Як перевірити безпеку сайту при оплаті

Навіть у «відомих» сайтів є слабкі місця: підроблені платіжні форми, фішингові домени, витоки карт через неправильну інтеграцію. Нижче - короткий і розширений чек-листи, які допоможуть швидко оцінити ризики перед оплатою і не віддати дані зловмисникам.

60-секундний експрес-чек (мінімум, який потрібно зробити)

1. Адресний рядок: домен без помилок/підмін (приклад: `brand. com', а не'brand. com'зі схожими символами).

2. HTTPS і «замок»: з'єднання шифровано. Замок ≠ гарантія чесності, але без нього - відразу йдіть.

3. Збіг домену: платіжна форма на домені бренду або відомого PSP (платіжного провайдера).

4. 3DS2/біометрія: при оплаті карткою банк запитує підтвердження (SMS/додаток/біометрія).

5. Візуальні невідповідності: орфографічні помилки, дивні шрипи/логотипи, піксельні іконки - привід зупинитися.

6. Політика конфіденційності/оферта: відкриваються, читаються, немає порожніх заглушок.

Якщо щось з цього не сходиться - не вводьте дані карти/гаманця.

Розширений чек-лист (5-7 хвилин)

1) Браузерні індикатори та сертифікат

HTTPS: повинен бути на всіх кроках оплати, включаючи редиректи.

Сертифікат TLS: діючий, виданий відомим центром сертифікації; ім'я домену збігається.

HSTS: при повторному заході сайт відразу форсує HTTPS (браузер не дає відкрити HTTP-версію).

Немає «mixed content»: на платіжній сторінці не повинно бути несекьюрних ресурсів (картинок/скриптів по HTTP).

2) Домен і бренд

Вік та історія домену: підозріло «вчора зареєстрований».

Єдиний бренд: домен сайту, кабінету і підтримки узгоджені (а не мішанина з різних зон).

Контакти: реальна адреса, юр. назва, ІПН/регномер (для фінсервісів/казино - дані ліцензії).

3) Поведінка платіжної форми

Хостинг форми:

Вбудований iFrame від PSP або редирект на домен PSP - нормальна практика.
Поле введення карти на основному сайті без iframe - підвищений ризик (оператор сам «бачить» PAN/CVV).
Tokenization: сайт явно пише, що дані карти токенізуються і не зберігаються у мерчанта.
Обмеження полів: маски введення, заборона на вставку JS, автодетект BIN - ознаки живої антифрод-логіки.
Відсутність автозбереження: браузер не пропонує «зберегти пароль» до полів карти/гаманця.

4) Стандарти та контроль

PCI DSS (для карт): згадка відповідності і хто фактично обробляє PAN.

SCA/3DS2: двофакторне підтвердження через банк.

AML/KYC: в правилах вказані базові перевірки - це нормально, а не «бюрократія».

Політики повернень і суперечок: чітко прописані терміни і порядок.

5) UI/UX-дрібниці, які часто видають фішинг

Різні шрифти і «рвана» верстка на одному кроці.

Кнопки без ховерів/станів (сірі «картинки» замість живих кнопок).

Зламані локалізації, дивна валюта/часовий пояс.

Таймери "Оплатіть за 2:59, інакше все пропаде" - тиск і маніпуляції.

Особливості за методами оплати

Банківські картки

3DS2 обов'язковий. Немає додаткового підтвердження - високий ризик.

Не фотографуйте карту і не пересилайте PAN/CVV в чат «підтримки».

Збереження карти - тільки якщо провайдер підтримує токени і ви довіряєте сайту.

Електронні гаманці/локальні методи

Логін - тільки на домені гаманця/банку, а не на сайті продавця.

Перевірте ліміти та комісії перед підтвердженням.

Криптовалюта

Мережа та адреса повинні точно збігатися із зазначеними (TRC20/ERC20/BTC/LN).

Пам'ятайте: транзакції безвідкличні; подвійна перевірка адреси/суми обов'язкова.

Оплата через кастодіальний сервіс - перевіряйте його репутацію і KYC.

Червоні прапори (відразу стоп)

Немає HTTPS або браузер лається на сертифікат.

Домен з помилкою/підміною символів, «дзеркало» без пояснень.

Поля карти знаходяться на самому сайті без явного iFrame/PSP-редиректу.

Вимагають фото карти з обох сторін і паспорт в одному листі «для прискорення».

Обіцяють «без KYC», «будь-яка країна без обмежень», «0% завжди».

Пишуть «переведіть на особисту карту/гаманець менеджера».

Що робити, якщо сумніваєтеся

1. Зупиніться. Не вводьте ніяких даних.

2. Звірте домен вручну, зайдіть на сайт через закладку або пошуком з нуля.

3. Перевірте кабінет банку/гаманця: чи немає незавершених запитів авторизації.

4. Запитайте підтримку (коротко і по справі) - хто їх платіжний провайдер і чи є PCI DSS/3DS2.

5. Оплатіть альтернативно: через перевірений гаманець/PSP; уникайте P2P на особисті картки.

6. Повідомте банку при будь-якій підозрілій авторизації, перевипустіть картку при витоку PAN/CVV.

Міні-політика для себе (шаблон)

Плачу тільки на HTTPS, з 3DS2/SCA і токенізацією.

Не передаю PAN/CVV/seed-фрази ні по письму, ні в чат.

Зберігаю картки тільки у перевірених провайдерів.

Для крипти - whitelist адрес і 2FA, маленький тестовий переклад перед великою сумою.

При найменшому сумніві - інший метод/інший сайт.

FAQ (коротко)

Замок в адресному рядку гарантує безпеку?

Ні, ні. Він лише говорить про шифрування з'єднання. Сайт все ще може бути фішинговим.

Редирект на платіжний домен - це нормально?

Так, якщо домен - відомого PSP. Головне - перевіряйте адресу.

Підтримка просить дані карти «для швидкої перевірки». Дати?

Ніколи. Підтримка не повинна бачити PAN/CVV.

Безпечна оплата - це дисципліна з декількох простих правил: коректний домен, HTTPS/сертифікат, 3DS2/SCA, видима робота PSP/токенізації і відсутність екзотичних «обіцянок». Роблячи хвилинну перевірку кожен раз, ви закриваєте 90% сценаріїв фішингу і витоку платіжних даних.