Обробка електронних платежів: як працює сучасний процесинг

Світова та українська економіки стрімко переходять на безготівкові оплати, тому розуміння електронного процесингу є важливим для сучасного підприємництва. В цьому матеріалі детально розглянемо, що стоїть за платіжною операцією і чому онлайн-транзакція – це не просто секундне натискання кнопки «Оплатити», а складний технологічний шлях, у якому задіяні десятки інфраструктурних вузлів, серед яких і наш платіжний сервіс.

Загальний механізм обробки електронних платежів

Процесинг електронних платежів – це комплекс технологічних, фінансових і безпекових процесів, завдяки яким відбувається переказ коштів від покупця до продавця під час оплати карткою, цифровими гаманцями, переказом на IBAN-рахунок тощо. В цьому процесі задіяні не тільки банки, а цілий перелік учасників, які взаємодіють один з одним і проводять операції за лічені секунди:

• Власник картки (покупець). Людина, яка здійснює покупку, вводячи дані картки на сайті чи прикладаючи її до POS-термінала. Саме з цієї картки банк-емітент у кінцевому підсумку списує кошти.
• Мерчант (продавець). Підприємець, що займається онлайн-бізнесом чи продає товари на фізичній точці та отримує кошти на свій рахунок. Зазвичай він працює через платіжного агрегатора або напряму з банком-еквайром.
• Платіжний сервіс або платіжний агрегатор (наприклад, hutko). Посередник, який значно спрощує процес. Він надає послуги інтернет-еквайрингу, технічне підключення до платіжного шлюзу, забезпечує антифрод, фіскалізацію, аналітику тощо.
• Банк-еквайр. Фінансова установа, що обслуговує мерчанта. Приймає оплати від клієнтів, проводить авторизацію платежів і перераховує кошти на рахунок продавця.
• Банк-емітент. Фінансова установа, що випустила картку покупця. Перевіряє наявність коштів, блокує потрібну суму, проводить перевірку за допомогою 3D Secure і дає остаточне підтвердження або відмову в проведенні оплати.
• Міжнародні платіжні системи (МПС), наприклад Visa, Mastercard, AmEx. Вони надають технологічну інфраструктуру для проведення транзакцій та визначають основні правила. МПС передають дані між еквайром і емітентом, встановлюють стандарти безпеки (наприклад, PCI DSS-сертифікація), порядок оскарження операцій (англ. chargeback) і забезпечують глобальну сумісність.

Таким чином, процесинг – це чітко налагоджена взаємодія багатьох незалежних учасників, яка забезпечує швидкість, безпеку та зручність сучасних платежів.

Як відбувається стандартна платіжна транзакція

Платіжна операція – це складний процес, у якому беруть участь кілька сторін. Він складається з чотирьох основних етапів: авторизації, автентифікації, клірингу та відшкодування.

1. Авторизація

Це перший і найшвидший етап. Коли клієнт ініціює оплату – торкається карткою POS-термінала чи вводить її реквізити на платіжній сторінці – система надсилає запит до банку-еквайра, а той через МПС звертається до банку-емітента.

Емітент перевіряє наявність достатньої суми на рахунку покупця, чи не заблокована картка і чи не є операція підозрілою. Якщо все гаразд, то відбувається авторизація: сума утримується на картці клієнта. Цей етап зазвичай триває 2-5 секунд.

2. Автентифікація

Підтвердження того, що оплату здійснює справжній власник картки.

• При платежі фізичною карткою треба увести PIN-код. Хоча при безконтактній оплаті на невеликі суми достатньо просто прикласти картку або телефон.
• При оплаті за допомогою Apple Pay чи Google Pay потрібне підтвердження завдяки біометрії (Face ID або Touch ID) чи пароля пристрою.
• При розрахунку в інтернеті спрацьовує 3D Secure, тобто додаткове підтвердження через SMS, пуш-повідомлення в застосунку банку або біометрію.

Автентифікація суттєво знижує ризики шахрайства і є обов’язковою, коли сума платежу є достатньо великою.

3. Кліринг

Так називається операція обміну платіжними даними між банками. В кінці дня або наприкінці певного операційного циклу банк-еквайр надсилає пакет транзакцій до міжнародної платіжної системи. Та, своєю чергою, аналізує цю інформацію, проводить взаємозалік між банками та визначає чисте сальдо – хто, кому і скільки зрештою винен. На цьому етапі підтверджуються остаточні суми, комісії та умови проведених операцій.

4. Відшкодування

Фінальний етап – фактичне перерахування грошей мерчанту. Банк-емітент списує кошти з рахунку покупця, а банк-еквайр зараховує їх на рахунок продавця. Зазвичай кошти надходять на рахунок мерчанта протягом 1-3 банківських днів після оплати, хоча сучасні платіжні агрегатори часто роблять це швидше – на наступний день або навіть того ж дня.

Таким чином те, що для клієнта виглядає як просте прикладання картки або натискання кнопки «Оплатити», насправді є складною, але добре налагодженою взаємодією різних учасників процесу.

Відмінності процесингу онлайн- та офлайн-платежів

Процесинг офлайн-платежу (англ. card present) – це коли клієнт фізично присутній і використовує картку для розрахунку: прикладає, вставляє або проводить нею по терміналу. Процесинг онлайн-платежу (англ. card not present) – оплата без фізичної присутності картки, наприклад на сайті, в соціальних мережах або через чат-бот. Тут немає можливості зчитати чип або стрічку картки, отже, ризик шахрайства значно вищий. Саме тому до обробки онлайн-транзакцій висуваються підвищені безпекові вимоги.

В онлайн-оплатах важливу роль відіграє платіжний шлюз – спеціальна технологічна платформа, що надає послуги інтернет-еквайрингу і виступає безпечним мостом між каналом продажу продавця та банком. Коли клієнт натискає «Оплатити», дані картки не потрапляють напряму до інтернет-магазину. Покупця перенаправляють на захищену сторінку або вбудовану форму платіжного шлюзу, де він вводить свої реквізити. Шлюз шифрує дані, передає їх банку-еквайру і повертає результат транзакції. Це дозволяє мерчанту не зберігати конфіденційні дані карток і не проходити сертифікацію PCI DSS.

Окрім того, застосовуються додаткові технології безпеки під час оплати в інтернеті:

• 3D Secure. Це стандарт двофакторної автентифікації. Після введення даних картки клієнт має підтвердити оплату у своєму банку – через SMS-код, пуш-повідомлення в мобільному застосунку або біометрію. Сучасна версія – 3D Secure 2.0 – працює більш зручно і часто проходить без додаткових дій (англ. frictionless), якщо система вважає операцію безпечною.
• Токенізація. Замість зберігання реальних даних картки (номер, CVV, термін дії) використовується токен – унікальний цифровий код. Навіть якщо токен потрапить у руки зловмисників, вони не зможуть ним скористатися, оскільки він прив’язаний до конкретного мерчанта або пристрою. Токенізація значно знижує ризики при витоках конфіденційної інформації.
• Антифрод-системи. Для протидії шахрайству сучасні платіжні агрегатори використовують штучний інтелект, який у реальному часі оцінює сотні параметрів: поведінку користувача, геолокацію, пристрій, історію покупок, швидкість введення даних тощо. Кожній транзакції присвоюється рівень ризику. Якщо він високий, оплата блокується або вимагає додаткового підтвердження.

Завдяки цим технологіям онлайн-процесинг сьогодні став значно безпечнішим, хоча й залишається вразливішим, ніж офлайн-платежі.

Процесинговий центр – двигун платіжної системи

Процесинговий центр – це високотехнологічне ядро всієї платіжної інфраструктури. Він виступає центральним вузлом, який забезпечує швидку, безпечну та надійну інформаційну взаємодію між усіма учасниками платіжного процесу: банками-емітентами, банками-еквайрами, платіжними агрегаторами, мерчантами та МПС.

Без процесингового центру сучасні електронні платежі були б неможливими. Саме він здійснює обробку мільйонів транзакцій щосекунди, ухвалюючи рішення в реальному часі.

• Маршрутизація запитів. Коли клієнт платить карткою, процесинговий центр визначає, куди саме потрібно надіслати запит. Наприклад, якщо клієнт розраховується карткою ПУМБ, а термінал належить іншому банку, центр миттєво розпізнає емітента і спрямовує запит саме до нього.
• Безпека даних. Процесинговий центр забезпечує найвищий рівень захисту інформації – працює згідно з міжнародним стандартом PCI DSS, використовує потужне шифрування, токенізацію, системи виявлення шахрайства та постійний моніторинг. Будь-яка спроба несанкціонованого доступу блокується миттєво.
• Ведення обліку та звітності. Центр фіксує кожну транзакцію, веде їх детальний облік, проводить кліринг, визначає розмір відшкодувань і комісій, а також формує звіти для банків та інших учасників.

Процесингові центри можуть бути внутрішні та зовнішні. Внутрішній, або ж власний процесинг має більшість великих банків. Вони повністю контролюють увесь цикл обробки платежів, що дає вищий рівень безпеки та швидкості, але вимагає величезних інвестицій в обладнання, фахівців і відповідність регуляторним вимогам.

Зовнішній (або аутсорсинговий) процесинговий центр – це спеціалізована незалежна компанія, яка бере на себе всю технічну та інформаційну роботу з обробки безготівкових платежів для банків, фінансових установ або великого бізнесу. До речі, у повсякденному житті підприємці постійно мають із цим справу: коли підключають онлайн-еквайринг до свого сайту через платіжні сервіси на кшталт hutko, то фактично користуються послугами аутсорсингового процесингу.

Технологічні переваги зовнішнього процесингового центру на прикладі hutko

hutko – це сучасний платіжний агрегатор і шлюз, який виступає посередником між продавцями та банками. Він приймає онлайн-оплати від клієнтів, здійснює обробку транзакцій через свій шлюз, проводить авторизацію операцій за допомогою банку-еквайра ПУМБ і забезпечує дотримання безпекових вимог. Фактично це єдине вікно для прийому платежів.

Серед головних технологічних переваг нашого сервісу:

Завдяки hutko підприємці можуть швидко підключити сучасні способи оплати без банківської бюрократії.

Платіжна інфраструктура: обладнання, ПЗ та безпека

Платіжна інфраструктура – це складна екосистема, яка включає апаратне обладнання, програмне забезпечення та відповідає високим безпековим стандартам.

Апаратне забезпечення (від англ. hardware) складається з двох рівнів:

• Серверна частина: потужні датацентри з високопродуктивними серверами, що виконують обробку мільйонів транзакцій щодня.
• Кінцеві точки прийому оплат, до яких належать стаціонарні та портативні POS-термінали, смартфони з технологією Tap to Phone, платіжні кіоски та термінали самообслуговування.

Програмне забезпечення (від англ. software) забезпечує взаємодію всіх компонентів інфраструктури. Серед основних складових: протоколи передачі даних, інтеграційні API, спеціальне ПЗ для антифрод-систем, токенізації та моніторингу транзакцій у реальному часі.

Що стосується безпеки платежів, то найважливішим стандартом є PCI DSS (Payment Card Industry Data Security Standard), що висуває сукупність обов’язкових вимог до захисту даних платіжних карток. Відповідність PCI DSS означає, що компанія надійно захищає конфіденційну інформацію від витоку, регулярно проходить аудити й тести на вразливість, а також має жорстку політику доступу до даних.

Для банків і платіжних агрегаторів сертифікація PCI DSS є обов’язковою. Без неї робота з картковими платежами неможлива.

Майбутнє процесингу платежів

Платіжний процесинг – це не просто одна з технічних послуг у роботі з платежами, а фундамент сучасної економіки, який забезпечує швидкість, безпеку та зручність розрахунків між людьми та бізнесом.

У найближчі роки ця індустрія продовжить стрімко розвиватися в напрямку повсюдного впровадження ШІ-антифроду та поведінкової біометрії, розширення миттєвих оплат, а також вдосконалення токенізації та безконтактних технологій.

Для підприємців це означає ще більшу зручність, нижчі комісії та вищий рівень захисту. Ті бізнеси, які швидко впровадять нові технології процесингу, отримають значну конкурентну перевагу.