Visa推出新认证，多家支付机构开始跟进

Visa正在将一项新的银行卡支付认证技术推向更多支付服务商。

9月10日，印度支付网关CCAvenue宣布集成Visa Payment Passkey。10月26日，新加坡支付企业UQPAY宣布相关功能进入生产环境。10月29日，Adyen和Checkout也相继公布了这项技术的部署进展。

这些企业分布在银行卡发行、全球收单和支付网关等不同环节。它们接入的Visa Payment Passkey（Visa支付通行密钥，简称VPP），并不是一种新的支付方式，而是Visa为线上银行卡交易提供的一种身份认证能力。

随着更多支付机构参与，Visa试图建立的，是一套能够在不同参与商户之间复用的银行卡支付认证机制。

VPP进入不同业务环节

近期公布Visa Payment Passkey进展的企业中，UQPAY是从发卡侧推进部署的代表。

10月26日，UQPAY宣布Visa Payment Passkey已经进入生产环境，并称自己是亚太地区较早部署这项能力的发卡机构之一。

UQPAY总部位于新加坡，业务涉及跨境支付、商户收单和银行卡发行。此次部署的重点，是将新的认证能力引入发卡业务，让符合条件的持卡人能够通过设备解锁方式完成线上支付身份验证。

在商户受理侧，Adyen和Checkout于10月29日分别公布了相关进展。

Adyen通过旗下Authenticate产品提供Visa Payment Passkey，将其纳入现有支付认证体系。

Adyen的相关布局实际上开始得更早。9月22日，该公司宣布升级Authenticate，将Visa Payment Passkeys、Mastercard Payment Passkeys和Google Secure Payment Authentication等技术纳入统一认证体系。Adyen当时表示，英国市场已经开始通过这些新技术启用实际交易，但没有单独披露VPP的交易规模。

10月29日，Adyen进一步发布VPP专项公告，明确将通过Authenticate在英国率先提供这项功能，并计划在2027年继续完善产品和扩大市场覆盖。

两次公告的重点有所不同。9月是Authenticate整体能力的升级，10月则是Visa通行密钥专项部署进展。

Checkout采取了另一种部署方式。

10月29日，Checkout宣布Visa Payment Passkey已经上线，并开始分阶段向英国和欧洲部分商户开放。

按照其披露的方案，商户可以通过现有认证集成使用这项能力，无需重新搭建结账流程。如果某笔交易不符合通行密钥认证条件，系统仍然可以采用其他认证方式。

印度支付网关CCAvenue则在9月10日宣布已将Visa Payment Passkey集成至其支付服务，让商户能够为符合条件的银行卡交易提供指纹、人脸识别或设备PIN等认证方式。

从这几家企业的部署情况可以看到，Visa Payment Passkey正在进入支付产业链的不同环节。

UQPAY从发卡侧推进生产部署，Adyen将其纳入统一认证决策体系，Checkout通过现有商户认证基础设施分阶段提供支持，CCAvenue则将其集成到支付网关服务中。

这些不同路径共同构成了VPP从卡组织产品走向实际商户支付场景的应用基础。

一次注册、跨商户使用

Visa Payment Passkey最直接的变化，发生在消费者完成线上银行卡支付身份认证的过程中。

过去，一笔网上购物交易可能需要消费者输入短信验证码，或者跳转至银行页面完成身份确认。不同市场和发卡机构采用的认证方式存在差异，消费者在跨境购物时可能需要经历不同的验证步骤。

Visa Payment Passkey提供了另一种认证路径。

按照Visa公布的产品机制，持卡人首先需要完成身份核验，并为符合条件的Visa银行卡创建支付通行密钥。完成注册后，在支持该方案的线上交易中，消费者可以通过指纹、人脸识别、设备PIN或其他受支持的设备解锁方式完成身份认证。

从消费者的角度看，操作类似于解锁手机，但其背后的安全机制与普通密码认证有所不同。

VPP基于FIDO标准，采用公钥密码学完成身份验证。注册过程中，系统建立与银行卡账户相关联的密钥对，私钥由持卡人设备上的认证器安全保存。交易认证时，通过密码学验证确认相关凭证的有效性，无需向商户传输私钥。

这种机制能够降低密码、短信验证码等认证凭据被钓鱼网站获取和滥用的风险。Visa也明确表示，消费者用于设备解锁的指纹、人脸等生物识别信息不会被Visa收集或共享。

更值得关注的是，Visa Payment Passkey支持在不同参与商户之间复用认证能力。

消费者为一张符合条件的Visa卡完成通行密钥注册后，可以在支持该方案的不同商户支付场景中继续使用，不必为每家商户分别建立独立的Visa支付认证凭证。

这与普通网站自行建立的Passkey有所区别。

普通网站的Passkey通常服务于该网站的账户登录。Visa Payment Passkey则围绕银行卡支付建立认证关系，由Visa提供相应的认证服务，使持卡人能够在多个参与商户之间使用。

不过，跨商户复用并不意味着一项凭证可以不受限制地用于所有银行卡和所有网站。相关密钥与具体银行卡账户对应，实际使用还取决于发卡机构、商户受理体系、设备及交易是否满足适用条件。

VPP与现有银行卡认证体系也不是相互替代的关系。

EMV 3-D Secure（3DS）是一套银行卡线上交易认证协议，涉及商户、收单机构和发卡机构之间的持卡人认证流程。Visa Payment Passkey则提供一种基于FIDO的身份验证方式，可以与现有3DS流程配合使用，也可以融入Visa Click to Pay等线上结账服务。

持卡人完成身份认证，并不意味着交易已经获得授权。后续仍然需要经过正常的银行卡交易处理和发卡机构授权流程。

因此，VPP真正改变的不是银行卡支付的基本交易路径，而是消费者证明自己是持卡人的方式，以及这项认证能力能否在不同商户之间复用。

支付认证成为竞争能力

Visa Payment Passkey的推广，还有一项重要背景，就是Visa已经将相关支持要求纳入银行卡网络规则。

根据Visa于2026年4月18日版《Visa Core Rules and Visa Product and Service Rules》第7.10.2.2条，部分地区的发卡机构和收单机构需要按照规定支持Visa Payment Passkey交易。

具体来看，自2026年4月18日起，除孟加拉国、不丹、印度和尼泊尔以外的亚太地区，以及欧洲地区，相关发卡机构需要支持符合规则的VPP交易，包括商户发起的注册请求。发卡机构不得系统性拒绝符合规则的请求，但仍须遵守逐笔交易评估要求；也不得在没有疑似欺诈的情况下系统性删除绑定持卡人设备的Visa通行密钥。

在收单侧，同日起相关亚太地区的收单机构也需要确保其电子商务商户能够在结账时主动提供VPP认证，并提交包含相应VPP数据的授权请求。该项亚太地区要求同样不适用于孟加拉国、不丹、印度和尼泊尔。

自2026年10月24日起，加拿大、中东欧、中东和非洲地区、拉丁美洲及加勒比地区也开始适用相应要求，其中拉丁美洲及加勒比地区的智利被排除在外。发卡侧和收单侧在这一阶段的适用范围相同。

需要注意，发卡机构和收单机构的规则适用范围并不完全相同。欧洲被列入相关发卡机构支持要求，但不能据此推导欧洲收单机构也承担同一条款规定的相同义务。

Visa还对符合条件的VPP交易设置了欺诈责任保护安排。当授权请求同时包含有效的Cryptogram（密码学凭证），且电子商务指标（ECI）值为5或6时，商户可以获得规则规定的欺诈责任保护。

这意味着，VPP的推广不仅涉及新的认证技术，还涉及卡组织对网络成员的支持要求，以及交易风险责任的安排。

但网络规则设定的是相关成员的支持基线，具体商户能否使用这项技术，仍然需要通过发卡、收单和支付服务商的产品集成来实现。

对于全球收单和跨境支付服务商而言，这带来了新的产品竞争空间。

一家面向多个国家销售商品的跨境电商企业，可能同时面对不同地区的发卡机构、银行卡认证要求和消费者支付习惯。如果商户需要分别接入、维护不同认证技术，开发和运营工作也会增加。

通过全球支付服务商整合卡组织提供的认证能力，商户可以减少独立处理不同认证技术的工作。

但接入VPP只是第一步。支付服务商还需要处理不同认证路径之间的选择、交易信息传递，以及与发卡机构认证流程的协同。

Adyen将VPP纳入Authenticate，Checkout通过现有认证集成向商户提供相关能力，反映的正是支付服务商在认证环节的产品整合方向。

这种竞争也可能延伸至智能体支付。