La décision finale appartient à la banque du client, en lien avec les réseaux de cartes et le prestataire de paiement. Le commerçant peut demander des ajustements de règles, par exemple un seuil de montant à partir duquel le 3D Secure s’applique, mais ces réglages restent soumis à validation et la banque conserve la décision in fine. Le site e-commerce n’intervient pas dans le processus d’authentification, qui se déroule dans l’environnement bancaire.