Incident 3DS / 3D Secure Incident

Update timeline

1. monitoring Jul 14, 2026, 09:09 AM UTC

   FR Un incident a affecté le service d'authentification 3DS pour les transactions Mastercard entre 09h18 et 10h30, entraînant des échecs d'authentification avec le code erreur 4009. L'incident est désormais résolu et le service est de nouveau pleinement opérationnel. EN An incident affected the 3DS authentication service for Mastercard transactions between 09:18 and 10:30, resulting in authentication failures with error code 4009. The incident has now been resolved, and the service is fully operational again.

2. identified Jul 15, 2026, 07:24 AM UTC

   FR Nous constatons une résurgence de l'incident avec des erreurs affectant le service d'authentification 3DS pour les transactions Mastercard. Nos équipes sont mobilisées pour restaurer le service le plus rapidement possible. EN We are observing a recurrence of the incident, with errors affecting the 3D Secure authentication service for Mastercard transactions. Our teams are fully mobilised to restore the service as quickly as possible.

3. identified Jul 15, 2026, 07:38 AM UTC

   FR Les transactions impactées tombent en 5005 depuis 9h. Nos équipes poursuivent les analyses pour restaurer le service au plus vite. EN Affected transactions have been returning a 5005 error code since 9:00 am. Our teams are continuing their investigations to restore the service as quickly as possible.

4. identified Jul 15, 2026, 07:47 AM UTC

   FR L’incident est d’origine externe et provient de Mastercard. Nos équipes sont mobilisées et en surveillance de l'évolution de cet incident externe. EN The incident is external in origin and originates from Mastercard. Our teams remain fully mobilised and are closely monitoring the progress of this external incident.

5. identified Jul 15, 2026, 08:28 AM UTC

   FR Nous observons une amélioration depuis 10h10. Certaines transactions continuent cependant de tomber en erreur. Nos équipes sont en contact avec Mastercard et restent mobilisées. EN We have observed an improvement since 10:10 am. However, some transactions are still returning errors. Our teams are in contact with Mastercard and remain fully mobilised.

6. monitoring Jul 15, 2026, 08:57 AM UTC

   FR Nous observons une nette amélioration depuis 10h39 et la situtation semble revenir en nominal. Nos équipes sont en contact avec Mastercard et restent mobilisées. EN We have observed a significant improvement since 10:39 am, and the situation appears to be returning to normal. Our teams are in contact with Mastercard and remain fully mobilised.

7. resolved Jul 15, 2026, 09:19 AM UTC

   FR L'incident est terminé et la situation est revenue en nominale. EN The incident has been resolved and the situation has returned to normal.

8. postmortem Jul 16, 2026, 12:17 PM UTC

   # _English version below_ # Post Mortem **Référence incident** TSR-3495 **Service concerné** Paiements E-commerce et 3DS. **Impact client** Impossibilité d’effectuer des paiements pour les porteurs. **Synthèse de l’incident** * **13 juillet :** tentative de renouvellement d’un certificat qui expirera le 15 juillet. Une erreur a provoqué l’échec du renouvellement du certificat. Le délai imposé par Mastercard pour régénérer un certificat repousse l’opération au lendemain. * **14 juillet 9h17 :** mise à jour par le prestataire externe. **Début de l’incident.** * **14 juillet 10h : identification de l’origine de l’incident.** Déploiement du certificat corrigé. * **14 juillet 10h29 : fin de l’incident.** ‌ **Root cause** Dans le cadre d’une intervention menée par un prestataire externe, un certificat utilisé pour sécuriser les échanges a été retiré de manière anticipée alors qu'il était encore valide pendant 24 heures. Une basculte automatique sur un autre certificat s’est déclenchée. Cependant, la configuration de ce certificat, bien que valide, n’était pas reconnue par Mastercard ce qui a entraîné le blocage des appels 3DS malgré la validité du nouveau certificat. **Actions prises par Payplug** | **Symptômes** | **Actions** | | --- | --- | | Méconnaissance de la suppression d’un certificat 24h avant son expiration. | Révision de la documentation sur l’expiration des certificats. | | Absence d’alerte spécifique sur la bascule automatique de certificat 24h avant l’expiration. | Ajout d’une alerte spécifique concernant le mécanisme de bascule automatique intervenant 24 heures avant l'expiration d'un certificat. | ‌ ==============ENGLISH VERSION============== # Post Mortem **Incident reference** TSR-3495 **Payment services affected by the incident** E-commerce payments and 3D Secure. **Client impact** Cardholders were unable to make payments. **Incident Overview** * **13 July:** an attempt was made to renew a certificate due to expire on July, 15th. An error caused the certificate renewal to fail. The waiting period imposed by Mastercard before a new certificate can be generated meant that the operation had to be postponed until the following day. * **14 July, 9:17 am:** update deployed by the external service provider. **Incident began.** * **14 July, 10:00 am: root cause identified.** Deployment of the corrected certificate. * **14 July, 10:29 am: incident resolved.** ‌ **Root cause** As part of an intervention carried out by an external service provider, a certificate used to secure communications was removed prematurely, even though it remained valid for a further 24 hours. This triggered an automatic switchover to another certificate. However, although this certificate was valid, its configuration was not recognised by Mastercard, resulting in 3DS requests being blocked despite the validity of the new certificate. **Actions taken by Payplug** | **Symptoms** | **Actions** | | --- | --- | | Lack of awareness that a certificate is removed 24 hours before its expiry. | The certificate expiry documentation is being reviewed. | | No specific alert was in place for the automatic certificate switchover occurring 24 hours before expiry. | A specific alert is currently being implemented for the automatic certificate switchover mechanism that takes place 24 hours before a certificate expires. |