Организация приёма платежей в интернет-магазинах и онлайн-ритейле
Покупка в интернете редко сводится к одному нажатию кнопки: между корзиной и зачислением денег проходит несколько независимых операций, и за каждой стоит отдельный участник со своими правилами. Кто-то проверяет карту, кто-то передаёт данные, кто-то формирует чек. Ниже разобран приём онлайн-платежей как процесс: роли сторон, движение денег, требования безопасности, возвраты и сверка. Для интернет-магазинов те же этапы разобраны отдельно: https://cloudpayments.ru/industries/e-commerce/.
Участники и роли в приёме онлайн-платежей
Магазин, покупатель, банк, платёжный провайдер и платёжный шлюз
Покупатель инициирует операцию и подтверждает её, магазин формирует заказ и сумму, банк-эмитент проверяет счёт и наличие средств, банк-эквайер обслуживает торговую точку. Платёжный шлюз передаёт данные о заказе и сумме в эквайринг, а платёжный провайдер подключает методы оплаты и ведёт отчётность.
Разница между эквайрингом, шлюзом и агрегатором методов
Эквайринг выполняет авторизацию и списание и отвечает за расчёты с банками. Шлюз средства не удерживает: он маршрутизирует запросы, хранит токены и отправляет уведомления о событиях. Агрегатор методов объединяет нескольких эквайеров и способов оплаты в одном подключении, добавляя выгрузки и поддержку.
Путь платежа от корзины до зачисления
Авторизация, подтверждение и списание
- Выбор метода и ввод данных либо переход на страницу банка.
- Риск-оценка и, при необходимости, аутентификация держателя карты.
- Авторизация: сумма блокируется на счёте, но ещё не списывается.
- Клиринг и списание — обычно в течение одного-трёх дней.
- Зачисление суммы на счёт магазина за вычетом комиссии.
Статусы заказа и уведомления магазину
Заказ считается оплаченным после подтверждения от эквайринга, а не в момент возврата покупателя со страницы банка. Основной источник данных — серверное уведомление, поэтому статус дополнительно перепроверяют отдельным запросом. Типовые состояния:
- создан — операция начата;
- авторизован — средства заблокированы;
- оплачен — платёж подтверждён;
- отменён или возвращён — деньги возвращаются покупателю;
- оспорен — инициирован чарджбэк.
Безопасность и соответствие требованиям
PCI DSS и хранение карточных данных
Стандарт PCI DSS версии 4.0 действует с 31 марта 2024 года и делит требования по уровням в зависимости от объёма операций. Полный номер карты допустимо хранить только в зашифрованном виде, код CVC/CVV после авторизации не сохраняют, для отображения оставляют первые шесть и последние четыре цифры. Токенизация заменяет номер карты на токен, а перенос ввода данных на сторону провайдера сокращает область проверки соответствия.
3-D Secure, SCA и антифрод
3-D Secure подтверждает согласие держателя карты; версия 2.x при низком риске проходит без перенаправления. Требование SCA предполагает две независимые проверки — знание, владение устройством или биометрию. Антифрод оценивает риск операции до списания по правилам, скорингу и спискам, и именно его решение чаще всего объясняет отказ в аутентификации.
Возвраты, чарджбэки и сверка операций
Возвраты и чарджбэки: причины и порядок действий
Возврат уменьшает сумму удержанных средств по заказу, бывает полным и частичным и оформляется по исходной операции. Чарджбэк инициирует держатель карты через свой банк: поводы — неполученный товар, двойное списание, неподтверждённая операция. На ответ даётся ограниченный срок, нередко от 7 до 20 дней, и помогают здесь данные доставки, логи авторизации и переписка с покупателем.
Сверка платежей и отчётов
Реконсиляция сопоставляет статусы платежей в магазине и у провайдера за период. Сравнивают суммы, комиссии, возвраты и время операций: платёж ближе к концу суток может попасть в следующий отчёт. Расхождения делят на технические, связанные с необработанным уведомлением, и финансовые.
Методы оплаты и их влияние на сценарий
Карты, кошельки, переводы и оплата по QR
Метод определяет число шагов: карта требует формы и подтверждения, кошелёк — перехода на внешнюю страницу, оплата по QR — подтверждения в приложении банка. Каждый лишний шаг снижает долю завершённых заказов.
Повторные списания, подписки и токенизация
Токен позволяет списывать по подписке, не сохраняя карточные данные, но требует согласия покупателя и уведомления о сумме. Часть методов повторные списания не поддерживает вовсе.
| Метод | Подтверждение | Повторное списание | Возврат |
|---|---|---|---|
| Банковская карта | 3-D Secure или SCA | Через токен | До 30 дней |
| Электронный кошелёк | Вход в аккаунт | По соглашению | На баланс кошелька |
| Перевод по QR | В приложении банка | Не поддерживается | Отдельным переводом |
Надёжность платёжного процесса
Ошибки, дубли, таймауты и зависшие статусы
Таймаут не равен неуспеху: платёж мог пройти, поэтому решение принимают по данным эквайринга. Дубли появляются при повторной отправке запроса, и защитой служит уникальный ключ идемпотентности для каждой попытки. Зависшие статусы разбирают по журналу операций, а не по экрану браузера.
Тестирование и мониторинг оплаты
До запуска проверяют успешную оплату, отказ, возврат, частичный возврат, чарджбэк и обрыв связи. Рабочие метрики — доля успешных авторизаций, время ответа и число необработанных уведомлений.
Налоговые и учётные аспекты онлайн-оплаты
Фискализация и чеки
Фискализация формирует кассовый чек и отправляет его в ОФД; чек создаётся в момент расчёта и содержит номенклатуру, ставку НДС (20, 10 или 0 процентов) и признак способа расчёта. При возврате оформляют чек возврата прихода.
Возвраты в учёте и отчётности
Возврат уменьшает выручку того периода, в котором он проведён, а не периода продажи. Отчёты провайдера сопоставляют с учётом по датам, суммам и комиссиям.
