Kriptovalyutalar
Torrent Gear
Orijinal ödəniş formalarından istifadə etmək niyə vacibdir?
Ödəniş forması istifadəçinin ən həssas məlumatları daxil etdiyi nöqtədir: kart nömrəsi, CVC, pul kisələrinin girişləri. Əgər forma orijinal deyilsə (saxta sayt, provayderin hosted forması əvəzinə satıcının kartının «öz-özünə yazılmış» sahəsi, sınıq inteqrasiya), siz məlumat sızması, bankın nasazlığı, chargeback və kilidləmə riski ilə üzləşirsiniz. Orijinal forma - təhlükəsizlik sertifikatından keçmiş və düzgün ssenari (iFrame/Hosted Fields/redirect) ilə qoşulmuş ödəniş provayderinin (PSP/bank) səhifəsi/widgetidir.
«Orijinal ödəniş forması» nədir
PSP hosted: PAN/CVC/period sahələri - iFrame/Hosted Fields provayderi daxilində və ya onun domenində (redirect).
PCI DSS uyğun: satıcı «xam» kart məlumatlarını görmür və saxlamır, yalnız token alır.
Secure 2 SCA/3-D dəstəkləyir: bank vasitəsilə ödənişin təsdiqlənməsi (push/SMS/biometrik).
Ciddi TLS, HSTS, CSP, clickjacking qorunması protokolları ilə qorunur.
Müəyyən edilə bilər: düzgün domen/sertifikat və merchant rekvizitləri ilə proqnozlaşdırıla bilən UX.
Niyə kritik (istifadəçi və biznes üçün)
İstifadəçi üçün
Kart məlumatlarının qorunması: kart sahələrinin tokenizasiyası və izolyasiyası merchant və skriptlərlə «baxılmasını» istisna edir.
Daha az fişinq və hesab oğurluğu: alıcının adı və 3-DS2 sizin bankınıza ödənişi təsdiqləyir.
Uğurlu ödəniş şansı daha yüksəkdir: düzgün inteqrasiya = texniki uğursuzluqlardan daha azdır.
Biznes üçün
Uyğunluq və daha kiçik cərimələr: PCI DSS uyğunluğu audit məsuliyyəti və dəyəri azaldır.
Daha az chargeback: 3-DS2 mübahisədə məsuliyyəti emitentə verir.
Daha çox dönüşüm: sürətli SCA, Apple/Google Pay, one-click üçün saxlanılan tokenlər.
Brendin qorunması: «formjacking» (zərərli skriptlərin yerləşdirilməsi) və sızmaların olmaması.
Düzgün inteqrasiya necə olmalıdır
1. PSP domeninə və ya Hosted Fields/iFrame ticarət səhifəsi daxilində.
2. Kart sahələri (PAN/CVC/expiry) texniki olaraq provayderə məxsusdur - satıcı token alır.
3. SCA/3-DS 2 avtomatik olaraq işə salınır: bank tətbiqinə basın, biometrik, SMS kodu.
4. Səhifə səviyyəsində qorunmalar: HSTS, Content Security Policy (CSP), X-Frame-Options, nonce/script xeşləri.
5. Saf UX: vahid şrift/düzüm və ya PSP markalı widget, düzgün tacir descriptor.
Qeyri-orijinal formalar təhlükəlidir
Form cekinqi (Magecart): zərərli JS PAN/CVC «uçarkən» çıxarır.
Fishing/domen dəyişikliyi: oxşar URL, saxta loqotiplər, «kilid» özü heç bir şeyə zəmanət vermir.
PCI-yə əməl edilməməsi: cərimələr, məcburi auditlər, ekvayrinqin bloklanması.
Uğursuzluqlar və tutulmalar: emitentlər «boz» inteqrasiyanı kəsirlər, daha çox «Do not honor».
KYC sızması: sorğu «hər iki tərəfdən foto kart» və e-poçt pasportu - kobud pozuntu.
Orijinal forma əlamətləri (istifadəçi üçün)
Kart sahələri daxili iFrame (kiçik pəncərənin içindəki kursor və çərçivə) və ya məşhur PSP/Bank domeninə düşür.
Ünvan sətri: HTTPS, etibarlı sertifikat, düzgün domen səhvsiz.
3-D Secure/SCA avtomatik olaraq görünür (bankınızdan push/SMS/biometrik).
PAN/CVC/foto kartları chat/poçt göndərmək üçün sorğu yoxdur.
Gizlilik siyasəti və ödəniş şərtləri açılır və oxunur.
Qırmızı bayraqlar (dərhal dayandırın)
Kart sahələri birbaşa iFrame/Hosted Fields olmadan ticarət saytında.
PAN/CVC-ni e-poçt/messencer və ya «hər iki tərəfdən foto kartlar» vasitəsilə xahiş edirlər.
Domen qəribədir: 'pay-secure. shop-brand-verify. net 'marka domain əvəzinə/PSP.
Səhifə ödəniş mərhələsində qeyri-secure resursları (http) çəkir və ya sertifikata «söyür».
Sınıq lokalizasiya, piksel loqotipləri, yazım səhvləri, zamanlayıcılar «ödəyin 2:59».
İstifadəçi üçün çek siyahısı (1 dəqiqə)
- Ödəniş PSP və ya iFrame/Hosted Fields-da redirect vasitəsilə həyata keçirilir.
- HTTPS/sertifikat etibarlıdır, domen dəyişdirilmədən.
- SCA/3-DS2 işlədi (push/SMS/biometrik).
- PAN/CVC/şəkil kartlarını chat/poçt göndərmirəm.
- Gizlilik siyasəti və əlaqə saxlamaq.
Biznes üçün çek siyahısı (inteqrasiya/təhlükəsizlik)
- Hosted Fields/iFrame və ya PSP redirect istifadə; satıcı PAN/CVC görmür.
- PCI DSS: SAQ A/SAQ A-EP inteqrasiya növü, tokenizasiya, şəbəkə seqmentasiyası.
- CSP/HSTS/XFO daxil; xarici skriptlər - allow-list/nonce ilə.
- 3-DS 2/SCA daxildir; fallback на OTP/push; Wallets dəstək (Apple/Google Pay).
- Cəbhə dəyişikliklərinin monitorinqi (SRI, kanarya skriptləri), formjacking qorunması.
- Aydın mətnlər: kim ekvayer/PSP, verilənlərin necə işləndiyi, qaytarma vaxtı.
- Mütəmadi pentestlər və asılılıq nəzarəti (SCA - Software Composition Analysis).
Tipik problemlər və onları tez həll etmək üçün necə
FAQ (qısa)
Ünvan çubuğunda kilid = təhlükəsiz?
Yox. Bu yalnız şifrələmə. Domen, hosted forması, 3-DS2 və siyasətə baxın.
Niyə iFrame saytdakı sahələrdən daha yaxşıdır?
Çünki PAN/CVC birbaşa PSP-yə gedir və ticarət cəbhəsinə toxunmur - daha az risk və PCI tələbləri.
Kart məlumatlarını telefon/çat vasitəsilə götürə bilərəmmi?
Yox. Bu kobud PCI pozuntusudur. Hosted forması ilə ödəniş linki/invoys istifadə edin.
Forma SCA olmadan «asılır»?
Yenidən başlayın, şəbəkəni/brauzeri yoxlayın. PSP açılır/skriptlərini bloklamadığınızdan əmin olun.
Şirkət üçün mini siyasət (hazır çərçivə)
1. Yalnız Hosted Fields/PAN/CVC üçün redirect.
2. 3-DS 2/SCA kartlar üçün məcburidir; Apple/Google Pay bağlı.
3. CSP/HSTS/XFO/SRI + ciddi allow-list domenləri.
4. Skriptlərin dəyişdirilməsi üçün cəbhə və həyəcan monitorinqi.
5. SAQ/PCI auditi hər il; pentestalar cədvələ görə.
6. Sapport heç vaxt PAN/CVC/foto kart tələb etmir; yalnız qorunan KYC kanalları.
Orijinal ödəniş forması estetika deyil, təhlükəsizlik və qanuniliydir. Hosted sahələri, tokenizasiya və SCA kart sahibini qoruyur, dönüşümü artırır və risklərin əhəmiyyətli bir hissəsini biznesdən çıxarır. İstifadəçi - domen, forma və SCA-nı yoxlamaq; biznes - yalnız ciddi cəbhə müdafiələri ilə sertifikatlaşdırılmış inteqrasiyadan istifadə etmək. Bu qaydalara uyğun olaraq, siz məlumat sızması və ödənişdən imtina ssenarilərinin 90% -ni bağlayırsınız.