Autentisering: fra friktion til tillid
Præcis som alt andet inden for betalinger har autentisering udviklet sig. I dag findes der flere teknologier, mere smidige kunderejser og nye måder at skabe tillid på. Ikke mindst her i Danmark, hvor vi er vant til velfungerende løsninger som MitID. Næste store udfordring for e-handel er orkestrering af autentisering.
Betalinger uden fysiske kort har altid været en udfordring for både kortudstedende banker og forhandlere. Den mest åbenlyse sværhedsgrad er at sikre, at personen, der gennemfører købet, rent faktisk er den retmæssige ejer af den specifikke betalingsmetode.
For at verificere købere ved kortløse transaktioner (CNP) gjorde den kortudstedende bank og lovgiverne autentisering til et krav.
Traditionelle lag for autentisering som 3-D Secure (3DS) blev håndteret via omdirigeringer til nye sider, engangskoder eller meddelelser i bankapps, som gjorde sikkerheden synlig og tydelig. Selvom disse metoder fungerede, betød de også en afbrydelse for hver enkelt kunde i betalingsflowet. Det skabte betydelig friktion og førte til afbrudte køb.
Som alt andet inden for betalinger fortsætter autentiseringen med at udvikle sig. I dag findes der flere teknologier, mere smidige kunderejser og forskellige måder at etablere tillid på.
Det er gode nyheder for e-handelsbranchen generelt. For de enkelte virksomheder skaber det dog nye udfordringer i forhold til, hvornår man skal kræve hvad, hvilke metoder der bør integreres, og hvor man finder ressourcerne til at gøre det.
Med andre ord er den næste store udfordring for dansk e-handel netop orkestrering af autentisering.
Autentisering begyndte som en udfordring
Autentisering blev oprindeligt introduceret for at bekæmpe svindel. I 3DS 1.0 handlede spørgsmålet om, hvorvidt den kortudstedende bank kunne verificere, at personen, der forsøgte at betale, var den legitime kortholder gennem en synlig udfordring og med begrænset transaktionskontekst.
Autentiseringsprotokoller blev hurtigt vedtaget som lovgivning i visse regioner. Tilsynsmyndigheder i Europa, inklusive de danske, var hurtige til at gøre disse protokoller obligatoriske gennem Payment Services Directive 2 (PSD2) og kravene til stærk kundeautentifikation (SCA).
Lovgivningen slog autentisering fast som en central del i udformningen af betalingsøkosystemet. Men reguleringer forklarer kun en del af udviklingen.
Autentisering vokser globalt uanset lovgivning
Hvis autentisering kun var værdifuldt, fordi lovgiverne krævede det, ville det udelukkende blive brugt på markeder med lovgivning på området. I stedet ser vi en global overgang, hvor autentisering er blevet en nøglefunktion for onlinetransaktioner. Det er noget, vi tydeligt bemærker for danske virksomheder, der sælger internationalt.
Lad os se på USA. Selvom der ikke findes et bredt mandat som Payment Services Directive 2 (PSD2) for online kortbetalinger, ser vi en betydelig stigning i autentisering. I 2025 estimerede US Payments Forum, at cirka 3 % af de amerikanske betalinger blev sendt via EMV 3DS. Vores egne data viser en lignende tendens med en andel på 3,5 % af antallet af betalinger i andet kvartal 2025.
Disse betalinger stod for 17,4 % af værdien på kundeinitierede online kortbetalinger, hvilket er en stigning fra 9,2 % året før.
Data viser, at forhandlere i stigende grad har grund til at autentisere, selv når overholdelse af regler ikke er den drivende faktor.
Infrastrukturen for autentisering ekspanderer
De første versioner af autentisering var på mange måder suboptimale. Det var tydeligst, hvordan 3DS 1.0 stoppede betalingen og bad kunden bevise sin identitet. Det afbrød kunderejsen og skabte unødvendig friktion.
Nye modeller for autentisering er kontekstuelle. De stræber efter at bruge de beviser, der allerede findes, og beder kun om mere, når den eksisterende information er utilstrækkelig.
Der findes flere måder at indsamle de beviser, der kræves for at skabe tillid.
En adgangskode (passkey) kan etablere kontrol over en kryptografisk identitet gennem den samme handling, som kunden bruger til at låse sin enhed op.
At huske enheder kan indikere, at en betroet enhed bruges.
En digital tegnebog kan bære en tokeniseret betalingsoplysning eller en verificeret identitetsattribut.
Googles Secure Payment Authentication (SPA) har bidraget til, at biometrisk bekræftelse (eksempelvis ansigtsgenkendelse på en smartphone) er blevet mere almindeligt for kunderejsen. Europas foranderlige rammeværk for Digital Identity Wallet (EUDI) peger mod genanvendelige, brugerkontrollerede identitetsoplysninger. Det er noget, vi allerede har stor erfaring med i Norden gennem lokale e-legitimationer som MitID.
Disse mekanismer erstatter ikke 3DS. De etablerer tillid på andre måder ved at besvare forskellige spørgsmål, som alle er relevante for en enkel betaling.
Det rejser spørgsmålet: Hvilke teknologier skal Jeres virksomhed implementere, og hvornår skal I bruge dem?
Hvorfor succesfuld autentisering ikke er lig med en vellykket betaling (endnu)
Der findes endnu en afgørende aktør i betalingskæden, der bruger autentisering: den kortudstedende bank.
En kortudstedende bank godkender kun en betaling, hvis de føler sig trygge ved, at betalingen er legitim. Denne tillid opstår mere per automatik på markeder, hvor autentisering er obligatorisk, som her i Danmark.
På uregulerede markeder som USA er det dog lidt mere kompliceret. Flere faktorer kan påvirke bankens tillid og udløse et afvist køb. Det kan for eksempel ske, hvis en betaling initieres fra en ny enhed eller en ukendt placering.
På disse markeder kan ekstra autentisering og deling af succesfulde eksempler med Jeres kortudstedende bank bidrage til øget tillid, og dermed forbedre autorisationsraten. Jeres autentiseringsstrategi skal dog ændres. At bruge en tilgang, der optimerer for autentisering for enhver pris, kan tilføje ekstra trin, som påvirker Jeres konverteringsrate. Hvis I på den anden side undgår autentisering helt, risikerer I at gå glip af kritisk data, der hjælper den kortudstedende bank med at godkende betalingen.
For virkelig at optimere autentisering for godkendelse bør I udnytte Jeres betalingsudbyders evne til intelligent at indsamle data, der forbedrer autorisationsraten, og dele denne med de kortudstedende banker. Teknologien bør evaluere adfærd i økosystemet og ikke kun fortolke protokoller og regelsæt.
Fremtidens autentisering er kontekstuel
Fremtidens autentisering handler ikke om at vælge mellem 3DS, adgangskoder, Google SPA, digitale tegnebøger, rene dataflow eller fremtidige mekanismer. Det handler snarere om at vide, hvornår og hvordan hver metode skal bruges, inklusive hvornår ingen yderligere kundehandlinger er nødvendige.
Branchen ændrer sig. Det, der engang var en regulatorisk protokol, er nu ved at blive forvandlet til et intelligent lag af tillid, som hjælper alle parter i betalingsværdikæden. Det hjælper dem med at forstå, hvor en betaling kommer fra, godkende flere legitime betalinger, reducere afbrydelser for kunderne, og samtidig overholde regulatoriske forpligtelser.
I takt med at dette lag integreres dybere, kan autentiseringen blive næsten usynlig for forbrugerne. Samtykke, integritet og tydelige retsmidler er fortsat afgørende, men kunderne vil bruge mindre tid på overhovedet at reflektere over selve autentiseringen.
De vil helt enkelt forvente, at en checkout genkender, hvornår de kan stoles på. Den skal vide, hvornår yderligere verificering er nødvendig, og bruge den mindst forstyrrende metode, der er tilgængelig.
AI-værktøjer vil definere den vindende strategi
Teknologien driver udviklingen af autentisering. Den vindende strategi skal tage udgangspunkt i observeret adfærd i økosystemet og ikke kun i statiske fortolkninger af protokoller og reguleringer. Vi skal fokusere på denne observerede adfærd, hvilket gøres muligt ved hjælp af AI-modeller.
Det er netop denne markedsudvikling, som Adyen Uplift adresserer med sit Authenticate-modul.
Vi har skabt et globalt lag til autentisering, som ikke er bundet til en enkelt protokol, og som kan integrere nye mekanismer i takt med, at de vokser frem.
Authenticate afbalancerer betalingens egenskaber, den kortudstedende banks adfærd, lokale markedskrav, risiko, kundehistorik og tilgængelige betalingsmetoder for automatisk at vælge den bedste vej til konvertering.
Det betyder en helt anden ambition end bare at autentisere flere betalinger. Det handler om at træffe klogere beslutninger omkring autentisering for at gavne autorisationsraten og sikre flere legitime betalinger.
Autentisering forsvinder ikke. Unødvendige afbrydelser gør derimod. Med Adyen Uplift og Authenticate er I klar til næste trin i udviklingen af betalingsautentisering.