari kegagalan pembayaran.

Jika Anda menggunakan Payment Intents API

Anda perlu memastikan bahwa integrasi Anda dapat menangani status requires_action untuk meminta pelanggan mengautentikasi pembayaran mereka. Anda mungkin perlu memperbarui integrasi Anda agar siap untuk menangani autentikasi kartu.

Selain itu, jika Anda menyelesaikan pembayaran di server, Anda perlu melakukan langkah tambahan untuk menampilkan alur autentikasi 3DS di sisi klien. Lihat panduan ini untuk detail selengkapnya.

Jika Anda menggunakan Billing dengan versi API sebelum 2019-03-04

Anda perlu memperbaruinya ke versi 2019-03-14 atau versi API yang lebih baru, atau menggunakan parameter payment_behavior seperti yang dijelaskan di panduan ini agar pembayaran awal pelanggan untuk langganan mereka dapat diautentikasi.

Jika Anda menggunakan Stripe melalui integrasi pihak ketiga atau platform pihak ketiga, Anda perlu memeriksa langsung kepada mereka untuk mengetahui kesiapan mereka.

Komunikasikan dengan pelanggan Anda

Bersiaplah untuk menjawab pertanyaan dari pelanggan Anda tentang 3DS. Selain itu, jika diperlukan, pastikan konten dukungan yang diperlukan bagi pelanggan Anda menjelaskan persyaratan 3DS.

Menggunakan Radar dan Radar for Fraud Teams

Stripe Radar membantu mencegah penipuan dengan menganalisis data pembayaran dari lebih dari satu juta perusahaan di seluruh dunia dan mendeteksi serta memblokir pembayaran tipuan. Radar menggunakan pembelajaran mesin untuk melakukan penilaian risiko berdasarkan ratusan sinyal, termasuk tipe kartu, negara penggunaan, perangkat, dan perilaku. Stripe menawarkan tiga aturan Radar default yang secara dinamis meminta 3DS. Dengan menetapkan aturan ini di dashboard, autentikasi tambahan dapat diminta dari pelanggan bila perusahaan penerbit kartu mereka mengharuskan 3DS.

Dengan Radar for Fraud Teams, yang memungkinkan pengaturan aturan custom, bisnis dapat menyesuaikan sendiri pengaturan pengelolaan risiko 3DS mereka. Permintaan 3DS dapat dibuat berdasarkan tingkat risiko atau metadata tertentu, sehingga membantu mencegah pemblokiran berlebihan atas pembayaran yang sah, mengurangi rasio penolakan pembayaran, dan memaksimalkan pendapatan.

Penggunaan Radar dapat membantu mengurangi kehilangan konversi sekaligus tetap memungkinkan langkah-langkah antipenipuan berbasis risiko. Selain itu, Radar dapat digunakan untuk melakukan analisis risiko yang diperlukan bagi pembayaran yang diprakarsai pelanggan terhadap kartu yang disimpan.

Pertanyaan Umum

Apakah transaksi kartu kredit langsung di tempat berada di luar cakupan?

Transaksi yang menggunakan kartu fisik secara langsung berada di luar cakupan.

Apakah merchant di Jepang wajib menerapkan langkah-langkah keamanan berdasarkan Undang-Undang Penjualan Angsuran, tetapi apakah ada sanksi jika merchant tidak mengikuti persyaratan ini?

Tidak ada denda, tetapi investigasi terhadap merchant dapat dilakukan melalui Stripe atau pengakuisisi, yang dapat menginstruksikan merchant untuk menerapkan langkah-langkah keamanan yang diperlukan jika merchant belum mengambil langkah yang tepat untuk mencegah penggunaan tipuan dan memproteksi nomor kartu kredit. Jika, terlepas dari instruksi tersebut, merchant tidak mengadopsi langkah-langkah keamanan, mereka mungkin akan dikeluarkan sebagai merchant.

Apakah ada biaya yang dikaitkan dengan 3DS?

Dalam sebagian besar kasus, tidak ada biaya tambahan untuk 3DS. Walau demikian, jika akun memiliki paket skema biaya custom, Anda mungkin dikenakan biaya untuk setiap upaya 3DS.

Bagaimana jika saya menggunakan Stripe melalui integrasi pihak ketiga?

Jika Anda menggunakan Stripe melalui integrasi atau plugin pihak ketiga, Anda mungkin tetap perlu melakukan perubahan agar sesuai dengan persyaratan 3DS baru. Langkah-langkah persisnya akan bergantung pada implementasi penyedia pihak ketiga Anda. Kami merekomendasikan agar Anda menghubungi penyedia pihak ketiga atau plugin Anda sesegera mungkin untuk mengonfirmasikan bahwa mereka siap menghadapi peraturan ini dan memahami pembaruan yang mungkin perlu dilakukan di pihak Anda.

Bagaimana cara mencoba apakah 3DS berfungsi dengan benar?

Anda dapat menggunakan kunci API pengujian bersama dengan kartu percobaan untuk membuat transaksi percobaan. Dengan menggunakan kartu pengujian yang memerlukan autentikasi, Anda dapat memvalidasi autentikasi 3DS.

Apakah ini wajib meskipun saya menerima pembayaran dari pelanggan di luar Jepang?

Untuk akun di Jepang, Anda perlu mematuhi persyaratan 3DS yang baru untuk kartu domestik maupun internasional. Akun di luar Jepang tidak tunduk pada persyaratan ini.

Bagaimana cara memicu 3DS secara manual?

Meskipun ada pengecualian untuk 3DS, memicu 3DS secara manual mungkin diperlukan untuk mengalihkan tanggung jawab jika dicurigai terjadi penipuan. Anda dapat melakukannya menggunakan aturan Radar di dashboard atau menggunakan API.

• Stripe menyediakan aturan Radar default, dan Anda dapat menambahkan aturan 3DS kustom menggunakan Radar for Teams.
• Untuk API, saat membuat atau mengonfirmasikan PaymentIntent atau SetupIntent, atau saat membuat sesi Checkout, Anda dapat mengatur payment_method_options[card][request_three_d_secure] ke any atau challenge bergantung pada target optimalisasi Anda untuk memicu 3DS secara manual.

Apakah autentikasi akan menggunakan alur tantangan atau alur tanpa hambatan?

Pada dasarnya, ini ditentukan oleh penilaian risiko yang dilakukan oleh penerbit kartu.

• Alur tantangan adalah autentikasi tambahan yang terjadi ketika transaksi dianggap berisiko tinggi. Biasanya, penerbit kartu mengirimkan kode OTP melalui email kepada pemegang kartu, yang kemudian memasukkannya di layar pembayaran.
• Jika penerbit kartu menilai transaksi berisiko rendah, mereka dapat memilih untuk tidak memerlukan autentikasi tambahan, yang disebut sebagai alur tanpa hambatan.

Kedua skenario ini menyebabkan pengalihan pertanggungjawaban. Jika Anda ingin menentukan alur tantangan dalam Payment Intents API, atur ‘request_three_d_secure’ ke 'challenge'.

Bagaimana jika saya ingin mengumpulkan informasi kartu pelanggan terlebih dahulu dan menagihnya nanti?

Jika bisnis Anda memerlukan penyimpanan kartu terlebih dahulu, Anda harus memastikan bahwa pelanggan yang masuk adalah pemilik akun sebenarnya. Anda harus menerapkan manajemen akun yang ketat dan langkah-langkah untuk mencegah masuk secara tidak sah.

Anda dapat menerapkannya menggunakan Setup Intents API, di mana Stripe akan secara otomatis memicu 3DS dalam kondisi berikut, atau menggunakan setup mode di Checkout untuk memicu 3DS secara default selama pendaftaran kartu.

• usage: off_session (default)
• usage: on_session & payment_method_options.card.request_three_d_secure: any

Jika autentikasi 3DS diselesaikan selama pendaftaran kartu, autentikasi ini dapat dikecualikan untuk transaksi berikutnya. Namun, untuk setiap transaksi, Anda harus menilai risiko penipuan berdasarkan jumlah transaksi, barang/jasa, atribut, dan analisis perilaku, dan jika diperlukan, Anda perlu melakukan autentikasi 3DS lagi. Dalam kasus seperti itu, gunakan SetupIntent sekali lagi.

Bagaimana jika model bisnis saya melibatkan pembayaran satu kali dari pelanggan?

Pertama, verifikasikan dahulu apakah alur pembayaran Anda saat ini berfungsi dengan benar menggunakan kartu percobaan 3DS.

Meskipun tidak diperlukan pekerjaan dasar tambahan, disarankan untuk memastikan apakah sistem Anda dapat memproses 3DS dengan benar.

Bagaimana jika saya menerima langganan?

Pertama, verifikasikan dahulu apakah alur pembayaran Anda saat ini berfungsi dengan benar menggunakan kartu percobaan 3DS.

• Jika Anda ingin memicu 3DS saat memasukkan detail kartu, silakan merujuk ke bagian "Bagaimana jika saya ingin mengumpulkan informasi kartu pelanggan terlebih dahulu dan menagihnya nanti?"
• Jika Anda tidak memicu 3DS saat memasukkan detail kartu tetapi ingin memicunya pada pembayaran pertama, atur usage ke on_session.

Jika Anda menggunakan Subscriptions API dan tidak membuat objek SetupIntent secara manual setelah memasukkan kartu, objek tersebut akan dibuatkan untuk Anda jika 3DS diperlukan. Anda harus menangani ini di frontend untuk memungkinkan pengguna menyelesaikan autentikasi 3DS.

Untuk pembayaran rutin, jika autentikasi 3DS diselesaikan saat pendaftaran kartu atau pembayaran pertama, autentikasi dapat dikecualikan untuk pembayaran berikutnya, dan Anda tidak perlu melakukan autentikasi 3DS. Namun, jika ada interaksi pelanggan terkait perubahan kontrak atau pembelian tambahan, Anda harus melakukan autentikasi 3DS lagi.