Una volta ho cronometrato quanto tempo passa tra il momento in cui inserisci la carta sul bookmaker e il momento in cui il deposito è effettivo: dieci secondi nei casi migliori, fino a un minuto e mezzo nei casi peggiori. Tutta quella varianza dipende quasi sempre da una sola cosa, il 3D Secure. Il protocollo che protegge la tua Postepay quando paghi online è anche il punto in cui i depositi possono incepparsi, e spesso lo fanno proprio nei momenti in cui hai più fretta — durante una giocata live, sul recupero, prima dell’inizio di un evento atteso.
Il 3D Secure non è un’invenzione di Poste Italiane, è uno standard internazionale obbligatorio in Europa per qualsiasi pagamento online superiore a soglie minime. Ma il modo in cui Poste Italiane lo implementa, e come si interseca con i sistemi dei bookmaker ADM, ha specificità italiane che vale la pena conoscere. Per chi scommette regolarmente, capirne la logica è la differenza tra subirlo come una rottura e usarlo come uno strumento.
In questa guida non c’è teoria astratta: c’è quello che ti serve sapere per non bloccarti durante un deposito, per riconoscere quando il sistema sta funzionando bene e quando invece c’è qualcosa che non va, e per capire cosa fare quando l’OTP non arriva. Tutta esperienza accumulata aiutando giocatori a sbloccare situazioni reali.
Cos’è il 3D Secure, in due minuti, per chi lo usa senza saperlo
Quando paghi un caffè con la carta in un bar, il punto vendita inserisce la carta nel POS, tu digiti il PIN, l’autorizzazione passa per i circuiti bancari e il pagamento è fatto. Tre soggetti: tu, il bar, il sistema bancario. Ma online la situazione è diversa: tra te e il commerciante c’è internet, e nessuno può guardarti negli occhi per verificare che sei tu a usare la carta.
Il 3D Secure aggiunge un quarto attore al gioco: l’emittente della carta. Nel nostro caso, Poste Italiane. Quando un bookmaker ADM richiede un pagamento sulla tua Postepay, il sistema non si limita a verificare i dati della carta — fa una pausa, chiama Poste Italiane e chiede: “questa transazione è davvero stata autorizzata dal titolare?”. Poste Italiane, a quel punto, ti contatta direttamente: tramite SMS con OTP, tramite notifica push sull’app Postepay, oppure tramite altro canale. Solo se tu confermi, l’operazione va avanti.
Il “3D” del nome sta per “three domains”, i tre domini coinvolti: il dominio del commerciante (bookmaker), il dominio dell’emittente (Poste Italiane) e il dominio della rete interbancaria che fa da ponte. È un’architettura nata nel 2001 con la prima versione del protocollo, e oggi siamo alla versione 2 (3DS2), che è quella obbligatoria per i pagamenti online europei dalla seconda metà del 2019.
Il dato che spiega l’urgenza di questo livello di sicurezza è chiaro. Nel 2024 in Italia le transazioni fraudolente con carte di pagamento (tra persone fisiche) emesse da PSP italiani sono state pari a 33 milioni di euro, in crescita del 4% sull’anno precedente. Numero contenuto in valore assoluto, ma in crescita costante, e il 3D Secure è la prima diga contro i tentativi di truffa nei pagamenti online. Senza, sarebbe il Far West.
La PSD2 e la SCA: perché il bookmaker non può evitare di autenticarti
“Ma sui piccoli importi serve davvero questo giro?” — me lo chiedono spesso, e la risposta è normativa, non commerciale. La direttiva europea PSD2 ha introdotto il concetto di Strong Customer Authentication, la SCA, e ha reso obbligatoria l’autenticazione a due fattori per quasi tutti i pagamenti elettronici online. I bookmaker ADM non hanno la facoltà di “saltare” il 3D Secure — devono richiederlo per legge.
La SCA si basa su tre elementi: qualcosa che sai (un codice, una password), qualcosa che hai (un telefono, una carta), qualcosa che sei (una caratteristica biometrica). Per essere considerata “forte”, l’autenticazione deve combinarne almeno due tra loro. Quando confermi un OTP via SMS sul tuo telefono, stai usando “qualcosa che hai” (la SIM ricevuta sul tuo numero) più “qualcosa che sai” (le credenziali Postepay). Quando confermi una notifica push con impronta digitale, usi “qualcosa che hai” (lo smartphone registrato) più “qualcosa che sei” (la biometria).
Esistono casi in cui la SCA può essere alleggerita: pagamenti molto piccoli (sotto i 30 euro, con limiti cumulativi), abbonamenti ricorrenti già pre-autorizzati, transazioni considerate a basso rischio dal sistema antifrode dell’emittente. Sui bookmaker ADM, però, queste eccezioni quasi non si applicano: il sistema bancario considera il gioco online una categoria a rischio elevato per definizione, e tipicamente richiede SCA piena su ogni deposito.
Roberto Alesse, direttore generale di ADM, ha detto in un’intervista a La Verità ripresa da JAMMA: “I numeri dei controlli e dei siti che vengono chiusi sono in costante crescita e bene ha fatto il decreto legislativo di riordino del gioco online, approvato alcuni giorni fa, a prevedere, in capo ai concessionari, forme di pubblicità funzionali alla diffusione del gioco responsabile.” Il punto è che il sistema di controllo italiano, di cui il 3D Secure è l’ingranaggio frontline, vede il gioco come un’area sensibile, e applica i controlli con il massimo rigore.
Cosa succede passo per passo quando autorizzi un pagamento sul bookmaker
Vediamo la sequenza esatta, perché capirla aiuta a riconoscere dove si può inceppare. Quando inserisci i dati della Postepay nel form di pagamento di un bookmaker ADM e clicchi “conferma”, parte questa cascata di eventi.
Primo passaggio: il bookmaker invia i dati della carta al proprio gateway di pagamento, che è un servizio bancario di intermediazione. Il gateway riconosce il BIN della Postepay e capisce che è una carta Poste Italiane. Secondo passaggio: il gateway interroga il circuito 3D Secure di Mastercard o Visa (a seconda del circuito su cui gira la tua Postepay), comunicando importo, divisa, ID transazione e dati del commerciante. Terzo passaggio: il circuito inoltra la richiesta a Poste Italiane, che è l’emittente.
Quarto passaggio: Poste Italiane decide come autenticarti. Se hai attivato l’autenticazione tramite app, riceverai una notifica push entro pochi secondi. Se non l’hai attivata, riceverai un OTP via SMS al numero registrato. Quinto passaggio: tu approvi (con biometria sull’app, oppure inserendo il codice ricevuto via SMS sul form del bookmaker). Sesto passaggio: la conferma viaggia indietro lungo la catena, Poste autorizza, il gateway autorizza, il bookmaker accredita il saldo sul tuo conto gioco.
Se tutto va bene, dal clic iniziale al saldo aggiornato passano dai 10 ai 30 secondi. I tempi più lunghi (oltre i 60 secondi) sono di solito segnali di problemi: rete cellulare debole, antifrode bookmaker che ha attivato un controllo manuale, sovraccarico dei server di Poste in orari di picco. Se l’OTP non arriva entro un minuto, è inutile aspettare passivamente: meglio chiudere e riprovare.
Un dettaglio normativo recente che entra in gioco: dal 9 ottobre 2025 è obbligatorio per i prestatori di servizi di pagamento effettuare la verifica in tempo reale sull’IBAN e sui dati del beneficiario del bonifico. Questa norma riguarda i bonifici e non direttamente il 3D Secure dei pagamenti con carta, ma incide sui prelievi: il primo prelievo dopo il 9 ottobre 2025 può richiedere alcune ore in più rispetto a prima, perché il sistema ha aggiunto un controllo nominativo sulla destinazione del bonifico.
L’OTP non arriva: cinque cause concrete e come uscirne in un minuto
L’incubo classico del giocatore italiano è questo: deposito da fare, OTP da ricevere, telefono che non vibra. Vediamo i motivi reali, in ordine di frequenza, e cosa fare per ciascuno.
Causa numero uno: copertura cellulare insufficiente. Sei in un edificio con muri spessi, in metropolitana, in zona montana. Il gateway SMS di Poste invia il messaggio, ma il tuo dispositivo non lo riceve. Cosa fare: spostarsi in un punto con segnale, attendere 30-60 secondi e riprovare la transazione. Se il tempo della giocata sta scadendo e non hai modo di muoverti, prova a passare al Wi-Fi e usa l’autenticazione tramite app, che non dipende dalla rete cellulare.
Causa numero due: numero di telefono non aggiornato. Hai cambiato cellulare di recente e non hai aggiornato il numero su Poste Italiane. L’OTP viene inviato al vecchio numero, che ovviamente non lo riceve. Cosa fare: serve aggiornare il numero, e questo si fa o dall’app Postepay (sezione “I miei dati”) oppure in ufficio postale. Non è un’operazione istantanea: la modifica dal numero vecchio al nuovo richiede in genere 24-48 ore di propagazione sui sistemi.
Causa numero tre: il sistema antifrode del bookmaker ha messo in coda la transazione. In questo caso, il 3D Secure non viene proprio attivato — il pagamento è in attesa di un controllo manuale lato bookmaker. Cosa fare: contattare l’assistenza del bookmaker (chat o email), spiegare che la transazione è in attesa, attendere lo sblocco. Tempi tipici: tra qualche minuto e qualche ora.
Causa numero quattro: SIM swap o tentativo di intrusione. Più rara, ma esiste: qualcuno ha tentato di clonare il tuo numero per intercettare gli OTP. Poste Italiane in questi casi può sospendere automaticamente l’invio degli SMS verso quel numero. Cosa fare: contattare il servizio clienti del proprio operatore mobile e di Poste Italiane immediatamente. Bloccare la carta dall’app come precauzione.
Causa numero cinque: malfunzionamento dei server Poste o del gateway 3D Secure. Capita, raramente, in occasione di eventi sportivi importanti che generano picchi di traffico. La soluzione è solo una: aspettare, riprovare. Se hai notato il problema su più transazioni di seguito e su più siti diversi, è quasi certamente un disservizio centralizzato e non un problema tuo.
Il 3D Secure è la spina dorsale della sicurezza, ma non è l’unico strato. Per capire il quadro completo delle minacce e delle difese in questo ambito, vale la pena leggere la protezione di Postepay contro frodi e phishing sui bookmaker, che entra nel merito dei rischi specifici e di come riconoscerli.