Contador de intentos de PIN
Protege a tus clientes ante intentos fallidos de PIN, rechazando automáticamente compras con chip cuando se supera el límite permitido.
Introducción
Cuando uno de tus clientes ingresa su PIN de forma incorrecta repetidas veces en una terminal EMV (chip), el contador de intentos de PIN de la tarjeta llega a cero (ya que es un contador que vive Offline en el chip de la tarjeta).
En Pomelo, si a partir de ese punto la tarjeta intenta hacer una compra sin PIN, consideramos que superó el límite permitido y rechazamos la transacción automáticamente, protegiendo a tu usuario de posibles usos fraudulentos.
Alcance
| Dimensión | Detalle |
|---|---|
| País | 🇲🇽 México |
| Red | Mastercard y Visa |
| Tipo de entrada | EMV (chip) |
| Operaciones impactadas | Compras (purchase) y retiros de efectivo (extracash) con chip |
| Operaciones no impactadas | Extracciones de ATM, consultas de saldo, transacciones por e-commerce, banda magnética o manual |
Funcionamiento
El flujo general es el siguiente:
- Tu usuario ingresa su PIN de forma incorrecta repetidas veces en una terminal EMV.
- El contador de intentos de PIN de la tarjeta (que vive Offline en el chip) llega a cero.
- Si la tarjeta intenta una compra o extracash EMV sin PIN, evaluamos el contador y rechazamos la transacción.
- Te notificamos vía webhook con el detalle del rechazo para que puedas comunicárselo a tu usuario.
Compra EMV sin PIN con el contador en 0
Cuando el contador de intentos de PIN llega a cero y recibimos una compra o extracash EMV sin PIN, rechazamos la transacción sin importar el límite de CVM configurado.
La respuesta que generamos es:
| Campo | Valor |
|---|---|
status | REJECTED |
status_detail | PIN_TRY_LIMIT_EXCEED |
extra_detail | Allowable number of PIN tries exceeded |
| Código Mastercard y Visa | 75 y 55 — Invalid PIN |
Además, te enviamos una notificación vía webhook con estos mismos valores, para que puedas comunicarle a tu cliente que debe cambiar su PIN o solicitar la reposición o reimpresión de la tarjeta.
Compra EMV con PIN y el contador en 0
Si la transacción llega con PIN (incluso con el contador en cero), validamos el PIN normalmente y el flujo continúa sin modificaciones.
Retiros de ATM y consultas de saldo con el contador en 0
Las extracciones de efectivo y consultas de saldo no están afectadas por el contador en cero, ya que el PIN siempre viaja de forma online. El flujo continúa según sus propias reglas.
Compras con contador mayor a 0
Si el contador de intentos de PIN es mayor a cero y llega una compra sin PIN, aprobamos la transacción según el límite de CVM configurado (tus reglas de fraude).
Transacciones por otros canales (e-commerce, banda magnética, manual)
Las transacciones que no son EMV no tienen contador de intentos de PIN. Su flujo no cambia y siguen tus propias reglas de fraude.
Resumen de comportamientos
| Escenario | Contador | Con PIN | Resultado |
|---|---|---|---|
| Compra / extracash EMV con PIN | 0 | ✅ | Validamos el PIN. Flujo normal. |
| Compra / extracash EMV sin PIN | 0 | ❌ | REJECTED — PIN_TRY_LIMIT_EXCEED |
| Compra EMV sin PIN | > 0 | ❌ | Aprobamos la transacción si el monto es menor o igual a las reglas configuradas en tu motor de fraude (contáctanos si necesitas modificarlas) |
| Extracción ATM / consulta de saldo | 0 | ✅ | Validamos el PIN. Flujo normal. |
| E-commerce / banda magnética / manual | — | — | Sin cambios. Sigue tus propias reglas de fraude. |
Notificación al usuario final
Cuando rechazamos una transacción por PIN_TRY_LIMIT_EXCEED, te enviamos automáticamente una notificación vía webhook con el detalle del rechazo. Tu backend puede usar esa información para:
- Notificar a tu usuario que su tarjeta no puede operar con chip hasta que cambie el PIN.
- Redirigirlo a un ATM habilitado para hacer el cambio de PIN (lo que también resetea el contador).
- Iniciar un proceso de reposición o reimpresión de tarjeta si fuera necesario.
- Mostrarle cuál es su PIN a través de la Cards API.
status_detail y extra_detail que enviamos en el webhook son los mismos que figuran en el rechazo de la transacción, para que puedas mapearlos directamente en tu lógica de notificaciones.Preguntas frecuentes
¿Qué pasa si el usuario cambia su PIN en un ATM?
El cambio de PIN en un ATM resetea el contador de intentos de PIN de la tarjeta. A partir de ese momento, la tarjeta puede volver a operar con chip normalmente.
¿Esta funcionalidad aplica a tarjetas virtuales?
No. Las tarjetas virtuales no operan con chip (EMV), por lo que no tienen contador de intentos de PIN. Esta funcionalidad aplica exclusivamente a tarjetas físicas.
¿Qué pasa si el cliente tiene bloqueado el canal de ATM?
Si el canal de ATM está bloqueado, tu cliente no puede realizar el cambio de PIN en un cajero y, por lo tanto, el contador no puede resetearse. En ese caso, la única alternativa es la reposición o reimpresión de la tarjeta.
¿Se puede configurar el límite de intentos de PIN?
Sí. El límite por defecto es de 3 intentos y se configura en el perfil de la tarjeta. Si necesitas un valor distinto, infórmale a tu Account manager antes de emitir tus tarjetas.
¿Aplica a transacciones internacionales?
No se distingue todavía entre operaciones domésticas e internacionales: ambas siguen el mismo comportamiento. La separación de límites por alcance geográfico está fuera del MVP actual.