Näme üçin asyl töleg görnüşlerini ulanmak möhümdir?

Töleg görnüşi - ulanyjynyň iň duýgur maglumatlary girizýän nokady: kartoçkanyň belgisi, CVC, gapjyklaryň girelgeleri. Eger görnüş asyl däl bolsa (galp sahypa, üpjün edijiniň hosted-formasynyň ýerine söwdanyň kartynyň "öz-özüni ýazýan" meýdany, döwülen integrasiýa), siz maglumatlaryň syzmagy, bankyň şowsuzlygy, chargeback-ler we blokirlemeler howpuny başdan geçirýärsiňiz. Asyl görnüşi, howpsuzlyk şahadatnamasyndan geçen we dogry ssenariýa (iFrame/Hosted Fields/redirect) birikdirilen töleg üpjün edijisiniň (PSP/bank) sahypasy/widjetidir.

"Asyl töleg görnüşi" näme?

PSP-de hosted: PAN/CVC/möhleti - üpjün edijiniň iFrame/Hosted Fields içinde ýa-da onuň domeninde (redirect).

PCI DSS-e laýyk gelýär: satyjy "çig" kartoçka maglumatlaryny görmeýär we saklamaýar, diňe belgi alýar.

"Secure 2" SCA/3-D goldaýar: bank arkaly tölegi tassyklamak (push/SMS/biometrika).

Berk TLS, HSTS, CSP, clickjacking gorag protokollary bilen goralýar.

Kesgitläp bolýar: dogry domen/şahadatnama we söwdanyň jikme-jiklikleri bilen öňünden aýdyp boljak UX.

Näme üçin bu möhüm (ulanyjy we işewürlik üçin)

Ulanyjy üçin

Kart maglumatlarynyň goragy: kartyň meýdanlarynyň tokenizasiýasy we izolýasiýasy merçantyň we skriptleriň "gözüni" aýyrýar.

Fişing we hasabyň ogurlanmagy az: alyjynyň ady we 3-DS2 tölegiňizi tassyklaýar.

Üstünlikli tölemek mümkinçiligi has ýokary: dogry integrasiýa = tehniki näsazlyklardan az.

Iş üçin

Komplayens we az jerimeler: PCI DSS-e laýyk gelmek auditiň jogapkärçiligini we bahasyny peseldýär.

Az şargeback-ler: 3-DS2 jedelde jogapkärçiligi emitente geçirýär.

Has köp öwrülişik: çalt SCA, Apple/Google Pay, one-click üçin saklanan bellikler.

Markany goramak: "formjeking" (zyýanly skriptleri goýmak) we syzdyrmalar ýok.

Dogry integrasiýa nähili bolmaly

1. Söwda sahypasynyň içindäki PSP ýa-da Hosted Fields/iFrame domenine giriş.

2. Kartyň meýdanlary (PAN/CVC/expiry) tehniki taýdan üpjün edijä degişlidir - söwda belligini alýar.

3. 2-nji SCA/3-DS awtomatiki usulda işe girizilýär: bankyň programmasyna push, biometrik, SMS kody.

4. Sahypa derejesindäki goraglar: HSTS, Content Security Policy (CSP), X-Frame-Options, nonce/script heşleri.

5. Arassa UX: ýekeje şrift/düzme ýa-da PSP markaly widget, söwdagäriň dogry descriptor.

Asyl däl görnüşler näme üçin howply?

Formjacking (Magecart): zyýanly JS PAN/CVC "uçup barýarka" düşürýär.

Fişing/domeni çalyşmak: meňzeş URL-ler, galp logotipler, "gulp" özi hiç zady kepillendirmeýär.

PCI-ni berjaý etmezlik: jerimeler, hökmany barlaglar, satyn almagyň petiklenmegi.

Ret etmek we saklamak: emitentler "çal" integrasiýalary kesýärler, has köp "Do not honor".

KYC syzmagy: "iki tarapdan surat kartoçkasynyň" we e-poçta arkaly pasportyň soralmagy - gödek düzgün bozma.

Asyl görnüşiniň alamatlary (ulanyjy üçin)

Kartyň meýdançalary gurlan iFrame-de (kiçijik penjiräniň içindäki kursor we çarçuwa) ýa-da belli PSP/bankyň domenine düşýärsiňiz.

Salgy setiri: HTTPS, tassyklanan şahadatnama, dogry domen.

3-D Secure/SCA awtomatiki usulda peýda bolýar (bankyňyzdan/SMS/biometrik).

PAN/CVC/surat kartlaryny söhbetdeşlige/poçta ibermek barada haýyş ýok.

Gizlinlik syýasaty we töleg şertleri açylýar we okalýar.

Gyzyl baýdaklar (birbada dur)

Kartyň meýdanlary gönüden-göni iFrame/Hosted Fields-siz söwdanyň web sahypasynda.

E-poçta/habarçy ýa-da "iki tarapdan surat kartoçkasy" arkaly PAN/CVC soraýarlar.

Domen geň: 'pay-secure. shop-brand-verify. Marka/PSP domeniniň ýerine net '.

Sahypa töleg ädiminde öýjükli däl çeşmeleri (http) çekýär ýa-da şahadatnama "ant içýär".

Döwülen lokalizasiýa, piksel logotipleri, orfo ýalňyşlyklary, "töle 2:59" wagtlary.

Ulanyjy üçin çek sanawy (1 minut)

Töleg PSP ýa-da iFrame/Hosted Fields-da gaýtadan işlemek arkaly amala aşyrylýar.
HTTPS/şahadatnama dogry, domen üýtgemez.
SCA/3-DS2 işledi (push/SMS/biometrika).
PAN/CVC/surat kartlaryny söhbetdeşlige/poçta iberemok.
Gizlinlik syýasaty we aragatnaşyklar elýeterli.

Işewürlik üçin barlag sanawy (integrasiýa/howpsuzlyk)

Hosted Fields/iFrame ýa-da PSP redirektini ulanýaryn; satyjy PAN/CVC görmeýär.
PCI DSS: SAQ A/SAQ A-EP integrasiýa, tokenizasiýa, torlary bölmek görnüşi boýunça.
CSP/HSTS/XFO goşuldy; daşarky skriptlar - allow-list/nonce heşleri bilen.
3-DS 2/SCA; fallback на OTP/push; Wallets goldawy (Apple/Google Pay).
Öňdäki üýtgeşmelere gözegçilik etmek (SRI, kanareýa skriptleri), formjackingden goramak.
Düşnükli tekstler: Kim satyn alyjy/PSP, maglumatlaryň nähili işlenýändigi, yzyna gaýtarmagyň wagty.
Yzygiderli pentestler we endiklere gözegçilik etmek (SCA - Software Composition Analysis).

Adaty meseleler we olary nädip çalt çözmeli

Alamat	Sebäp	Çözgüt
Köp "Declined/Do not honor"	Nädogry integrasiýa, 3-DS2 ýoklugy	3-DS2, BIN-düzgünleri, descriptor we MCC barlaň
Müşderiler "fermalardan" zeýrenýärler	Form jeking/zararkun frontendde	CSP/SRI-ni açyň, Hosted Fields-a meýdançalary geçiriň, forensika we açar aýlanmagy
E-poçta arkaly kartoçkanyň suratyny soraýar	Sapport prosesi nädogry	Haýal etmän gadagan etmek; diňe PAN/CVC bolmasa, ygtybarly KYC üpjün edijisi arkaly
Bank köplenç SCA soraýar	Töwekgelçilik signallary/täze enjamlar	Orkestrlemegi guruň, bellikleri/enjamlary saklaň, özüňi alyp barşyň skoringini gowulandyryň

FAQ (gysgaça)

Adres setirindäki gulplama = howpsuz?

Ýok. Bu diňe şifrlemek. Domene, hosted görnüşine, 3-DS2 we syýasata serediň.

Näme üçin iFrame saýtda has gowy?

Sebäbi PAN/CVC PSP-e gönüden-göni gidýär we söwda frontuna degişli däl - töwekgelçilikler we PCI talaplary az.

Telefon/söhbetdeşlik arkaly kart maglumatlaryny alyp bolarmy?

Ýok. Bu PCI-iň gödek bozulmagydyr. Hosted formaly töleg baglanyşygyny/invoysyny ulanyň.

Eger forma SCA bolmasa "asylsa"?

Toruňyzy/brauzeriňizi täzeden açyň. PSP açylýan penjirelerini/skriptlerini bloklamaýandygyňyzy barlaň.

Kompaniýa üçin kiçi syýasat (taýýar çarçuwa)

1. Diňe Hosted Fields/PAN/CVC üçin redaktirleme.

2. 3-DS 2/SCA kartlar üçin hökmanydyr; Apple/Google Pay birikdirildi.

3. CSP/HSTS/XFO/SRI + domenleriň berk allow-list.

4. Skriptleri çalyşmak üçin front we alertlere gözegçilik etmek.

5. SAQ/PCI auditi her ýyl; meýilnama boýunça pentestalar.

6. Sapport hiç haçan PAN/CVC/surat kartasyny soramaýar; Diňe goralýan KYC kanallary.

Asyl töleg görnüşi estetika däl, howpsuzlyk we kanunylyk. Hosted meýdanlary, tokenizasiýa we SCA kart eýesini goraýar, öwrülişigi ýokarlandyrýar we töwekgelçilikleriň ep-esli bölegini işden aýyrýar. Ulanyjy üçin - domeni, görnüşi we SCA barlamak; işewürlik - diňe frontuň berk goragy bilen kepillendirilen integrasiýalary ulanmak. Bu düzgünleri ýerine ýetirip, maglumatlaryň syzmagy we töleg şowsuzlygy ssenarileriniň 90% -ini ýapýarsyňyz.