Visa Compelling Evidence 3.0 para comerciantes de Shopify: Cómo calificar, construir y enviar

Cuando recibas una reclamación Visa 10.4, comprueba si cumple los requisitos de CE 3.0 antes de crear nada

Una devolución de cargo Visa 10.4 —«Fraude / Entorno sin tarjeta»— aparece en el panel de control de Shopify, en Pagos → Disputas. El titular de la tarjeta afirma que no autorizó la transacción. Tu respuesta predeterminada son las señales de autorización: coincidencia de AVS, coincidencia de CVV, confirmación de entrega. Ese conjunto funciona a veces. CE 3.0 funciona mejor, pero solo si cumples los requisitos.

CE 3.0 es un marco de disputas de Visa que permite a los comerciantes rebatir una disputa 10.4 demostrando que la transacción en disputa comparte huellas de dispositivo, cuenta y comportamiento con transacciones anteriores no disputadas del mismo titular de la tarjeta. Cuando se aplica, devuelve la responsabilidad al emisor. Cuando no se aplica —porque el historial de transacciones es escaso, las señales de coincidencia son débiles o la presentación está mal formulada—, habrás desperdiciado tu ventana de respuesta y no habrás presentado nada útil.

Comprueba primero la elegibilidad. Crea después.

El requisito de transacciones que cumplen los requisitos —y donde la mayoría de los comerciantes fallan

CE 3.0 exige al menos dos transacciones anteriores no impugnadas del mismo titular de la tarjeta que compartan elementos de coincidencia específicos con la transacción impugnada. La norma actual publicada por Visa establece estos umbrales:

• Las transacciones anteriores deben haberse producido en los 120 días anteriores a la fecha de la transacción en disputa (confirme el plazo exacto con su adquirente; algunos procesadores aplican plazos internos más estrictos).
• Las transacciones anteriores deben ser indiscutibles: sin devoluciones, sin solicitudes de recuperación, sin alertas del emisor en esos pedidos.
• Al menos dos de los siguientes datos deben coincidir entre las transacciones anteriores y la transacción objeto de la disputa: ID del dispositivo, dirección IP, dirección de envío, dirección de correo electrónico o cuenta/inicio de sesión.

El requisito de coincidencia es donde CE 3.0 falla en la práctica. Un pedido realizado como invitado no tiene inicio de sesión en la cuenta. Un cliente que utilizó una VPN tiene una IP inconsistente. Un cliente que realizó el envío a una nueva dirección rompe la coincidencia de envío. Se necesitan dos coincidencias claras, no una sola sólida.

Un comerciante vendió un lote de productos para el cuidado de la piel por valor de 310 $. El pedido en disputa fue un pago como invitado, enviado a una dirección de hotel, realizado desde una IP móvil que no coincidía con ninguna sesión anterior. El cliente tenía dos pedidos anteriores, ambos sin disputas y con el mismo correo electrónico. El correo electrónico por sí solo es una señal. CE 3.0 requiere dos. El comerciante lo presentó de todos modos. El emisor rechazó el marco CE 3.0 y trató la respuesta como una refutación de fraude estándar, para lo cual no estaba diseñada. Perdieron.

El pago como invitado es un lastre estructural para CE 3.0. Si tu tienda gestiona un gran volumen de pagos como invitado, tu tasa de elegibilidad para CE 3.0 será baja. No se trata de un problema de envío, sino de un problema de captura de cuentas en las fases previas.

Paso 1: Recupera el registro del pedido y realiza la comprobación de elegibilidad

En el panel de control de Shopify, ve a Pedidos → [pedido en disputa]. Necesitas los siguientes campos antes de tocar la respuesta a la disputa:

• Correo electrónico del cliente: ¿se trata de una cuenta registrada o de un invitado?
• Dirección de envío
• Dirección IP en el momento del pago: visible en la sección de análisis de fraude del pedido si Shopify Fraud Protect está activo; de lo contrario, obténla de tu pila de análisis o de los registros del servidor
• Huella digital del dispositivo: no aparece de forma nativa en el panel de control estándar de Shopify; requiere una herramienta de detección de fraudes de terceros o tu propio registro de sesiones
• Etiquetas del pedido o notas del cliente que indiquen el historial de compras anterior

A continuación, consulta el historial de pedidos anteriores del cliente. En el panel de administración de Shopify, abre el perfil del cliente vinculado al correo electrónico del pedido en disputa. Examina todos los pedidos realizados en los últimos 120 días. Para cada uno, toma nota: ¿fue objeto de disputa? ¿Comparte la IP, el dispositivo, la dirección de envío o el correo electrónico con el pedido actual?

Si encuentras dos o más pedidos anteriores no impugnados con dos o más señales coincidentes, cumples los requisitos. Si encuentras una coincidencia, o los pedidos anteriores son escasos, o el cliente era un invitado sin cuenta previa, no los cumples. Pasa a una respuesta estándar contra el fraude.

Paso 2: Reúne el paquete de pruebas de CE 3.0

Las pruebas de CE 3.0 no son un documento narrativo. Se trata de un envío de datos estructurados que demuestra la continuidad del patrón. Visa y su adquirente esperan elementos específicos, no un PDF de capturas de pantalla con una carta de presentación.

Elabora el paquete en este orden:

1. Tabla comparativa de transacciones. En paralelo: transacción en disputa frente a cada transacción anterior que cumpla los requisitos. Columnas: fecha de la transacción, importe, correo electrónico, dirección IP, ID del dispositivo (si está disponible), dirección de envío, dirección de facturación, estado de la disputa. Este es el núcleo de la presentación.
2. Documentación de la dirección IP. Si la IP coincide, documente la IP de ambas transacciones e incluya datos de geolocalización. Si la IP no coincide pero se basa en otras señales, no incluya la IP, ya que debilita la presentación.
3. Datos de huella digital del dispositivo. Si su herramienta antifraude captura ID de dispositivo (Kount, Signifyd, Sift o similares), exporte la confirmación de coincidencia del dispositivo. La coincidencia del ID de dispositivo es la señal CE 3.0 más sólida: más sólida que el correo electrónico y más sólida que la IP por sí sola.
4. Confirmación de la dirección de envío. Si la dirección de envío coincide en todas las transacciones, incluye los campos de dirección de forma explícita. Una confirmación de entrega del transportista para los pedidos anteriores es un complemento útil, pero no es obligatorio.
5. Historial de creación de cuenta e inicio de sesión. Si el cliente tiene una cuenta de Shopify, exporta la fecha de creación de la cuenta y las marcas de tiempo de inicio de sesión. Un inicio de sesión cercano a la fecha del pedido en disputa refuerza el argumento de la continuidad de la cuenta.
6. Tu política de reembolsos y fraude. Incluye una copia de la política que el cliente aceptó al finalizar la compra. Se trata de una prueba secundaria: no cumple los requisitos del marco CE 3.0, pero respalda la respuesta general.

No rellenes el paquete con confirmaciones de entrega, datos de coincidencia AVS o resultados de CVV. Esos datos pertenecen a una respuesta estándar contra el fraude. CE 3.0 es un argumento de continuidad de comportamiento: añadir señales de autorización diluye el marco y le indica al emisor que no estás seguro del caso CE 3.0.

Punto de decisión: ¿envío CE 3.0 o respuesta estándar contra el fraude?

Esta es la encrucijada que determina su estrategia de respuesta. Elija antes de escribir una sola palabra de la refutación.

Vía A: Enviar bajo CE 3.0.
Utilízala cuando: existan dos o más transacciones anteriores indiscutibles en los últimos 120 días, dos o más señales coincidan claramente y el cliente tenga una cuenta o un historial de correo electrónico consistente. CE 3.0 traslada la responsabilidad al emisor si se acepta. La tasa de éxito en las presentaciones CE 3.0 que cumplen los requisitos es considerablemente mayor que en las refutaciones de fraude estándar, pero confirma los parámetros de referencia actuales con tu adquirente, ya que Visa ha actualizado los criterios de aceptación desde su implantación en abril de 2023.

Vía B: Respuesta
estándar al fraude Utilice esta opción cuando: el cliente sea un invitado, el historial de transacciones anteriores sea escaso o inexistente, las señales coincidentes sean débiles (una señal, no dos) o cualquier transacción anterior de este cliente haya sido objeto de disputa. Un intento fallido de CE 3.0 no implica automáticamente la pérdida de la disputa, pero desperdicia espacio en su respuesta y da a entender que el caso es débil. En su lugar, elabore una respuesta estándar basada en señales de autorización, confirmación de entrega e indicadores de fraude conductual.

La consecuencia de elegir la vía A sin cumplir los requisitos: el emisor rechaza el marco CE 3.0, trata su presentación como una refutación estándar y la evalúa según un modelo de pruebas erróneo. Ha presentado datos CE 3.0 donde se necesitaban datos de autorización. Eso es una pérdida estructural.

La consecuencia de elegir la vía B cuando cumplías los requisitos para CE 3.0: te enfrentas a una disputa 10.4 con herramientas más débiles de las que tenías a tu disposición. Puede que aún ganes, pero has dejado sin usar tu mejor argumento.

Paso 3: Redacta la narrativa de respuesta

Las presentaciones CE 3.0 siguen requiriendo una narrativa escrita. Hazla breve y estructurada, no persuasiva. El emisor está marcando casillas, no leyendo un ensayo.

Ejemplo de narrativa (adáptela a los detalles de su transacción):

Esta respuesta se presenta en virtud de Visa Compelling Evidence 3.0. La transacción en disputa (Pedido n.º [XXXX], [fecha], $[importe]) comparte dos o más elementos identificativos con transacciones anteriores no disputadas del mismo titular de la tarjeta. Concretamente: [dirección de correo electrónico] y [dirección IP / ID del dispositivo / dirección de envío — enumera las dos señales coincidentes] son consistentes entre la transacción en disputa y las transacciones anteriores que cumplen los requisitos con fecha [fecha 1] y [fecha 2]. Ambas transacciones anteriores se completaron sin disputas. Se adjunta la tabla comparativa de transacciones. Solicitamos que la responsabilidad se transfiera al emisor según las directrices de CE 3.0.

No añada disculpas, lenguaje de atención al cliente ni explicaciones sobre su negocio. La descripción es una declaración marco, no una respuesta a una reclamación del cliente.

Paso 4: Envía a través del canal correcto y confirma la recepción

En Shopify Payments, las respuestas a las disputas se envían a través de Pagos → Disputas → [disputa] → Enviar respuesta. Shopify envía la respuesta a Stripe (el procesador subyacente de Shopify Payments), que a su vez la reenvía a Visa.

Si utilizas una pasarela de pago de terceros —Braintree, Adyen, PayPal, Authorize.net—, es posible que los envíos CE 3.0 requieran un envío directo al adquirente en lugar de una carga dentro de la plataforma. Confirma la ruta de envío con tu procesador antes de la fecha límite. Algunos adquirentes tienen plantillas específicas para el envío CE 3.0; el uso de un formato no estándar puede provocar que el marco sea rechazado por motivos de procedimiento, no por motivos probatorios.

Tras el envío, registre internamente: fecha de envío, ID de la disputa, marco CE 3.0 declarado, señales de coincidencia utilizadas, ID de transacciones anteriores citadas. Necesitará esta información si la disputa llega a arbitraje.

Plantilla de nota interna: CE 3.0 enviado el [fecha]. ID de la disputa [X]. Transacciones que cumplen los requisitos: Pedido n.º [A] ([fecha]) y Pedido n.º [B] ([fecha]). Señales de coincidencia: correo electrónico + ID del dispositivo. Respuesta enviada a través de [Shopify Payments / portal del adquirente]. La fecha límite era el [fecha]. Resultado pendiente.

Dónde falla CE 3.0 a nivel operativo —no probatorio

La mayoría de los fallos de CE 3.0 no son fallos probatorios. Son fallos en la captura de datos que se produjeron semanas o meses antes de que se presentara la disputa.

Ausencia de huellas digitales de dispositivos. El análisis de fraude nativo de Shopify capta algunas señales, pero la coincidencia de ID de dispositivos al nivel que exige CE 3.0 suele requerir una herramienta de terceros. Los comerciantes que no cuentan con Kount, Signifyd o equivalentes dependen únicamente de la IP y el correo electrónico, dos señales que son más fáciles de rebatir.

Predominio de los pagos como invitado. Una tienda con un 70 % de pagos como invitado tiene una tasa de elegibilidad para CE 3.0 estructuralmente baja. La solución está en las fases previas: solicitar la creación de una cuenta tras la compra, vincular los pedidos de invitados a las cuentas mediante la coincidencia de correos electrónicos y capturar los datos de la sesión en el momento del pago, independientemente del estado de la cuenta.

No se conservan los datos de IP. Shopify muestra la IP a nivel de pedido en el panel de análisis de fraude, pero la conservación y la posibilidad de exportarla varían. Si tu conjunto de herramientas de análisis no registra las IP de sesión de forma independiente, puedes perder el acceso a los datos antes de que se abra el plazo de disputa, especialmente en pedidos antiguos cercanos al límite de 120 días.

Las disputas de pedidos anteriores contaminan el conjunto de datos. Un cliente con dos pedidos anteriores —uno sin disputar y otro disputado anteriormente— te deja con una sola transacción válida. CE 3.0 requiere dos. Comprueba el historial completo de disputas del cliente antes de declarar su elegibilidad.

El fraude amistoso suele parecer operativamente más limpio que el fraude real, y CE 3.0 se diseñó precisamente para ese escenario. Un cliente habitual que disputa un tercer pedido, alegando falta de autorización, mientras que los dos primeros pedidos se tramitaron sin quejas: ese es el caso objetivo de CE 3.0. El marco existe porque los emisores se ponían sistemáticamente del lado de los titulares de tarjetas que tenían historiales limpios con el mismo comerciante. CE 3.0 hace que ese historial cuente.

Prepare su tienda para CE 3.0 antes de la próxima disputa

La elegibilidad para CE 3.0 se determina a nivel de pedido, no a nivel de disputa. Para cuando llega la devolución, los datos ya existen o no existen.

Realiza estas comprobaciones ahora en el panel de control de Shopify:

• Análisis de fraude habilitado: Admin → Ajustes → Pagos → Prevención del fraude. Confirma que el análisis de fraude de Shopify está activo. Captura señales de IP, detección de proxies y discrepancias entre facturación y envío a nivel de pedido.
• Tasa de creación de cuentas: Admin → Clientes → filtrar por estado de la cuenta. Si el volumen de pagos como invitado es elevado, evalúa la posibilidad de añadir un mensaje para crear una cuenta tras la compra o habilitar Shop Pay, que captura señales de identidad persistentes en todos los pedidos.
• Integración de herramientas de fraude de terceros: si el valor medio de tus pedidos supera los 150 $ y observas disputas recurrentes del 10,4 %, merece la pena el coste de integración de la identificación de dispositivos mediante una herramienta dedicada. CE 3.0 sin ID de dispositivo es una opción menos eficaz.
• Etiquetado de pedidos para clientes habituales: Etiqueta los pedidos de cuentas registradas en el momento del cumplimiento. Cuando se produce una disputa, puedes filtrar inmediatamente los pedidos anteriores de la misma cuenta sin necesidad de realizar búsquedas manuales.

La automatización mejora la coherencia, no la certeza. DisputeDesk puede detectar señales de elegibilidad para CE 3.0 y organizar los datos de comparación de transacciones, pero sigue siendo el comerciante quien debe evaluar si las señales coincidentes son lo suficientemente claras como para aplicar el marco. Una presentación de CE 3.0 dudosa es peor que una respuesta estándar bien elaborada.