3D Secure: perché un pagamento con carta viene rifiutato

Hai inserito i dati della carta, aperto l’app della banca e confermato l’acquisto, ma il negozio mostra ancora «pagamento rifiutato». Oppure il codice non arriva, la pagina resta ferma o compare un movimento in sospeso senza un ordine confermato. Sono situazioni diverse: chiamarle tutte «problema di 3D Secure» rischia di portare al controllo sbagliato.

3D Secure serve ad autenticare chi usa la carta online; non garantisce, da solo, che il pagamento venga autorizzato e che l’ordine sia completato. Prima di riprovare bisogna confrontare tre informazioni: il messaggio del negozio, l’esito della conferma di sicurezza e lo stato del movimento sulla carta. Se non coincidono, occorre chiarire quale passaggio è rimasto aperto.

Questa guida spiega il funzionamento del protocollo e propone una sequenza prudente di controlli. Le procedure citate di singoli operatori valgono per i loro servizi, non per tutte le carte. Le checklist e gli otto casi sono elaborazioni editoriali: non una diagnosi universale, né una promessa di sblocco. Non attribuiamo responsabilità a una banca o a un esercente specifico.

Che cos’è 3D Secure e a cosa serve

EMV 3-D Secure, abbreviato in 3DS, è un protocollo per l’autenticazione negli acquisti con carta senza presenza fisica, soprattutto nel commercio elettronico. Permette lo scambio di informazioni fra esercente e soggetto che emette la carta, affinché quest’ultimo possa valutare l’identità dell’utilizzatore e il rischio della transazione. Le informazioni possono riguardare l’acquisto, lo strumento e il dispositivo. Fonte: EMVCo.

Non è un conto, una nuova carta o un servizio che il cliente deve acquistare da un sito trovato su internet. Per sapere se lo strumento è abilitato e quale conferma usare, il riferimento è l’emittente. La presenza della dicitura 3D Secure non sostituisce il controllo sull’acquisto che stai realmente effettuando.

Il nome del servizio può cambiare: Visa presenta Visa Secure come il proprio programma basato su EMV 3DS; Mastercard utilizza, fra le proprie soluzioni, Identity Check. Le denominazioni non rendono identiche le app, le impostazioni o l’assistenza delle diverse banche. Fonte: Visa; fonte: Mastercard.

Autenticazione, autorizzazione e ordine: tre esiti da non confondere

Nel linguaggio quotidiano «ho autorizzato nell’app» spesso significa soltanto che hai confermato la richiesta di sicurezza. Qui distinguiamo quel gesto dall’autorizzazione del pagamento da parte dell’emittente e dalla successiva conferma commerciale dell’ordine. Questa distinzione tecnica non sostituisce la valutazione giuridica del consenso in caso di contestazione.

Visa descrive la verifica dell’identità come un livello precedente all’autorizzazione. La documentazione Stripe mostra inoltre che, dopo un’autenticazione riuscita, viene tentato l’addebito: l’esito del pagamento resta da verificare. Un messaggio positivo nell’app non è quindi una ricevuta definitiva dell’acquisto. Fonte: Visa; fonte: Stripe.

Il negozio deve poi associare l’esito al carrello o alla prenotazione. Per una verifica utile, conserva il riferimento dell’ordine e l’orario del tentativo: dire «la carta non funziona» non aiuta quanto spiegare che la conferma è stata completata ma il checkout non ha mostrato una ricevuta.

La tabella è una mappa di lettura, non un tracciato tecnico identico per tutti i fornitori. Su mobile puoi scorrerla orizzontalmente. «Non dimostra» significa che manca ancora un riscontro, non che il passaggio precedente sia sicuramente fallito.

Perché a volte non viene richiesto alcun codice

Il percorso può prevedere una conferma esplicita, detta challenge, oppure svolgersi senza un’ulteriore interazione visibile, nel cosiddetto flusso frictionless. L’assenza di un SMS non basta a dimostrare che il protocollo non sia stato usato. La richiesta può anche arrivare tramite app o un altro metodo previsto dall’emittente. Fonte: EMVCo; fonte: Stripe.

Non cercare di ottenere a tutti i costi una schermata con un codice: il controllo utile è che l’acquisto sia riconosciuto e che il suo esito sia verificabile. Allo stesso modo, la comparsa di una conferma in più non prova che il tuo conto sia compromesso: è una richiesta da leggere, non un allarme da interpretare senza altri elementi.

3D Secure e autenticazione forte non sono sinonimi perfetti

L’autenticazione forte del cliente, o SCA, è una procedura basata su almeno due fattori di sicurezza. Il regolamento europeo distingue elementi di conoscenza, possesso e inerenza. 3D Secure è invece il protocollo impiegato nel contesto dei pagamenti con carta online per supportare l’autenticazione: tecnologia e requisito normativo non sono la stessa cosa. Fonte: Banca d’Italia; fonte: regolamento delegato UE 2018/389.

Un codice SMS isolato non consente al lettore di ricostruire l’intera architettura dei fattori usati. Non si può giudicare la conformità di un servizio contando soltanto le schermate viste. Per il quadro generale dei servizi di pagamento e dell’accesso ai conti puoi leggere la nostra guida alla PSD2 e all’Open Banking.

Esenzioni: perché anche un piccolo acquisto può richiedere conferma

Il regolamento 2018/389 contempla esenzioni a condizioni specifiche: beneficiari di fiducia, determinate operazioni ricorrenti, modesta entità e analisi del rischio sono fattispecie diverse. Non sono un diritto a ottenere l’approvazione di qualunque acquisto senza controlli.

Per le operazioni elettroniche a distanza di modesta entità, l’articolo 16 indica un importo singolo non superiore a 30 euro e condizioni relative alle operazioni precedenti dall’ultima autenticazione forte: importo cumulativo non superiore a 100 euro oppure numero non superiore a cinque operazioni singole consecutive, secondo la formulazione e l’applicazione dei contatori. Non è un limite massimo di spesa della carta e non significa che sotto 30 euro non possa mai essere richiesto un codice. Fonte: articolo 16.

La Q&A EBA 2018_4182 precisa che il prestatore può chiedere la SCA anche prima del raggiungimento delle soglie, sulla base delle procedure antifrode. Se sceglie di applicare i contatori transazione per transazione, deve controllare il raggiungimento dei limiti secondo il criterio illustrato nella risposta. Non trasformare dunque un acquisto piccolo in un test per «aggirare» il controllo. La risposta EBA è del 2019 e va letta insieme alle disposizioni pertinenti, non come una procedura bancaria attuale. Fonte: EBA.

Neppure le soglie contactless al terminale vanno trasferite automaticamente agli acquisti online: sono contesti diversi. La domanda da fare all’emittente è quale controllo sia richiesto per quel tentativo, non se la spesa fosse abbastanza bassa da meritare un’esenzione.

La prima verifica: fermarsi e raccogliere gli esiti

Prima di cambiare dispositivo, ricaricare una prepagata o ripetere l’ordine, annota il messaggio esatto e verifica se esistono già un ordine e un movimento. È una misura prudenziale editoriale per evitare di aggiungere tentativi difficili da distinguere, non un obbligo di attendere un tempo fisso.

1. Leggi se il negozio parla di autenticazione fallita, carta rifiutata, ordine non completato o semplice attesa.
2. Apri l’app ufficiale della banca dal dispositivo abituale, senza passare per link ricevuti da sconosciuti.
3. Controlla i movimenti della carta e l’eventuale disponibilità riservata, non solo il saldo del conto.
4. Verifica lo stato dell’ordine nell’area personale del negozio e le ricevute già ricevute.
5. Se gli esiti non coincidono, conserva i riferimenti e chiedi un chiarimento prima di pagare nuovamente.

Non compilare ricostruzioni con dati che non ricordi. Se hai visto una pagina vuota ma non un vero messaggio di rifiuto, scrivi proprio questo. La distinzione fra osservazione e ipotesi consente all’assistenza di controllare il tentativo corretto.

OTP non ricevuto: i controlli utili senza condividere codici

Se il checkout richiede espressamente un SMS, controlla il numero registrato nel servizio, la possibilità di ricevere messaggi e le istruzioni del tuo emittente. Se hai cambiato SIM o numero, chiedi come aggiornare il recapito attraverso la procedura ufficiale. Non presumere che il numero presente nell’account del negozio sia quello usato dalla banca.

Se la modalità prevista è la conferma nell’app, aspettare un SMS può essere inutile. Intesa Sanpaolo, per esempio, descrive percorsi distinti per O-Key Smart e O-Key SMS. È un esempio documentato di differenza fra modalità, non una procedura universale. Fonte: Intesa Sanpaolo.

Se il sistema permette un nuovo invio, segui le sue indicazioni e identifica la richiesta a cui il codice appartiene. Non accumulare richieste per poi provare codici a caso. Non inviare all’assistenza l’OTP, il PIN o la password: per descrivere il problema basta indicare che il messaggio non è arrivato o che la sessione segnala una scadenza.

La notifica push non arriva oppure l’app non mostra la richiesta

Controlla se l’app ufficiale è accessibile, se il dispositivo è quello associato al servizio e se esiste una richiesta relativa al tuo acquisto. EMVCo suggerisce, nei percorsi fuori banda, anche indicazioni per aprire manualmente l’app quando manca la notifica. Revolut documenta questa possibilità per il proprio servizio e richiede che il cliente sia connesso nell’app. Fonte: EMVCo; fonte: Revolut.

La verifica manuale non significa premere «approva» su qualsiasi richiesta trovata. Confronta negozio, importo e valuta con l’operazione che stai effettuando. Se non trovi nulla, riferisci sia l’assenza della notifica sia l’assenza della richiesta nell’app: sono due osservazioni distinte.

Se hai appena cambiato telefono, non cancellare l’app bancaria dal vecchio dispositivo o azzerare le impostazioni prima di aver letto la procedura di associazione. Come misura prudenziale, evita interventi che potrebbero toglierti l’unico accesso ancora funzionante. L’assistenza può verificare quale dispositivo sia registrato, senza che tu le consegni i codici.

Conferma nell’app riuscita, ma pagina del negozio ancora ferma

Nell’autenticazione fuori banda la conferma si svolge in un canale separato, per esempio l’app bancaria, mentre il checkout resta nel browser. EMVCo descrive sia percorsi che richiedono il ritorno alla pagina e un’azione finale, sia percorsi che trasmettono automaticamente l’esito. Documenta anche problemi di timeout o di mancata comunicazione dell’avvenuta conferma nel passaggio fra app e browser mobile. Fonte: EMVCo.

Segui quindi il ritorno indicato dal checkout, senza sostituirlo con l’apertura di un nuovo carrello. Se la pagina non si aggiorna, annota l’esito visto nell’app e controlla ordine e movimento. Conferma riuscita e acquisto completato non sono equivalenti. Non si può stabilire da una schermata ferma se la causa sia nella banca, nel browser o nell’integrazione del negozio.

Per un eventuale tentativo successivo usa il percorso ufficiale previsto dal commerciante. Se l’acquisto è partito da una finestra incorporata in un’altra app, chiedi se sia possibile completarlo dal sito o dall’app ufficiale del negozio. Non disattivare indiscriminatamente le protezioni del browser e non installare software proposto da un contatto inatteso.

Carta rifiutata dopo la conferma: saldo, limiti e abilitazioni

Un rifiuto può riguardare elementi diversi dall’identità: fondi insufficienti, carta scaduta, tipologia di operazione non supportata, limiti o problemi di elaborazione. Stripe documenta queste categorie nei propri codici di rifiuto. I suoi codici non sono un dizionario universale per ogni banca e non sono necessariamente visibili al cliente. Fonte: Stripe.

Controlla quale carta hai usato e quali informazioni risultano nella sua area dedicata: validità, stato, abilitazione agli acquisti online e limiti pertinenti. Per una carta di credito la disponibilità dello strumento non si ricava semplicemente dal saldo del conto; per una prepagata non basta sapere che sul conto collegato esiste denaro. Chiedi all’emittente quale disponibilità sia applicabile alla carta e al tentativo.

Se compare un blocco di sicurezza, domanda quale procedura ufficiale sia prevista. Aumentare i limiti non risolve necessariamente un blocco di sicurezza. Non è corretto suggerire una ricarica o una modifica dei massimali come rimedio certo quando il motivo non è conosciuto. La verifica della disponibilità serve a confermare o escludere un’ipotesi, non a imporre al lettore una spesa aggiuntiva.

Se la banca non vede il tentativo

L’assenza di un movimento non è una diagnosi definitiva. Nel proprio centro assistenza Revolut indica che restrizioni o problemi tecnici dell’esercente possono spiegare un pagamento rifiutato non visibile nell’app; quando il tentativo compare, suggerisce di leggerne i dettagli. È un esempio circoscritto, non una prova che qualunque tentativo assente sia colpa del negozio. Fonte: Revolut.

Domanda alla banca se non vede un’autorizzazione della carta oppure se non vede neppure una richiesta di autenticazione: non sono la stessa informazione. All’esercente chiedi se il carrello abbia creato un tentativo di pagamento e se sia stato ricevuto un esito dal fornitore. Mettere insieme queste risposte è più utile che invitare le due assistenze ad attribuirsi reciprocamente il problema.

«In sospeso» non significa automaticamente addebito definitivo

Revolut descrive il pagamento in sospeso come autorizzato ma non ancora completamente elaborato, con un importo temporaneamente riservato e una data stimata di storno consultabile. Questa descrizione aiuta a distinguere gli stati, ma le sue tempistiche non vanno trasferite a tutte le carte. Non esiste un tempo di sblocco universale ricavabile da questa guida. Fonte: Revolut.

Se il negozio non conferma l’ordine e l’app mostra una riserva, chiedi a entrambi come identificare quel tentativo e quale stato risulti. Prima di pagare con una seconda carta, chiarisci se il primo ordine sia stato annullato, sia ancora aperto o possa completarsi. Un’eventuale riserva e un rimborso di un pagamento già contabilizzato sono questioni differenti.

Conserva le comunicazioni ricevute. Se una data indicata dal tuo emittente viene superata senza l’esito atteso, ricontatta l’assistenza con il riferimento precedente. Non cancellare le prove solo perché la pagina del negozio continua a mostrare errore.

Quando coinvolgere la banca e quando il negozio

La tabella seguente organizza le richieste di assistenza: non assegna colpe e non identifica da sola il responsabile di un disservizio. In caso di esiti discordanti può essere necessario coinvolgere entrambi.

Utilizza contatti ricavati dall’app, dalla carta o dal sito ufficiale aperto autonomamente. Non considerare attendibile un numero soltanto perché compare in un messaggio che parla di sblocco. Un reclamo formale, se necessario, va distinto dalla prima richiesta tecnica: segui le istruzioni del tuo intermediario e descrivi i fatti, senza prometterti un esito prima dell’esame del caso.

Che cosa scrivere all’assistenza

Prepara una ricostruzione minima: data e orario, esercente, importo e valuta, riferimento ordine, messaggio esatto e stato del movimento. Indica se hai completato una conferma, se hai soltanto aperto l’app oppure se la richiesta non è mai comparsa. Puoi descrivere il dispositivo e il percorso usato, senza esportare password o dati di sicurezza.

Gli screenshot possono essere utili solo se non espongono credenziali o informazioni non necessarie. Oscura il numero completo della carta, i codici e gli altri movimenti. I riferimenti identificativi eventualmente richiesti vanno comunicati nel canale protetto previsto dal tuo intermediario, non in commenti pubblici o tramite un indirizzo ricevuto da sconosciuti.

Ho tentato questo acquisto e ho osservato questi esiti: messaggio del checkout, conferma nell’app e stato del movimento. Prima di ripetere il pagamento, chiedo di verificare il tentativo identificato e chiarire se occorra completare l’autenticazione, controllare l’abilitazione della carta o attendere la verifica dell’ordine.

È una traccia editoriale, non un modulo ufficiale. Completa soltanto i dati che conosci e non dichiarare un addebito definitivo se vedi solo una riserva. Se hai già provato più volte, elenca i tentativi distinguibili invece di presentarli come un unico pagamento.

Abbonamenti, carte salvate e beneficiari di fiducia

La carta salvata in un account non elimina necessariamente le richieste future. L’articolo 14 del regolamento contempla la SCA quando si crea, modifica o avvia per la prima volta una serie di operazioni ricorrenti dello stesso importo e a favore dello stesso beneficiario; le successive operazioni della serie possono beneficiare dell’esenzione alle condizioni previste. Non ogni abbonamento rientra automaticamente in questa fattispecie. Fonte: articolo 14.

Se un rinnovo fallisce, verifica il rapporto e la carta effettivamente registrata: non aprire per errore un secondo abbonamento mentre stai cercando di regolarizzare il primo. Chiedi al fornitore quale azione sia richiesta nell’account esistente. L’assenza di una nuova conferma non prova di per sé che il rinnovo sia irregolare.

Un elenco di beneficiari o esercenti di fiducia può essere previsto dal servizio, ma non è una scorciatoia per qualunque pagamento. Non aggiungere un esercente solo per superare un errore, se non hai chiarito che cosa stai autorizzando. Nessuna lista di fiducia garantisce l’approvazione di ogni acquisto. L’impostazione va valutata consapevolmente con l’emittente.

Otto casi pratici: come impostare la verifica

Gli esempi seguenti sono ipotetici e non descrivono clienti o disservizi di aziende reali. Servono a formulare richieste verificabili, senza ricavare una causa certa da un solo sintomo.

Caso 1 — Aspetti un SMS ma il checkout chiede l’app. La persona ha letto «conferma sul dispositivo» e continua a premere nuovo invio, convinta che debba arrivare un codice. La prima azione è verificare la modalità prevista per la sua carta e cercare la richiesta nell’app ufficiale. La mancata ricezione dell’SMS non dimostra un guasto se l’SMS non era il canale richiesto. All’assistenza riferisce il testo della schermata, evitando di dichiarare che «l’OTP è errato» quando non ne ha ricevuto uno.

Caso 2 — Hai cambiato telefono. L’app è installata sul nuovo dispositivo, ma non è chiaro se il servizio di conferma sia stato associato. La prima azione è verificare la procedura di associazione con l’emittente, mantenendo l’accesso ancora disponibile. Installare l’app non equivale necessariamente ad aver completato l’associazione. La richiesta utile indica quando è stato cambiato il dispositivo e quali funzioni sono accessibili; non include il codice di attivazione in una chat non verificata.

Caso 3 — Confermi e torni a una pagina ferma. La prima azione è controllare ordine e movimento, annotando che la conferma nell’app sembra conclusa. Il checkout fermo non prova che la banca abbia rifiutato l’autenticazione. Al negozio la persona chiede se sia arrivato l’esito e se l’ordine esista; all’emittente, se necessario, chiede quale stato risulti per il tentativo. Non crea immediatamente un carrello identico per verificare «se stavolta passa».

Caso 4 — L’app mostra rifiuto dopo la conferma. La prima azione è leggere il motivo comunicato e controllare carta, disponibilità e limiti pertinenti. Il saldo del conto non dimostra da solo la disponibilità della carta. Se il motivo resta generico, la persona chiede chiarimenti all’emittente invece di ricaricare una prepagata che potrebbe non essere lo strumento usato. Un limite modificato non prova che l’acquisto successivo sarà approvato.

Caso 5 — Il negozio dice errore, la banca non vede nulla. La prima azione è chiedere al negozio il riferimento del tentativo e alla banca quale tipo di richiesta sia assente. L’assenza nei movimenti non dimostra da sola che il commerciante sia responsabile. La ricostruzione distingue «non vedo un movimento nell’app» da «l’assistenza ha verificato che non è arrivata un’autorizzazione», perché la seconda affermazione richiede un riscontro effettivo.

Caso 6 — Trovi una riserva ma nessun ordine. La prima azione è chiarire lo stato con emittente ed esercente prima di ripetere l’acquisto. Una riserva non equivale automaticamente a un addebito definitivo. La persona domanda se l’ordine sia recuperabile o annullato e quale indicazione temporale valga per la riserva della propria carta. Non applica un numero di giorni letto per un altro operatore e non promette a se stessa uno sblocco immediato.

Caso 7 — Un rinnovo non è riuscito. La prima azione è controllare abbonamento e carta nell’account esistente, chiedendo al fornitore se serva una nuova conferma. Il mancato SMS non prova che il rinnovo fosse senza protezioni. La persona non apre un secondo contratto per risolvere il primo e conserva le risposte sulla scadenza del servizio. Se cambia carta, verifica l’aggiornamento del rapporto e non presume che i dati si siano trasferiti automaticamente.

Caso 8 — Compare una richiesta che non riconosci. La prima azione è non confermarla e contattare l’emittente attraverso un canale ufficiale per la messa in sicurezza. Una richiesta non riconosciuta non prova da sola che il denaro sia già uscito, ma non va approvata come esperimento. La persona riferisce orario e dati visibili, controlla i movimenti e segue le indicazioni della banca. Se emerge un’operazione contestabile, il problema non è più soltanto completare il checkout.

Quando interrompere i tentativi

Non utilizzare la ripetizione come strumento di diagnosi quando compaiono richieste non riconosciute, ordini duplicati, riserve multiple o un blocco esplicito. Conserva la situazione osservata e chiedi istruzioni. Se devi acquistare urgentemente, chiarisci prima lo stato del tentativo precedente e valuta un metodo alternativo solo su un canale commerciale verificato.

Non frazionare artificiosamente la spesa per evitare la conferma, non chiedere al venditore di eliminare un controllo obbligatorio e non approvare una richiesta con importo diverso «per vedere se funziona». La sicurezza non è un ostacolo da neutralizzare: l’obiettivo è capire quale azione legittima manchi e se l’acquisto possa essere completato senza duplicazioni.

Checklist da conservare per il prossimo acquisto

Per scegliere e usare gli strumenti nel loro insieme trovi anche la nostra guida ai pagamenti digitali. Se il dubbio riguarda invece quale disponibilità o servizio sia collegato al rapporto, parti dalle condizioni della carta e del conto corrente, senza assumere che siano intercambiabili.

Potrebbe anche interessartiPagamenti digitali: costi, sicurezza e scelte pratiche

Domande frequenti su 3D Secure e carta rifiutata

3D Secure è la stessa cosa del codice CVV?

No. Il codice di sicurezza della carta e il percorso di autenticazione 3DS hanno funzioni diverse. Inserire i dati della carta non significa aver completato ogni eventuale conferma richiesta. Per sapere quale passaggio usare segui le istruzioni dell’emittente, senza consegnare codici a un contatto che promette di sbloccare il pagamento.

Se ho confermato nell’app il pagamento è riuscito?

Non necessariamente: la conferma di sicurezza non garantisce l’autorizzazione del pagamento né la chiusura dell’ordine. Controlla il checkout, lo stato del movimento e il riferimento dell’acquisto. Se gli esiti sono discordanti, chiedi una verifica prima di riprovare.

Perché non mi arriva l’OTP?

Non si può ricavare una causa certa dalla sola assenza del messaggio. Verifica anzitutto se il tuo servizio richieda un SMS o la conferma nell’app, poi controlla il recapito registrato e le istruzioni ufficiali. Non confondere il numero comunicato al negozio con quello certificato presso la banca.

Posso aprire l’app senza aspettare la notifica?

Nei servizi che prevedono questa possibilità puoi verificare manualmente una richiesta dall’app ufficiale. EMVCo e la pagina Revolut citata illustrano questo percorso nei rispettivi contesti. Aprire l’app non significa approvare qualsiasi richiesta: deve corrispondere all’acquisto che stai effettuando.

Un acquisto senza richiesta visibile è privo di 3D Secure?

No: può esserci un flusso senza ulteriore interazione visibile o una fattispecie di esenzione applicabile. La mancata ricezione di un SMS non ricostruisce da sola il protocollo usato. Se l’operazione non è riconosciuta, contatta l’emittente indipendentemente da come è apparsa la conferma.

Sotto 30 euro la banca non può chiedere conferma?

Può richiederla. L’articolo 16 contempla un’esenzione facoltativa con condizioni, non un divieto di autenticare piccoli acquisti. L’EBA chiarisce che la SCA può essere richiesta anche prima del raggiungimento dei limiti. Le soglie non sono il massimale della carta.

Il saldo è sufficiente: perché la carta viene rifiutata?

Il saldo non esclude limiti, abilitazioni, disponibilità specifica della carta o un altro motivo di rifiuto. Non è possibile diagnosticare il caso da questa sola informazione. Controlla lo strumento effettivamente usato e chiedi all’emittente il motivo comunicabile e i controlli richiesti.

Devo attivare 3D Secure su ogni carta?

Dipende dall’emittente e dal prodotto. Non esiste un portale unico per attivare tutte le carte. La pagina Intesa citata descrive carte già abilitate nel proprio servizio; non estendiamo questa informazione a qualunque banca. Verifica inoltre quale modalità di conferma sia associata al tuo strumento.

Una transazione in sospeso è un addebito definitivo?

Non automaticamente. Può esserci un’autorizzazione con importo riservato e lavorazione non ancora conclusa. Chiedi come il tuo emittente descriva quello stato e quali indicazioni temporali siano pertinenti; non applicare a tutte le carte la tempistica di un singolo operatore.

Posso riprovare subito con un’altra carta?

Prima chiarisci se il primo ordine e il primo tentativo possano ancora completarsi, soprattutto se compare una riserva. Un nuovo metodo non annulla il precedente. Quando gli esiti restano incerti, coinvolgi esercente ed emittente e conserva le risposte.

Un esercente di fiducia garantisce che il pagamento passi?

No. Le funzioni disponibili e le esenzioni non eliminano ogni altro controllo. Non aggiungere un esercente a una lista di fiducia solo per superare un errore non chiarito. Valuta l’impostazione con l’emittente e soltanto per acquisti e rapporti che riconosci.

Che cosa faccio se la richiesta non riguarda un mio acquisto?

Non confermarla. Apri autonomamente il canale ufficiale della banca, segnala la richiesta e segui le indicazioni per mettere in sicurezza lo strumento. Controlla i movimenti senza presumere che il pagamento sia già stato eseguito. Una segnalazione di sicurezza è diversa dall’assistenza per completare un ordine legittimo.

Fonti e metodo

Verifica editoriale del 4 ottobre 2026. Sono utilizzate fonti primarie: ente tecnico del protocollo, circuiti, autorità, normativa europea e documentazione dei fornitori. I servizi Intesa Sanpaolo e Revolut sono esempi circoscritti, non raccomandazioni commerciali né segnalazioni di disservizi. I codici Stripe illustrano categorie nel suo sistema, non etichette universali.

Per il regolamento UE 2018/389 sono stati verificati gli estratti pertinenti del testo consolidato al 12 settembre 2023; la pagina diretta ha opposto un controllo tecnico, quindi non si dichiara una lettura integrale scaricata. La risposta EBA del 2019 è usata per il principio dei contatori e della facoltà di richiedere SCA, con attenzione alla data. Le pagine Mastercard e Revolut sono state lette tramite consultazione web ufficiale, non tramite gli accessi locali bloccati.

Le checklist, la traccia per l’assistenza e i casi ipotetici sono elaborazioni della redazione. Non sono moduli ufficiali, calcolatori di scadenze o procedure capaci di imporre un’approvazione. Non ci sono credenziali simulate, accuse a operatori identificati o promesse di rimborso. L’immagine è una scena simbolica originale generata con IA, non una carta reale o la prova di un pagamento.

1. EMVCo — EMV 3-D Secure. Protocollo e autenticazione per acquisti senza presenza fisica.
2. EMVCo — Autenticazione fuori banda nel browser. Passaggio fra app e checkout, timeout e indicazioni per la notifica assente.
3. Visa — Visa Secure. Verifica dell’identità precedente all’autorizzazione.
4. Mastercard — Autenticazione e Identity Check. Soluzione basata sui dati EMV 3DS.
5. Banca d’Italia — Autenticazione forte. Definizione della SCA.
6. EUR-Lex — Regolamento delegato UE 2018/389, consolidato al 12 settembre 2023. Elementi di autenticazione ed esenzioni, in particolare articoli 14, 16 e 18.
7. EBA — Q&A 2018_4182. Risposta del 2019 su contatori e richiesta di autenticazione prima delle soglie.
8. Intesa Sanpaolo — Pagamenti sicuri internet. Esempio di modalità O-Key Smart e O-Key SMS.
9. Revolut — Cos’è 3D Secure. Esempio di conferma nell’app senza notifica.
10. Revolut — Pagamento con carta rifiutato. Dettagli del tentativo e casi non visibili nell’app.
11. Revolut — Pagamento in sospeso. Differenza fra autorizzazione, riserva e completamento.
12. Stripe — Flusso di autenticazione 3D Secure. Esito dell’autenticazione distinto dall’esito del pagamento.
13. Stripe — Codici di rifiuto. Esempi di categorie nel sistema Stripe.