Autentisering: från friktion till tillit
Precis som allt annat inom betalningar har autentisering utvecklats. Idag finns det fler tekniker, smidigare kundresor och nya sätt att skapa tillit, inte minst här i Sverige där vi är vana vid sömlösa lösningar som BankID. Nästa stora utmaning för e-handeln är orkestrering av autentisering.
Betalningar utan fysiska kort har alltid varit en utmaning för både kortutgivare och handlare. Den mest uppenbara svårigheten är att säkerställa att personen som genomför köpet faktiskt är den rättmätiga ägaren av den specifika betalmetoden.
För att verifiera köpare vid kortlösa transaktioner (CNP) gjorde utgivare och lagstiftare autentisering till ett krav.
Traditionella lager för autentisering som 3-D Secure (3DS) hanterades genom omdirigeringar till nya sidor, engångskoder eller uppmaningar i bankappar som gjorde säkerheten synlig och tydlig. Även om dessa metoder fungerade, innebar de också ett avbrott för varje kund i betalningsflödet, vilket skapade betydande friktion och ledde till avbrutna köp.
Som allt annat inom betalningar fortsätter autentiseringen att utvecklas. Idag finns det fler tekniker, smidigare kundresor och olika sätt att etablera tillit.
Detta är goda nyheter för branschen inom e-handel i stort. För enskilda företag skapar det dock nya utmaningar kring när man ska kräva vad, vilka metoder som bör integreras och var man hittar resurserna för att göra det.
Med andra ord är nästa stora utmaning för svensk e-handel just orkestrering av autentisering.
Autentisering började som en utmaning
Autentisering introducerades ursprungligen för att bekämpa bedrägerier. I 3DS 1.0 handlade frågan om huruvida kortutgivaren kunde verifiera att personen som försökte betala var den legitima kortinnehavaren, genom en synlig utmaning och med begränsad transaktionskontext.
Autentiseringsprotokoll antogs snabbt som lagstiftning i vissa regioner. Tillsynsmyndigheter i Europa, inklusive de svenska, var snabba med att göra dessa protokoll obligatoriska genom betaltjänstdirektivet (PSD2) och kraven på stark kundautentisering (SCA).
Lagstiftningen befäste autentisering som en central del i utformningen av betalningsekosystemet. Men regleringar förklarar bara en del av utvecklingen.
Autentisering växer globalt oavsett lagstiftning
Om autentisering bara var värdefullt för att lagstiftare krävde det, skulle det enbart användas på marknader med lagstiftning för autentisering. Istället ser vi en global övergång där autentisering blivit en nyckelfunktion för onlinetransaktioner, något vi märker tydligt även för svenska företag som säljer internationellt.
Låt oss titta på USA. Även om det inte finns något brett mandat likt PSD2 för kortbetalningar online, ser vi en betydande ökning av autentisering. Under 2025 uppskattade US Payments Forum att cirka tre procent av de amerikanska transaktionerna skickades via EMV 3DS. Vår egen data visar en liknande trend med en andel på 3,5 procent av antalet transaktioner under andra kvartalet 2025.
Dessa transaktioner stod för 17,4 procent av värdet på kundinitierade kortbetalningar online, en ökning från 9,2 procent året innan.
Datan visar att handlare i allt högre grad har anledningar att autentisera, även när regelefterlevnad inte är den drivande faktorn.
Infrastrukturen för autentisering expanderar
De första versionerna av autentisering var på många sätt suboptimala. Tydligast var hur 3DS 1.0 stoppade betalningen och bad kunden bevisa vem den var, vilket avbröt betalningsresan och skapade onödig friktion.
Nya modeller för autentisering är kontextuella. De strävar efter att använda den bevisning som redan finns och ber om mer endast när befintlig information är otillräcklig.
Det finns flera sätt att samla in den bevisning som krävs för att skapa tillit.
En nyckel (passkey) kan etablera kontroll över en kryptografisk identitet genom samma handling som kunden använder för att låsa upp sin enhet.
Att komma ihåg enheter kan indikera att en betrodd enhet används.
En digital plånbok kan bära en tokeniserad betalningsuppgift eller ett verifierat identitetsattribut.
Googles Secure Payment Authentication (SPA) har bidragit till att biometrisk bekräftelse (exempelvis facial recognition på en smartphone) blivit vanligare för kundresan. Europas föränderliga ramverk för Digital Identity Wallet (EUDI) pekar mot återanvändbara, användarkontrollerade identitetsuppgifter, något vi redan har stor erfarenhet av i Norden genom lokala e-legitimationer.
Dessa mekanismer ersätter inte 3DS. De etablerar tillit på andra sätt genom att svara på olika frågor som alla är relevanta för en enkel betalning.
Det väcker frågan: Vilka tekniker ska er verksamhet implementera och när ska ni använda dem?
Varför framgångsrik autentisering inte innebär en lyckad betalning (ännu)
Det finns ytterligare en avgörande aktör i betalningskedjan som använder autentisering: kortutgivaren.
En utgivare godkänner enbart en betalning om de känner sig trygga med att transaktionen är legitim. Denna tillit uppstår mer per automatik på marknader där autentisering är obligatoriskt, som här i Sverige.
På oreglerade marknader som USA är det dock lite mer komplicerat. Flera faktorer kan påverka utgivarens tillit och utlösa ett nekat köp, till exempel om en transaktion initieras från en ny enhet eller en okänd plats.
På dessa marknader kan adderad autentisering och delning av framgångsrika exempel med er utgivare bidra till ökad tillit och därmed förbättra andelen godkända köp. Er autentiseringsstrategi behöver dock förändras. Att använda ett tillvägagångssätt som optimerar för autentisering till varje pris kan tillföra extra steg som påverkar er konverteringsgrad. Om ni å andra sidan undviker autentisering helt, riskerar ni att missa kritisk data som hjälper utgivare att godkänna transaktionen.
För att verkligen optimera autentisering för godkännande bör ni dra nytta av er betalleverantörs förmåga att på ett intelligent sätt samla in data som förbättrar andelen godkända betalningar, och dela denna med utgivarna. Tekniken bör utvärdera beteenden i ekosystemet och inte bara tolka protokoll och regelverk.
Framtidens autentisering är kontextuell
Framtidens autentisering handlar inte om att välja mellan 3DS, nycklar, Google SPA, mobila plånböcker, rena dataflöden eller framtida mekanismer. Det handlar snarare om att veta när och hur varje metod ska användas, inklusive när inga ytterligare kundåtgärder krävs.
Branschen förändras. Det som en gång var ett regulatoriskt protokoll håller nu på att förvandlas till ett intelligent lager för tillit som hjälper alla parter i betalningens värdekedja. Det hjälper dem att förstå var en betalning kommer ifrån, godkänna fler legitima betalningar, minska friktionen för kunderna och samtidigt upprätthålla regulatoriska skyldigheter.
I takt med att detta lager integreras djupare kan autentiseringen bli nästintill osynlig för konsumenterna. Samtycke, integritet och tydliga rättsmedel är fortsatt avgörande, men kunderna kommer att lägga mindre tid på att ens reflektera över själva autentiseringen.
De kommer helt enkelt att förvänta sig att en checkout känner igen när de går att lita på, vet när ytterligare verifiering är nödvändig och använder den minst störande metoden som finns tillgänglig.
AI kommer att definiera den vinnande strategin
Tekniken driver utvecklingen av autentisering. Den vinnande strategin måste utgå ifrån observerade beteenden i ekosystemet, inte bara statiska tolkningar av protokoll och regleringar. Vi måste fokusera på dessa observerade beteenden, något som enbart är möjligt tack vare innovationer som AI.
Det är denna utveckling på marknaden som Adyen Uplift adresserar med sin Authenticate-lösning.
Vi har skapat ett globalt lager för autentisering som inte är bundet till ett enda protokoll och som kan integrera nya mekanismer i takt med att de växer fram.
Authenticate balanserar transaktionens egenskaper, kortutgivarens beteenden, lokala marknadskrav, risk, kundhistorik och tillgängliga betalmetoder för att automatiskt välja den bästa vägen till konvertering.
Det innebär en helt annan ambition än att bara autentisera fler betalningar. Det handlar om att fatta smartare beslut kring autentisering för att gynna andelen godkända och legitima betalningar.
Autentisering är inte på väg bort. Onödiga avbrott är det däremot. Med Adyen Uplift och Authenticate står ni redo för nästa steg i utvecklingen av betalningsautentisering.