3D Secure og SCA: hvorfor kunder afvises, og hvad du kan gøre

Kort svar: 3D Secure er kortbetalingens ekstra godkendelsestrin – i Danmark typisk MitID eller bankens app – og det er lovpligtigt for de fleste onlinebetalinger i EU (SCA-kravet i PSD2). Når en betaling afvises, sker det ofte i godkendelsestrinnet: kunden opgiver undervejs, appen driller, eller banken siger nej. Du kan ikke slå kravet fra, men du kan minimere tabet: hold checkout hurtig, vis tydeligt at godkendelse følger, send fulde kundedata til gatewayen, understøt alternativer som MobilePay – og læs afvisningskoderne, før du fejlsøger i blinde.

Fagligt gennemgået: 2. oktober 2026

„Betalingen blev afvist“ er en af de mest frustrerende beskeder i e-handel – for kunden, der fik nej, og for dig, der mistede ordren uden at vide hvorfor. Siden SCA-kravene blev håndhævet, sker en stor del af afvisningerne ikke ved selve kortet, men i godkendelseslaget.

Denne guide forklarer flowet, forskellen på en friktionsfri og en udfordret godkendelse, de typiske afvisningskoder og de håndtag, du faktisk har som shop.

Hvad er 3D Secure og SCA?

SCA (Strong Customer Authentication) er EU-kravet om, at onlinebetalinger som hovedregel skal godkendes med to af tre faktorer: noget kunden har (telefonen), ved (en kode) eller er (biometri). 3D Secure er kortnetværkenes tekniske protokol til det – hos Visa kaldet Visa Secure og hos Mastercard Mastercard Identity Check.

I praksis møder danske kunder det som en MitID-godkendelse eller en bekræftelse i bankens app, efter de har tastet kortnummeret. Kravet ligger hos banker og betalingsudbydere – det er ikke noget, din shop kan vælge fra.

Sådan ser flowet ud

1. Kunden taster kortet i din checkout.
2. Gatewayen sender betalingen og en række oplysninger om købet til kundens bank.
3. Banken vurderer risikoen og kræver eventuelt godkendelse.
4. Kunden godkender med MitID eller i bankens app.
5. Banken svarer gennemført eller afvist, og din shop opdaterer ordren.

Hvert trin kan fejle, og derfor starter diagnosen med at finde ud af, hvor i kæden nej’et kom. I WooCommerce ser du typisk gatewayens svar i ordrenoterne eller i gatewayens egen portal. Hænger ordren derimod som „Afventer betaling“, er det ofte et callback-problem – se guiden om ordrer, der bliver stående som Afventer betaling.

Friktionsfri eller udfordret godkendelse

Den nuværende version af protokollen, 3D Secure 2, sender langt flere data til banken end den gamle version 1, som kortnetværkene har udfaset. Banken får blandt andet faktureringsadresse, e-mail, enhedsoplysninger og købshistorik, og ud fra dem kan den vælge mellem to forløb:

• Friktionsfri (frictionless): banken vurderer risikoen som lav og godkender i baggrunden. Kunden mærker intet ekstra trin.
• Udfordret (challenge): banken beder kunden bekræfte med MitID eller app. Det er her, frafaldet sker.

Jo mere komplette og korrekte data din checkout sender, jo bedre grundlag har banken for at vælge det friktionsfri forløb. Felter, der er gjort valgfrie eller fjernet for at forkorte checkout, kan derfor koste flere udfordringer. Spørg din gateway, hvilke felter deres 3DS-integration bruger, og sørg for, at WooCommerce faktisk sender dem.

Derfor afvises betalinger

• Kunden falder fra i godkendelsen – appen skal findes frem, MitID driller, eller vinduet indlæser langsomt. Teknisk set en afbrudt betaling, ikke en afvisning – men ordren er lige tabt.
• Banken siger nej – mistænkeligt mønster, spærret kort, manglende dækning eller kort uden internetbetaling slået til. Koden fra banken står i gatewayens log.
• Teknisk fejl i kæden – timeout mellem gateway og bank, et godkendelsesvindue der blokeres, eller en checkout hvor scripts forsinkes eller fjernes af cache- og optimeringsplugins.
• Udenlandske kort – kort udstedt uden for EU understøtter ikke altid 3D Secure på samme måde, og risikovurderingen er ofte hårdere på tværs af grænser.

Sådan læser du afvisningskoderne

Gatewayen oversætter bankens svar til egne koder og tekster, så ordlyden varierer. De underliggende kategorier er dog de samme. Tabellen viser de mest almindelige, som de typisk optræder i kortbranchens svarkoder:

Svar (typisk kode)	Hvad det betyder	Hvad du gør
Do not honour (05)	Banken afviser uden at oplyse hvorfor – ofte risikovurdering	Kunden må kontakte sin bank eller bruge en anden betalingsmetode
Insufficient funds (51)	Manglende dækning	Intet teknisk at rette
Expired card (54)	Kortet er udløbet	Bed kunden bruge et gyldigt kort; vigtigt ved abonnementer
Transaction not permitted (57)	Kortet må ikke bruges til denne type køb, fx internethandel	Kunden skal ændre indstillingen hos sin bank
Authentication required (fx 1A hos Visa, 65 hos Mastercard)	Banken kræver SCA, fordi en undtagelse blev afvist	Gatewayen skal gennemføre betalingen igen med 3D Secure
Authentication failed eller afbrudt	Kunden gennemførte ikke godkendelsen	Se på hastighed, mobilflow og tydelig besked i checkout

Stiger afvisningsprocenten pludseligt, så træk svarkoderne for de seneste afviste betalinger i gatewayens portal. Mange ens koder inden for et kort tidsrum peger på teknik, fx timeout eller en ændring i checkout; spredte koder over tid peger på normale bankafvisninger.

Det kan du gøre som shop

Gør flowet hurtigt og forudsigeligt. Godkendelsesvinduet åbner oven på din side, og en tung checkout med langsom server får hele oplevelsen til at føles i stykker. Hastighed i checkout er konverteringsarbejde: udeluk kurv og kasse fra sidecachen, og lad være med at forsinke betalingsgatewayens scripts. WooCommerce hosting hos Hostious kører på LiteSpeed og NVMe med dansk support døgnet rundt.

Varsl godkendelsen. En kort linje ved betalingsknappen – „du godkender købet med MitID eller din banks app“ – får færre til at tro, at noget er gået galt, når vinduet dukker op.

Tilbyd alternativer. MobilePay har godkendelsen indbygget i appen og opleves gnidningsfrit på mobil. Flere veje til betaling redder ordrer, når én metode driller – se også betalingsmetoder og konvertering.

Test som en kunde. Gennemfør et rigtigt køb på mobil efter hver større ændring i tema, plugins eller cache. Godkendelsesvinduet er ofte det første, der går i stykker, og det ses ikke i et testmiljø uden 3D Secure. Brug tjeklisten for testkøb.

Fejlsøg på koder, ikke fornemmelser. Systematisk svindel håndteres separat – se guiden om svindelordrer.

Undtagelser: når trinnet springes over

SCA-reglerne har undtagelser, som gatewayen kan anmode om, og som kundens bank altid kan afvise:

• Små beløb: betalinger under 30 euro kan undtages, indtil kunden har lavet fem betalinger i træk eller samlet 100 euro uden godkendelse – så kræver banken SCA igen.
• Gentagne betalinger: faste træk med samme beløb til samme modtager kan køre uden godkendelse efter den første.
• Forhandlerinitierede betalinger: træk, som shoppen starter på et gemt kort efter aftale med kunden, fx abonnementer med varierende beløb.
• Lav risiko: betalinger, som indløser eller bank vurderer som lavrisiko ud fra deres svindelrater.

Det er derfor, abonnementstræk typisk kører uden MitID hver måned – og derfor, første betaling i et abonnementsflow skal sættes rigtigt op med godkendelse. Undtagelserne styres af bank og gateway, ikke af shoppen, men de forklarer, hvorfor „den samme betaling“ nogle gange spørger om MitID og andre gange ikke.

Hvem hæfter ved svindel?

Når en betaling er godkendt med 3D Secure, flyttes ansvaret for indsigelser om kortmisbrug som hovedregel til kortudstederen. Bruges en undtagelse i stedet, ligger ansvaret typisk tilbage hos dig og din indløser. Det er en afvejning: færre godkendelsestrin giver højere konvertering, men flere svindelindsigelser lander på dit bord. Indsigelser om fx manglende levering er dit ansvar uanset godkendelsen – se guiden om chargebacks.

Læs også

• Hub: Betalinger i danske webshops
• WooCommerce betaling fejler: kort, gateway, 3DS eller callback
• Svindelordrer: mønstre, screening og hvornår du skal annullere
• Abonnementsbetalinger i WooCommerce
• WooCommerce hosting hos Hostious – LiteSpeed, NVMe og dansk support døgnet rundt
• WordPress hastighedsoptimering – vi finder og fjerner flaskehalsene for dig

Ofte stillede spørgsmål om 3D Secure og SCA

Kan jeg slå 3D Secure fra i min webshop?

Nej. SCA er et lovkrav for de fleste onlinebetalinger i EU, og godkendelsen styres af kundens bank og din betalingsudbyder. Du kan kun påvirke oplevelsen omkring trinnet – ikke fjerne det.

Hvorfor afvises udenlandske kort oftere?

Kort udstedt uden for EU understøtter ikke altid 3D Secure på samme måde, og risikovurderingen er strengere på tværs af grænser. Sælger du meget til udlandet, så tal med din gateway om opsætningen for de relevante markeder.

Hvorfor spørger betalingen ikke altid om MitID?

SCA har undtagelser for små beløb, gentagne betalinger på gemte kort og lavrisiko-transaktioner, og med 3D Secure 2 kan banken godkende friktionsfrit i baggrunden. Bankens risikoanalyse afgør det fra gang til gang – det er normalt, ikke en fejl.

Hvad betyder afvisningen „authentication required“?

At gatewayen forsøgte at gennemføre betalingen med en undtagelse, men at kundens bank kræver SCA alligevel. Det er en blød afvisning: betalingen kan gennemføres, hvis den sendes igen med 3D Secure. En moderne gateway gør det automatisk – sker det ikke, så kontakt gatewayens support.