Laatst bijgewerkt op 29 oktober 2024.

Op 15 maart 2024 is een herziening doorgevoerd van een verzameling brancherichtlijnen met beveiligingsmaatregelen voor ondernemingen die kaartbetalingen uitvoeren in Japan (de Credit Card Security Guidelines Version 5.0).

In de Credit Card Security Guidelines staat dat verkopers die hun diensten of producten online verkopen (Stripe-gebruikers) uiterlijk eind maart 2025 3D Secure-authenticatie moeten inschakelen om fraude tegen te gaan.

3D Secure-authenticatie (3DS) is een mechanisme dat een extra authenticatielaag biedt voor creditcardbetalingen en ondernemingen beschermt tegen aansprakelijkheid voor frauduleuze kaartbetalingen.

Stripe-tijdlijn van 3DS-implementatie

Vanaf 31 maart 2025 stelt Stripe 3DS verplicht voor alle betalingen die hiervoor in aanmerking komen. In sommige gevallen kun jij bepalen of je 3DS al dan niet gebruikt.

Sinds januari 2025 vereist Stripe 3DS voor een klein percentage van de betalingen. Dit wordt geleidelijk verhoogd tot 100% van de betalingen vanaf 31 maart 2025, met uitzondering van betalingen die zijn vrijgesteld van de 3DS-vereiste. Voor het einde van 2024 moet je de nodige wijzigingen aanbrengen in je Stripe-integratie om te voorkomen dat betalingen mislukken.

Als je voorbereidingen voor 3DS pas na december 2024 kunnen worden voltooid, kun je een aanvraag indienen om te worden vrijgesteld van de januari-tijdlijn. Dit neemt niet weg dat Stripe vanaf 1 april 2025 nog steeds 3DS zal vereisen voor alle betalingen die in aanmerking komen.

Bij creditcardbetalingen met oudere API's die geen ondersteuning bieden voor 3DS (Charges-API en Orders-API) wordt 3DS vanaf april 2025 vereist. Deze betalingen zullen dus mislukken. Vanaf 30 juni 2025 zullen alle creditcardbetalingen met deze API's mislukken.

Betalingen die in aanmerking komen

Er zijn gevallen waarin jij kunt bepalen of je 3DS al dan niet toepast. Wanneer betalingen zonder 3DS worden uitgevoerd door gebruik te maken van een vrijstelling, is de aansprakelijkheidsverschuiving voor frauduleuze betalingen niet van toepassing. Raadpleeg onze documentatie om te zien hoe Stripe de 3DS-uitzonderingen implementeert.

Je integratie controleren

Als je Stripe al gebruikt, moet je misschien je integratie controleren om er zeker van te zijn dat 3DS wordt ondersteund.

We raden je aan de testkaartnummers van Stripe te gebruiken om te controleren of je integratie werkt met 3DS. Voor meer informatie over testen raadpleeg je onze documentatie.

Als je de Charges-API of Orders-API gebruikt

3D Secure 2 wordt niet ondersteund door de Charges-API en de Orders-API. Als je account deze verouderde API's gebruikt, mislukken creditcardbetalingen dus. We raden je sterk aan zo snel mogelijk te migreren naar de Payment Intents-API om mislukte betalingen te voorkomen.

Als je de Payment Intents-API gebruikt

Zorg dat je integratie overweg kan met de status requires_action, zodat je je klanten kunt vragen om hun betalingen te authenticeren. Mogelijk moet je je integratie bijwerken om de authenticatie van betaalkaarten te kunnen afhandelen.

Bovendien moet je, als je betalingen op de server voltooit, extra stappen nemen om het 3DS-authenticatieproces op de client weer te geven. Bekijk deze whitepaper voor meer details.

Als je Billing gebruikt met een eerdere API-versie dan 2019-03-04

Je moet ofwel een upgrade uitvoeren naar API-versie 2019-03-14 of hoger, of je kunt de parameter payment_behavior gebruiken zoals beschreven in deze whitepaper, om te garanderen dat de oorspronkelijke betalingen van de abonnementen van je klanten worden geauthenticeerd.

Als je Stripe gebruikt via een integratie van een derde partij of een platform van een derde partij, moet je rechtstreeks bij hen informeren of ze hierop voorbereid zijn.

Communicatie met je klanten

Wees voorbereid op vragen van je klanten over 3DS. Zorg er zo nodig voor dat de 3DS-vereisten worden beschreven in alle benodigde ondersteuningscontent voor je klanten.

Radar en Radar for Fraud Teams gebruiken

Stripe Radar helpt fraude te voorkomen door betaalgegevens van meer dan een miljoen bedrijven wereldwijd te analyseren en frauduleuze betalingen op te sporen en te blokkeren. Radar gebruikt machine-learning om risicobeoordelingen uit te voeren op basis van honderden signalen, waaronder type betaalkaart, land van gebruik, apparaat en gedrag. Stripe biedt drie standaardregels voor Radar waarmee 3DS op een dynamische manier wordt aangevraagd. Door deze regels op het dashboard in te stellen, kan aan klanten om extra authenticatie worden gevraagd als hun kaartuitgever 3DS vereist.

Met Radar for Fraud Teams, dat aangepaste regelinstellingen mogelijk maakt, kunnen ondernemingen hun eigen unieke instellingen voor risicobeheer voor 3DS op maat maken. 3DS-aanvragen kunnen worden ingediend op basis van risiconiveaus of specifieke metagegevens, waardoor overmatig blokkeren van legitieme betalingen wordt voorkomen, het weigeringspercentage van betalingen wordt verminderd en inkomsten worden gemaximaliseerd.

Door Radar te gebruiken, kun je conversieverlies beperken en tegelijkertijd op risico gebaseerde maatregelen voor fraudebestrijding mogelijk maken. Daarnaast kan Radar worden gebruikt om de vereiste risicoanalyse uit te voeren voor betalingen die door klanten worden gestart met opgeslagen betaalkaarten.

Veelgestelde vragen

Vallen persoonlijke creditcardtransacties buiten het toepassingsgebied?

Transacties waarbij een fysieke betaalkaart door een persoon worden gebruikt, vallen buiten het toepassingsgebied.

Verkopers in Japan zijn volgens de Installment Sales Act verplicht om veiligheidsmaatregelen te nemen, maar staat er een boete op als verkopers zich niet aan deze vereisten houden?

Er is geen boete, maar er kan een onderzoek naar de verkopers worden ingesteld via Stripe of de accepteerder. Zo kan de verkoper worden opgedragen om de benodigde beveiligingsmaatregelen te nemen, indien de verkoper geen passende stappen heeft genomen om frauduleus gebruik te voorkomen en om creditcardnummers te beschermen. Als de verkoper, ongeacht dergelijke instructies, de beveiligingsmaatregelen niet toepast, kan deze worden uitgesloten als verkoper.

Zijn er kosten verbonden aan 3DS?

In de meeste gevallen zijn er geen extra kosten voor 3DS. Als je account echter een tariefplan op maat heeft, moet je mogelijk kosten betalen voor elke 3DS-poging.

Wat als ik Stripe gebruik via een integratie van een derde partij?

Als je Stripe gebruikt via een integratie of plug-in van een derde partij, moet je mogelijk nog wijzigingen aanbrengen om te voldoen aan de nieuwe 3DS-vereisten. De precieze stappen hangen af van de implementatie van je derde partij. We raden je aan om zo snel mogelijk contact op te nemen met de derde partij of plug-inprovider om na te gaan of ze zich voorbereiden op deze regelgeving en om te begrijpen welke updates je eventueel zelf moet uitvoeren.

Hoe kan ik testen of 3DS correct werkt?

Je kunt een API-testsleutel en testkaarten gebruiken om testtransacties te maken. Met testkaarten waarvoor authenticatie vereist is, kun je controleren of de 3DS-authenticatie werkt.

Ik ontvang betalingen van klanten buiten Japan. Gelden deze vereisten ook voor mij?

Voor accounts in Japan moet je zowel voor binnenlandse als buitenlandse betaalkaarten voldoen aan de nieuwe 3DS-vereisten. Deze vereisten gelden niet voor accounts uit andere landen dan Japan.

Hoe kan ik 3DS handmatig activeren?

Zelfs als er uitzonderingen zijn voor 3DS, kan het wenselijk zijn om een verschuiving van de aansprakelijkheid te bewerkstelligen door 3DS handmatig te activeren wanneer je een hoger risico op fraude vermoedt. Je kunt dit doen door Radar-regels op het dashboard of de API te gebruiken.

• Stripe biedt standaard Radar-regels en je kunt met Radar for Teams je eigen 3DS-regels toevoegen.
• In de API kun je bij het maken of bevestigen van een PaymentIntent of SetupIntent, of bij het maken van een afrekensessie, payment_method_options[card][request_three_d_secure] instellen op 'any' of 'challenge' om 3DS handmatig te activeren, afhankelijk van je optimalisatiedoel.

Wordt de authenticatie uitgevoerd in het controleproces of in het frictieloze proces?

Dit wordt bepaald op basis van de risicobeoordeling die wordt uitgevoerd door de kaartuitgever.

• Het controleproces is een extra authenticatie die plaatsvindt voor transacties met een hoog risico. Meestal stuurt de kaartuitgever een e-mail met een eenmalig wachtwoord naar de kaarthouder, die dat vervolgens invoert op het betaalscherm.
• Voor transacties met weinig risico kan de kaartuitgever ervoor kiezen niet om extra authenticatie te vragen. Dit wordt het frictieloze proces genoemd.

In beide scenario's is er sprake van een een verschuiving van de aansprakelijkheid. Als je het controleproces wilt opgeven in de Payment Intents-API, stel je request_three_d_secure in op 'challenge'.

Wat moet ik doen als ik betaalkaartgegevens van klanten alvast wil verzamelen zodat ik ze later kan factureren?

Als je voor je activiteiten betaalkaartgegevens vóór facturatie moet opslaan, moet je verifiëren dat de klant die zich aanmeldt ook echt de accounthouder is. Je moet strikt accountbeheer en maatregelen implementeren tegen ongeautoriseerde aanmeldingen.

Dit kun je doen met de Setup Intents-API, waarbij Stripe 3DS automatisch activeert onder de volgende omstandigheden, of met de setup-modus in Checkout om 3DS standaard te activeren tijdens de registratie van de betaalkaart.

• gebruik: off_session (standaard)
• gebruik: on_session en payment_method_options.card.request_three_d_secure: any

Als 3DS-authenticatie is voltooid tijdens de registratie van de betaalkaart, wordt deze tijdens daaropvolgende transacties met de betaalkaart niet uitgevoerd. Voor elke transactie moet je echter het frauderisico bepalen op basis van het transactiebedrag, de goederen/diensten, kenmerken en gedragsanalyse. Als het nodig is, moet je de 3DS-authenticatie opnieuw uitvoeren. In dat soort gevallen start je de SetupIntent opnieuw.

Wat moet ik doen als ik vanwege mijn businessmodel eenmalige betalingen van klanten ontvang?

Controleer eerst of je bestaande betaalproces correct werkt met 3DS-testkaarten.

Zelfs als er geen extra werk nodig is, raden we je aan om te verifiëren dat je systeem 3DS kan verwerken.

Wat moet ik doen als ik abonnementen aanbied?

Controleer eerst of je bestaande betaalproces correct werkt met 3DS-testkaarten.

• Als je 3DS wilt activeren bij het invoeren van betaalkaartgegevens, ga je naar het gedeelte 'Wat moet ik doen als ik betaalkaartgegevens van klanten alvast wil verzamelen zodat ik ze later kan factureren?'.
• Als je 3DS niet wilt activeren bij het invoeren van betaalkaartgegevens, maar dit bij de eerste betaling wilt doen, stel je het gebruik in als on_session.

Als je de Subscriptions-API gebruikt en niet handmatig een SetupIntent-object maakt voor na het invoeren van de betaalkaart, doet het systeem dit voor je als 3DS vereist is. Aan de frontend moet je de gebruiker daarom de optie geven om de 3DS-authenticatie te kunnen voltooien.

Voor terugkerende betalingen geldt dat als 3DS-authenticatie bij de registratie van de betaalkaart of de eerste betaling is uitgevoerd, deze authenticatie bij latere betalingen niet hoeft te worden voltooid. De betalingen zijn dan vrijgesteld van 3DS-authenticatie. Als de klant echter contractwijzigingen doorvoert of extra aankopen doet, moet de 3DS-authenticatie wel opnieuw worden uitgevoerd.