Как проверить безопасность сайта при оплате

Даже у «известных» сайтов есть слабые места: поддельные платёжные формы, фишинговые домены, утечки карт из-за неправильной интеграции. Ниже — короткий и расширенный чек-листы, которые помогут быстро оценить риски перед оплатой и не отдать данные злоумышленникам.

60-секундный экспресс-чек (минимум, который нужно сделать)

1. Адресная строка: домен без ошибок/подмен (пример: `brand.com`, а не `brаnd.com` с похожими символами).

2. HTTPS и «замок»: соединение шифровано. Замок ≠ гарантия честности, но без него — сразу уходите.

3. Совпадение домена: платёжная форма на домене бренда или известного PSP (платёжного провайдера).

4. 3DS2/биометрия: при оплате картой банк запрашивает подтверждение (SMS/приложение/биометрия).

5. Визуальные несоответствия: орфографические ошибки, странные шрипы/логотипы, пиксельные иконки — повод остановиться.

6. Политика конфиденциальности/оферта: открываются, читаемы, нет пустых заглушек.

Если что-то из этого не сходится — не вводите данные карты/кошелька.

Расширенный чек-лист (5–7 минут)

1) Браузерные индикаторы и сертификат

HTTPS: должен быть на всех шагах оплаты, включая редиректы.

Сертификат TLS: действующий, выдан известным центром сертификации; имя домена совпадает.

HSTS: при повторном заходе сайт сразу форсирует HTTPS (браузер не даёт открыть HTTP-версию).

Нет «mixed content»: на платёжной странице не должно быть несекьюрных ресурсов (картинок/скриптов по HTTP).

2) Домен и бренд

Возраст и история домена: подозрительно «вчера зарегистрирован».

Единый бренд: домен сайта, кабинета и поддержки согласованы (а не мешанина из разных зон).

Контакты: реальный адрес, юр.название, ИНН/регномер (для финсервисов/казино — данные лицензии).

3) Поведение платёжной формы

Хостинг формы:

Встроенный iFrame от PSP или редирект на домен PSP — нормальная практика.
Поле ввода карты на основном сайте без iframe — повышенный риск (оператор сам «видит» PAN/CVV).
Tokenization: сайт явно пишет, что данные карты токенизируются и не хранятся у мерчанта.
Ограничения полей: маски ввода, запрет на вставку JS, автодетект BIN — признаки живой антифрод-логики.
Отсутствие автосохранения: браузер не предлагает «сохранить пароль» к полям карты/кошелька.

4) Стандарты и контроль

PCI DSS (для карт): упоминание соответствия и кто фактически обрабатывает PAN.

SCA/3DS2: двухфакторное подтверждение через банк.

AML/KYC: в правилах указаны базовые проверки — это нормально, а не «бюрократия».

Политики возвратов и споров: чётко прописаны сроки и порядок.

5) UI/UX-мелочи, которые часто выдают фишинг

Разные шрифты и «рваная» верстка на одном шаге.

Кнопки без ховеров/состояний (серые «картинки» вместо живых кнопок).

Сломанные локализации, странная валюта/часовой пояс.

Таймеры «Оплатите за 2:59, иначе всё пропадёт» — давление и манипуляции.

Особенности по методам оплаты

Банковские карты

3DS2 обязателен. Нет дополнительного подтверждения — высокий риск.

Не фотографируйте карту и не пересылайте PAN/CVV в чат «поддержки».

Сохранение карты — только если провайдер поддерживает токены и вы доверяете сайту.

Электронные кошельки / локальные методы

Логин — только на домене кошелька/банка, а не на сайте продавца.

Проверьте лимиты и комиссии перед подтверждением.

Криптовалюта

Сеть и адрес должны точно совпадать с указанными (TRC20/ERC20/BTC/LN).

Помните: транзакции безотзывны; двойная проверка адреса/суммы обязательна.

Оплата через кастодиальный сервис — проверяйте его репутацию и KYC.

Красные флаги (сразу стоп)

Нет HTTPS или браузер ругается на сертификат.

Домен с опечаткой/подменой символов, «зеркало» без объяснений.

Поля карты находятся на самом сайте без явного iFrame/PSP-редиректа.

Требуют фото карты с обеих сторон и паспорт в одном письме «для ускорения».

Обещают «без KYC», «любая страна без ограничений», «0% всегда».

Пишут «переведите на личную карту/кошелёк менеджера».

Что делать, если сомневаетесь

1. Остановитесь. Не вводите никаких данных.

2. Сверьте домен вручную, зайдите на сайт через закладку или поиском с нуля.

3. Проверьте кабинет банка/кошелька: нет ли незавершённых запросов авторизации.

4. Спросите поддержку (коротко и по делу) — кто их платёжный провайдер и есть ли PCI DSS/3DS2.

5. Оплатите альтернативно: через проверенный кошелёк/PSP; избегайте P2P на личные карты.

6. Сообщите банку при любой подозрительной авторизации, перевыпустите карту при утечке PAN/CVV.

Мини-политика для себя (шаблон)

Плачу только на HTTPS, с 3DS2/SCA и токенизацией.

Не передаю PAN/CVV/seed-фразы ни по письму, ни в чат.

Сохраняю карты только у проверенных провайдеров.

Для крипты — whitelist адресов и 2FA, маленький тестовый перевод перед крупной суммой.

При малейшем сомнении — другой метод/другой сайт.

FAQ (коротко)

Замок в адресной строке гарантирует безопасность?

Нет. Он лишь говорит о шифровании соединения. Сайт всё ещё может быть фишинговым.

Редирект на платёжный домен — это нормально?

Да, если домен — известного PSP. Главное — проверяйте адрес.

Поддержка просит данные карты «для быстрой проверки». Дать?

Никогда. Поддержка не должна видеть PAN/CVV.

Безопасная оплата — это дисциплина из нескольких простых правил: корректный домен, HTTPS/сертификат, 3DS2/SCA, видимая работа PSP/токенизации и отсутствие экзотических «обещаний». Делая минутную проверку каждый раз, вы закрываете 90% сценариев фишинга и утечки платёжных данных.