Რატომ არის მნიშვნელოვანი ორიგინალური გადახდის ფორმების გამოყენება

გადახდის ფორმა არის წერტილი, სადაც მომხმარებელი წარმოგიდგენთ ყველაზე მგრძნობიარე მონაცემებს: ბარათის ნომერი, CVC, საფულეების ლოგინები. თუ ფორმა არ არის ორიგინალური (ყალბი საიტი, ბარათის „თვითწერილი“ ველი პროვაიდერის მასპინძლის ფორმის ნაცვლად, გატეხილი ინტეგრაცია), თქვენ რისკავს მონაცემთა გაჟონვას, ბანკის უარის თქმას, chargeback-ami და საკეტებს. ორიგინალური ფორმა არის გადახდის პროვაიდერის გვერდი/ვიჯეტი (PSP/Bank), რომელმაც გაიარა უსაფრთხოების სერტიფიკაცია და დაკავშირებულია სწორი სცენარის მიხედვით (iFrame/Hosted Fields/redirect).

რა არის „ორიგინალური გადახდის ფორმა“

მასპინძელი PSP: PAN/CVC ველები/ვადები - iFrame/Hosted Fields პროვაიდერის შიგნით ან მის დომენზე (რედაქცია).

შეესაბამება PCI DSS: მატყუარა ვერ ხედავს და არ ინახავს ბარათის „ნედლეულ“ მონაცემებს, იღებს მხოლოდ ნიშანს.

მხარს უჭერს SCA/3-D Secure 2: გადახდის დადასტურება ბანკის მეშვეობით (push/SMS/ბიომეტრია).

დაცულია პროტოკოლებით: მკაცრი TLS, HSTS, CSP, დაცვა კლიკჯეკინგისგან.

იდენტიფიკაცია: სწორი დომენი/სერთიფიკატი და პროგნოზირებადი UX მერკანტის დეტალებით.

რატომ არის ეს კრიტიკული (მომხმარებლისთვის და ბიზნესისთვის)

მომხმარებლისთვის

ბარათის მონაცემების დაცვა: ბარათის მინდვრების ტოქსიკაცია და იზოლაცია გამორიცხავს მერჩანტისა და სკრიპტების „გადახედვას“.

ანგარიშის ნაკლები ფიშინგი და ქურდობა: მიმღების სახელი და 3-DS2 ადასტურებს თქვენი ბანკის გადახდას.

უფრო მაღალია წარმატებული გადახდის შანსი: სწორი ინტეგრაცია = ნაკლები ტექნიკური უკმარისობა.

ბიზნესისთვის

შესაბამისობა და ნაკლები ჯარიმები: PCI DSS- ის შესაბამისობა ამცირებს აუდიტის პასუხისმგებლობას და ღირებულებას.

ნაკლები chargeback: 3-DS2 პასუხისმგებლობას ასრულებს ემიტენტზე დავის დროს.

უფრო მეტი კონვერტაცია: სწრაფი SCA, Apple/Google Pay, შენახული ნიშნები ერთი კლიკისთვის.

ბრენდის დაცვა: „ფორმირების“ არარსებობა (მავნე სკრიპტების ინტეგრაცია) და გაჟონვა.

როგორ უნდა გამოიყურებოდეს სწორი ინტეგრაცია

1. PSP ან Hosted Fields/iFrame დომენის რედაქცია მერჩანტის გვერდის შიგნით.

2. ბარათის ველები (PAN/CVC/expiry) ტექნიკურად მიეკუთვნება პროვაიდერს - wiper იღებს ნიშანს.

3. SCA/3-DS 2 ავტომატურად იწყება: ბანკის განაცხადში ჩასმა, ბიომეტრია, SMS კოდი.

4. დაცვა გვერდის დონეზე: HSTS, შინაარსის უსაფრთხოების პოლიტიკა (CSP), X-Frame-Options, nonce/hashi სკრიპტებისთვის.

5. სუფთა UX: ერთი შრიფტი/მილის ან ბრენდის ვიჯეტი PSP, ვაჭრის სწორი descriptor.

რა არის საშიში არა ორიგინალური ფორმები

ფორმირება (Magecart): მავნე JS ამოღებულია PAN/CVC „ფრენაზე“.

დომენის ფიშინგი/ჩანაცვლება: მსგავსი URL, ყალბი ლოგოები, „ციხე“ თავისთავად არაფერს იძლევა.

PCI- ს შეუსრულებლობა: ჯარიმები, სავალდებულო აუდიტი, შეძენის დაბლოკვა.

წარუმატებლობები და შენარჩუნება: გამცემები ჭრიან „ნაცრისფერ“ ინტეგრაციას, უფრო მეტს, ვიდრე „ნუ“.

KYC გაჟონვა: მოთხოვნა „ბარათის ფოტო ორივე მხრიდან“ და ელექტრონული ფოსტის პასპორტები უხეში დარღვევაა.

ორიგინალური ფორმის ნიშნები (მომხმარებლისთვის)

ბარათის ველები განთავსებულია ინტეგრირებულ iFrame- ში (კურსორი და ჩარჩო „შიგნით“ პატარა ფანჯარა) ან თქვენ მოხვდებით ცნობილი PSP/ბანკის დომენში.

მისამართის სტრიქონი: HTTPS, ნამდვილი სერთიფიკატი, სწორი დომენი ტიპების გარეშე.

3-D Secure/SCA ავტომატურად ჩნდება (on/SMS/ბიომეტრია თქვენი ბანკიდან).

არ არის მოთხოვნა PAN/CVC/ბარათის ფოტო ჩეთ/ფოსტით გაგზავნა.

კონფიდენციალურობის პოლიტიკა და გადახდის პირობები იხსნება და იკითხება.

წითელი დროშები (დაუყოვნებლივ გაჩერება)

ბარათის ველები პირდაპირ მერჩანტის ვებსაიტზე iFrame/Hosted Fields- ის გარეშე.

ისინი ითხოვენ PAN/CVC ელექტრონულ ფოსტაზე/მესინჯერს ან „ბარათის ფოტოსურათს ორივე მხრიდან“.

დომენი უცნაურია: 'გადახდა-საიდუმლო. shop-brand-verify. net 'ბრენდის დომენის/PSP ნაცვლად.

გვერდი უბიძგებს არასასურველ რესურსებს (http) გადახდის ეტაპზე ან „ფიცს“ სერთიფიკატისთვის.

გატეხილი ლოკალიზაცია, პიქსელის ლოგოები, ორფოსები, ტაიმერები „გადაიხადე 2:59“.

მომხმარებლის ჩეკის სია (1 წუთი)

გადახდა ხდება რედაქციის საშუალებით PSP ან iFrame/Hosted Fields.
HTTPS/სერთიფიკატი სავალდებულოა, დომენი ჩანაცვლების გარეშე.
SCA/3-DS2 მუშაობდა (in/SMS/ბიომეტრია).
მე არ ვგზავნი PAN/CVC/ბარათის ფოტო ჩეთ/ფოსტით.
კონფიდენციალურობის პოლიტიკა და კონტაქტები ხელმისაწვდომია.

ჩეკების სია ბიზნესისთვის (ინტეგრაცია/უსაფრთხოება)

ვიყენებ Hosted Fields/iFrame ან redirect PSP; მერჩანტი ვერ ხედავს PAN/CVC.
PCI DSS: SAQ A/SAQ A-EP ინტეგრაციის, ტოკენიზაციის, ქსელების სეგმენტაციის თვალსაზრისით.
CSP/HSTS/XFO შედის; გარე სკრიპტები - allow-list- ით hash/nonce.
3-DS 2/SCA ჩართულია; fallback на OTP/push; მხარდაჭერა Wallets (Apple/Google Pay).
წინა ცვლილებების მონიტორინგი (SRI, კანარის სკრიპტები), დაცვა formjacking- ისგან.
მკაფიო ტექსტები: ვინ არის შეძენილი/PSP, როგორ ხდება მონაცემების დამუშავება, დაბრუნების დრო.
რეგულარული პენტესტები და დამოკიდებულების კონტროლი (SCA - Software Composition Analysis).

ტიპიური პრობლემები და როგორ უნდა მოგვარდეს ისინი სწრაფად

სიმპტომი	მიზეზი	გამოსავალი
ბევრი „Declined/Do not honor“	არასწორი ინტეგრაცია, 3-DS2 არარსებობა	ჩართეთ 3-DS2, შეამოწმეთ BIN წესები, descriptor და MCC
მომხმარებლები უჩივიან „ფროდებს“	Fordjecking/sessons ფრონტზე	ჩართეთ CSP/SRI, გადაიტანეთ ველები Hosted Fields- ში, წინსვლა და გასაღების როტაცია
ითხოვს ელექტრონული ფოსტის ბარათის ფოტოს	Sapport- ის არასწორი პროცესი	დაუყოვნებლივ აიკრძალოს; მხოლოდ დაცული KYC პროვაიდერის საშუალებით, PAN/CVC გარეშე
ბანკი ხშირად ითხოვს SCA- ს	რისკის სიგნალები/ახალი მოწყობილობები	შეაკეთეთ ორკესტრი, შეინახეთ ნიშნები/მოწყობილობები, გააუმჯობესეთ ქცევითი სკრიპტი

FAQ (მოკლედ)

მისამართის ზოლში საკეტი = უსაფრთხოა?

არა. ეს მხოლოდ დაშიფვრაა. უყურეთ დომენს, მასპინძელ ფორმას, 3-DS2 და პოლიტიკას.

რატომ არის iFrame უკეთესი, ვიდრე ველები საიტზე?

იმის გამო, რომ PAN/CVC პირდაპირ მიდის PSP- ზე და არ ეხება მერკანტის წინა მხარეს - ნაკლები რისკი და PCI მოთხოვნები.

შესაძლებელია თუ არა ბარათის მონაცემების მიღება ტელეფონით/ჩატში?

არა. ეს არის PCI უხეში დარღვევა. გამოიყენეთ გადახდის ბმული/მასპინძელი ფორმა.

თუ ფორმა „ეკიდა“ SCA- ს გარეშე?

გადატვირთეთ, შეამოწმეთ ქსელი/ბრაუზერი. დარწმუნდით, რომ არ დაბლოკოთ PSP ფანჯრები/სკრიპტები.

მინი პოლიტიკა კომპანიისთვის (მზა ჩარჩო)

1. მხოლოდ Hosted Fields/redirect for PAN/CVC.

2. 3-DS 2/SCA სავალდებულოა ბარათებისთვის; უკავშირდება Apple/Google Pay.

3. CSP/HSTS/XFO/SRI + მკაცრი ალოუ-ლისტი დომენები.

4. წინა და ალერტას მონიტორინგი სკრიპტების შეცვლაზე.

5. SAQ/PCI აუდიტი ყოველწლიურად; პენტესტები გრაფიკით.

6. საფორტე არასოდეს ითხოვს PAN/CVC/ბარათის ფოტოებს; მხოლოდ დაცული KYC არხები.

ორიგინალური გადახდის ფორმა არ არის ესთეტიკა, არამედ უსაფრთხოება და კანონიერება. მასპინძელი ველები, ტოკენიზაცია და SCA იცავს ბარათის მფლობელს, ზრდის კონვერსიას და ამოიღებს რისკების მნიშვნელოვან ნაწილს ბიზნესიდან. მომხმარებელს - შეამოწმოს დომენი, ფორმა და SCA; ბიზნესი - გამოიყენოთ მხოლოდ სერთიფიცირებული ინტეგრაცია წინა მკაცრი დაცვებით. ამ წესების შესაბამისად, თქვენ დახურავთ მონაცემთა გაჟონვის სკრიპტების 90% -ს და გადახდის უარს.