EMV 3-Dセキュアとは｜ECサイトの導入ルール・運用（毎回認証／登録時認証）と注意点
※本記事は2026年10月27日時点で確認できた、クレジット取引セキュリティ対策協議会の公開資料（クレジットカード・セキュリティガイドライン6.1版、附属文書14「EMV 3-Dセキュア導入ガイド」2.1版、いずれも2026年3月）に基づきます。ルールは改訂されることがあるため、最新は各出典と、契約しているカード会社・決済代行会社でご確認ください。
「決済代行会社から3Dセキュアの案内が来たけれど、うちの店は何をすればいいのか」「毎回パスワードを入れさせるとカゴ落ちが増えそう」——カード決済を受け付けている店舗から、こうした声はよく聞かれます。EMV 3-Dセキュアは、ネットでカード払いをするときに、カード会社が本人かどうかを確かめる仕組みです。この記事では、業界のガイドラインの原文をもとに、ECサイトに求められているルールと、認められている運用のパターン、店舗が確かめたい注意点を整理します。
⏱ 忙しい人向け 3行まとめ
- EMV 3-Dセキュアは、2025年3月末までに原則すべてのEC加盟店への導入が求められ、現在は導入済みが前提の段階です（ガイドライン5.0版・6.0版）。
- 認証は「決済の都度」が原則ですが、ほかの対策の内容に応じて「カード番号の登録時に認証」「店舗のリスク判断で認証」の運用も認められています。
- 多くの取引はパスワード入力なしで認証が終わる仕組み（リスクベース認証）です。店舗は、管理画面の設定・プライバシーポリシーの同意・障害時の対応を確かめておくのが目安です。
EMV 3-Dセキュアとは｜カード会社が本人かどうかを確かめる仕組み
EMV 3-Dセキュアとは、ネットでのカード決済のときに、カード会社（イシュアー）が利用者本人かどうかを確かめる本人認証の仕組みです。国際ブランドでつくる団体（EMVCo）が、以前の「3-Dセキュア（1.0）」をバージョンアップして標準化したもので、用語集の「3Dセキュア」でも簡単に説明しています。
以前の3-Dセキュア（1.0）は、すべての取引でIDやパスワードの入力を求めるため、決済の途中でお客さまが離脱する「カゴ落ち」が課題でした。EMV 3-Dセキュアでは、カード会社が利用者の端末の情報などから取引の危険度を判定する「リスクベース認証」が必須になり、危険度が低いと判定された取引はパスワードの入力なしで認証が終わります。
国際ブランドごとに呼び方が異なり、たとえばVisaは「Visa Secure」、Mastercardは「Mastercard ID Check」、JCBは「J/Secure」と呼ばれています。お客さま向けの案内では、ブランドごとの名称を併記しておくと伝わりやすくなります。
ECサイトに求められているルール｜期限は過ぎ「導入済みが前提」の段階
EMV 3-Dセキュアは、2026年10月時点で、割賦販売法にもとづく不正利用対策の「指針対策」としてEC加盟店に求められている対策です。業界のルールであるクレジットカード・セキュリティガイドラインの流れは次のとおりです。
| 時期 | ガイドライン | EMV 3-Dセキュアの扱い |
|---|---|---|
| 2024年3月 | 5.0版 | 2025年3月末までに原則すべてのEC加盟店に導入を求める |
| 2025年3月 | 6.0版 | 不正利用対策の指針対策に加わる |
| 2026年3月 | 6.1版 | 新しい義務の追加ではなく、着実な実施と理解の促進のための改訂 |
6.1版では、EC加盟店の不正利用対策として、オーソリ（与信）の体制づくり、EMV 3-Dセキュアの導入、適切な不正ログイン対策などを挙げています。また、不正利用への対策を「決済前（不正ログイン対策）」「決済時（EMV 3-Dセキュア、オーソリ）」「決済後（配送先の確認など）」の3つの場面を「線」でつなぐ考え方で示しています。EMV 3-Dセキュアは、このうち「決済時」の柱にあたります。
「義務化」の正しい受け止め方
EMV 3-Dセキュアは、割賦販売法がEC加盟店に求める不正利用防止の措置を満たすための「指針対策」として、ガイドラインが導入を求めているものです。罰則の有無だけで判断せず、契約しているカード会社や決済代行会社の案内に沿って対応しておくのが現実的です。
認証の流れ｜多くの取引はパスワード入力なしで終わる
EMV 3-Dセキュアの認証は、カード会社がリスクベース認証で取引の危険度を判定し、その結果に応じて流れが分かれます。導入ガイドに書かれている流れを、店舗の目線で整理すると次のとおりです。
-
STEP1：店舗のサイトが取引の情報を送る
お客さまがカード情報を入れて購入ボタンを押すと、店舗のサイト（決済代行会社のシステム）から、端末の情報や購入の情報などがカード会社へ送られます。
-
STEP2：カード会社が危険度を判定する
カード会社は受け取った情報をもとに、取引の危険度を「低・中・高」で判定します。
-
STEP3：結果に応じて認証の流れが分かれる
低い場合は追加の入力なしで認証が終わり（フリクションレス）、中くらいの場合はワンタイムパスワードの入力などの追加認証（チャレンジ）を求め、高い場合は認証が拒否されます。
-
STEP4：認証の結果をもとにオーソリへ進む
認証の結果が店舗側へ返され、通常のオーソリ（与信）の手続きに進みます。
導入ガイドは、追加の認証を求める方法として、固定のパスワードではなく、ワンタイムパスワードや生体認証などを挙げています。お客さまのカードに携帯電話番号やメールアドレスが登録されていないと、ワンタイムパスワードが届かず決済が進まないこともあります。決済エラーの問い合わせに備えて、「カード会社への登録情報の確認」をよくある質問に入れておくと、対応が楽になります。
認められている3つの運用パターン｜毎回認証・登録時認証・リスク判断
EMV 3-Dセキュアの運用は、原則が「決済の都度の認証」で、店舗がほかに講じている不正対策の内容に応じて、ほかに2つのパターンが認められています。いずれも、EMV 3-Dセキュアを導入していることが前提です。
| パターン | カード番号の登録時 | 決済のたび | 主な条件 |
|---|---|---|---|
| ①店舗のリスク判断で認証 | リスク判断で必要なとき認証 | リスク判断で必要なとき認証 | 決済前・決済時・決済後の対策を網羅し、専任の体制を整えるなど要件が重い |
| ②登録時に認証 | 必ず認証 | リスク判断で必要なとき認証 | アカウントの厳格な管理と不正ログイン対策が必要 |
| ③決済の都度認証 | 認証を推奨 | 毎回認証 | ①②に当てはまらない店舗はこれ |
パターン①は、属性・行動分析による不正判定や、24時間365日の監視ができる体制、契約しているすべてのカード会社・決済代行会社の了解などが条件になっています。中小規模の店舗では、③「決済の都度」か、会員制で②「登録時」を選ぶ形が現実的だとみています。
パターン②を選ぶ場合は、カード番号の登録・変更・追加のたびに認証し、ログインのときに本人であることを確かめる不正ログイン対策を複数行うことが求められます。導入ガイドの注記では、登録時にだけ認証し、その後の決済で認証しなかった取引は、不正利用があっても店舗の免責の対象外とされています。どのパターンを選ぶかは、手間とリスク負担の両方で考える必要があります。
導入しなくてよい取引と、その例外
導入ガイドは、EMV 3-Dセキュアの導入が求められない取引を3つの要件で示しています。一般のネットショップの多くは対象外にならない点に注意が必要です。
| 要件 | 取引の例 |
|---|---|
| 技術的に導入できない | 電話・FAX・郵便でカード番号を受け取る通販、ゲーム機など認証が使えない機器での取引 |
| 特定の相手とだけ取引する仕組みがある | 法人カードに限った事業者向けの専用サイト、従業員専用サイトなど |
| 取引する本人が特定されている | 公共料金、税金、保険料、学校の教育費など |
ただし、上の2つ目・3つ目に当たる取引でも、カード会社が把握する不正利用の金額が3か月連続で50万円を超える「不正顕在化加盟店」になった場合は、導入が必要になります。カード会社や決済代行会社が対策の緊急性が高いと判断して導入を求めたときも同じです。
また、定期購入のように、2回目以降はお客さまがカード番号を改めて伝えない「加盟店起点の取引」は、初回の決済やカード登録のときに認証する例外として整理されています。お客さまから契約内容の変更や商品の追加の申し出があったときは、その時点で認証を行うとされています。
店舗が確かめたい運用の注意点
EMV 3-Dセキュアは、決済代行会社やカートの仕組みを使えば店舗が開発する部分は少ない一方で、設定・案内・同意の取り方は店舗側の仕事として残ります。導入済みの店舗も、次の点を一度見直しておくと安心です。
- 管理画面の設定……カートや決済代行会社の管理画面で、EMV 3-Dセキュアが有効になっているか、どのパターンで運用しているかを確かめる。
- 店名の表示……導入ガイドは、認証のときに送る店名（Merchant Name）や業種コードを店舗ごとに正しく設定することを推奨しています。複数のショップを運営している場合は、決済代行会社に設定を確認する。
- 個人情報の同意……認証では、氏名・メールアドレス・電話番号・配送先・IPアドレスなどがカード会社に送られる場合があります。導入ガイドは、店舗がお客さまから第三者提供の同意を得る必要があるとしています。プライバシーポリシーと購入画面の同意の文言を確認する。
- 障害時の対応……認証の仕組みに障害が起きたとき、各事業者の判断で認証なしの取引も許容されるとされています。その場合は不正のリスクが高い取引が混じる可能性があるため、高額注文や転売されやすい商品の配送前確認を決めておく。
- お客さまへの案内……「認証画面が出る」「ワンタイムパスワードが届かない」ときの案内を、よくある質問や注文完了メールに入れておく。
EMV 3-Dセキュアだけでは不正は止まりません
ガイドラインは、決済前・決済時・決済後の対策を組み合わせる考え方を示しています。不正ログイン対策や配送先の確認も合わせて見直すのが目安です。全体の進め方はECサイトのセキュリティ対策ガイド、カード情報の守り方はカード情報漏えい対策で整理しています。これまでに公表された事案は事例台帳で確認できます。
認証画面でのカゴ落ちが気になる場合も、認証そのものを外すのではなく、入力フォームや送料表示など、ほかの離脱の原因から見直すのが現実的です。カゴ落ちの見直し方はカゴ落ち対策チェックリストをご覧ください。
よくある質問
Q. ASPカートを使っていれば、EMV 3-Dセキュアの設定は不要ですか？
A. カートや決済代行会社が仕組みを用意していても、店舗の管理画面で有効にする設定や、決済代行会社への利用申し込みが必要な場合があります。導入ガイドでは、決済代行会社のサービスを使う店舗でも「EMV 3-Dセキュアの利用申し込み」が対応事項に挙げられています。管理画面の決済設定と、決済代行会社からの案内を一度確かめておくのが目安です。
Q. EMV 3-Dセキュアで認証した取引で不正利用があったら、店舗の負担はなくなりますか？
A. 導入ガイドでは、認証に成功した取引などで不正利用が起きた場合、リスク負担は原則としてカード会社（イシュアー）になると説明されています。ただし詳細は契約しているカード会社などへの確認が必要とされ、カード登録時だけ認証して、その後の決済で認証しなかった取引は対象外と注記されています。自店の契約での扱いは、決済代行会社に確認するのが確実です。
Q. 定期購入（サブスク）の2回目以降の決済でも、毎回認証が必要ですか？
A. 導入ガイドでは、継続課金のように顧客がカード番号を改めて伝えない「加盟店起点の取引」は、初回の決済やカード登録のときに認証を行う例外として整理されています。ただし、お客さまから契約内容の変更や商品の追加の申し出があったときは認証を行うとされています。定期購入の設定と合わせて、決済代行会社の仕様を確認してください。
出典
- クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月）
- 同「附属文書14 EMV 3-Dセキュア導入ガイド 2.1版」（2026年3月・2026年10月27日確認）
- 同「クレジットカード・セキュリティガイドライン【5.0版】」（2024年3月）