Perché è importante utilizzare i moduli di pagamento originali

Il modulo di pagamento è il punto in cui l'utente immette i dati più sensibili: il numero di carta, il CVC, i fogli di portafoglio. Se il modulo non è originale (un sito falso, un campo di mappatura «registrata» dal Merchant al posto del provider host, l'integrazione rotta), si rischia la perdita di dati, i guasti bancari, i proveback-ami e i blocchi. Il modulo originale è una pagina/widget del provider di pagamento (PSP/Bank) certificata di sicurezza e collegata in uno scenario corretto (iFrame/Hosted Fields/Redirect).

Cos'è la forma di pagamento originale?

Host in PSP: i campi PAN/CVC/scadenza sono all'interno del provider Fields o sul suo dominio (redirect).

Corrisponde a PCI DSS: il merchant non vede o memorizza i dati crudi della mappa e ottiene solo il token.

Supporta SCA/3-D Secure 2: conferma del pagamento tramite banca (push/SMS/biometria).

Protetto da protocolli: TLS rigoroso, HSTS, CSP, protezione da clickjacking.

Identificabile: un dominio/certificato corretto e un UX prevedibile con informazioni merchant.

Perché è critico (utente e business)

Per l'utente

Protezione dei dati cartacei: la tornizzazione e l'isolamento dei campi della mappa escludono lo «screening» da merchant e script.

Meno phishing e furto account: il nome del destinatario e 3-DS2 confermano il pagamento della banca.

Maggiore probabilità di pagamento: integrazione corretta = meno guasti tecnici.

Per l'azienda

Compliance e meno multe: la conformità PCI DSS riduce responsabilità e costi di verifica.

Meno marceback-a: 3-DS2 trasferisce la responsabilità all'emittente durante la discussione.

Più conversione: SCA veloce, Apple/Google Pay, token salvati per one-click.

Protezione del marchio: nessuna «formjecking» (incorporazione di script malevoli) o fuoriuscite.

Come deve essere la corretta integrazione

1. Redirett per il dominio PSP o Hosted all'interno della pagina del merchant.

2. I campi della mappa (PAN/CVC/expiry) appartengono tecnicamente al provider.

3. SCA/3-DS 2 si avvia automaticamente: spin per l'applicazione della banca, biometria, codice SMS.

4. Protezione a livello di pagina: HSTS, Content Security Policy (CSP), X-Frame-Options, nonce/hashtag per script.

5. Puro UX è un unico carattere/foglio o un vidget PSP personalizzato, un descriptor di venditore corretto.

Di cosa sono pericolose le forme non originali

Formjecking (Magecart) - Gli JS dannosi riprendono PAN/CVC al volo.

Phishing/cambio di dominio: URL simili, loghi falsi, «serratura» non garantisce nulla di per sé.

PCI non rispettato: multe, verifiche obbligatorie, blocco equairing.

Guasti e ritardi: gli emettitori tagliano le integrazioni grigie, più «Do not onore».

La richiesta di «foto della mappa da entrambe le parti» e il passaporto e-mail è una violazione grave.

Segni di forma originale (per l'utente)

I campi della mappa si trovano in un iFrame incorporato (il cursore e la cornice «all'interno» di una piccola finestra) oppure si arriva al dominio della nota PSP/banca.

La barra di indirizzo è HTTPS, il certificato di convalida, il dominio corretto senza errori.

3-D Secure/SCA viene visualizzato automaticamente (polvere/SMS/biometria dalla vostra banca).

Nessuna richiesta di inviare PAN/CVC/foto della mappa alla chat/posta elettronica.

La privacy e i termini di pagamento sono aperti e leggibili.

Bandiere rosse (stop immediato)

I campi della mappa sono direttamente sul sito del Merchant senza iFrame/Hosted Fields.

Chiedono PAN/CVC tramite e-mail/messaggistica o «foto della mappa da entrambe le parti».

Il dominio è strano: 'pay-secure. shop-brand-verify. net invece del dominio del marchio/PSP.

La pagina trascina risorse non specifiche (http) al passo di pagamento o «litiga» sul certificato.

Localizzazione rotta, logo pixel, orfanelle, timer «paga 2:59».

Assegno foglio utente (1 minuto)

Il pagamento viene effettuato tramite redirett su PSP o su Fields.
HTTPS/certificato validi, dominio senza cambio.
SCA/3-DS2 ha funzionato (sweep/SMS/biometria).
Non invio PAN/CVC/foto della carta alla chat/posta elettronica.
Le regole sulla privacy e i contatti sono disponibili.

Foglio di assegno aziendale (integrazione/sicurezza)

Uso di Hosted Fields/iFrame o redirett PSP; merchant non vede PAN/CVC.
PCI DSS: SAQ A/SAQ A-EP per tipo di integrazione, tornizzazione, segmentazione di rete.
CSP/HSTS/XFO abilitati; script esterni - allow-list con hashtag/nonce.
3-DS 2/SCA abilitato; fallback на OTP/push; Supporto per Wallets (Apple/Google Pay).
Monitoraggio delle modifiche del fronte (SRI, script canarini), protezione contro formjacking.
Testi chiari: chi è Equayer/PSP, come vengono elaborati i dati, i tempi di restituzione.
Pentesti regolari e controllo delle dipendenze (SCA - Software Composition Analysis).

Problemi tipici e come risolverli rapidamente

Sintomo	Causa	Soluzione
Un sacco dì Declined/Do not onore "	Integrazione errata, assenza di 3-DS2	Abilita 3-DS2, controlla regole BIN, descriptor e MCC
I clienti si lamentano dei frodi	Formjecking/malfunzionamento nel frontino	Abilita CSP/SRI, trasferisci i campi a Hosted Fields, Forensic e Rotazione chiavi
Chiede una foto della mappa via e-mail	Processo di sapport non valido	Disattiva immediatamente; solo tramite un provider KYC protetto, senza PAN/CVC
La banca richiede spesso SCA	Segnali di rischio/nuovi dispositivi	Configura l'orchestra, salva i token/dispositivi, migliora lo scorrimento comportamentale

FAQ (breve)

La serratura della rubrica = è sicura?

No, no. È solo una crittografia. Guarda il dominio, la forma host, 3-DS2 e la politica.

Perché è meglio dei campi sul sito?

Perché PAN/CVC vanno direttamente verso PSP e non riguardano il fronte del merchant - meno rischi e requisiti PCI.

Puoi prendere i dati della mappa per telefono/chat?

No, no. È una grave violazione del PCI. Utilizzare il collegamento di pagamento/fattura con il modulo ostello.

Se il modulo è appeso senza SCA?

Riavviare, controllare la rete/browser. Assicurati di non bloccare i popup/script PSP.

Mini-criterio aziendale (ossatura pronta)

1. Solo Hosted Fields/Redirect per PAN/CVC.

2. 3-DS 2/SCA obbligatorio per le carte; connessi Apple/Google Pay.

3. CSP/HSTS/XFO/SRI + dominio allow-list rigoroso.

4. Monitorare il fronte e gli alert per sostituire gli script.

5. SAQ/controllo PCI ogni anno; i pentesti sono programmati.

6. Sapport non richiede mai PAN/CVC/foto della mappa; solo canali KYC protetti.

La forma di pagamento originale non è estetica, ma sicurezza e legalità. I campi host, la tornizzazione e SCA proteggono il titolare della carta, migliorano la conversione e rimuovono la maggior parte dei rischi aziendali. Utente: controlla dominio, modulo e SCA alle imprese: utilizzare unicamente integrazioni certificate con rigide difese del fronte. In base a queste regole, si chiude il 90% degli scenari di perdita di dati e di guasti di pagamento.