Как реализовать систему приема платежей с помощью банковских карт?

Question

[SET1]

Требуется реализовать систему по приему платежей через мобильное приложение. Система заранее хранит номер карты, срок действия и CVV, остается только списать нужную сумму. Было бы идеально как-то использовать API банка, но я очень сомневаюсь что это возможно. Платежи планируем принимать только с мобильных устройств. Используем Firebase, к слову. Смотрели на Stripe, но он не работает с Россией. Опишу задачу покороче: ввиду специфики работы приложения, требуется реализовать возможность списания любой суммы при необходимости с карты клиента. Обязательна поддержка карт Мир.

Спасибо за ответы.

Answer 1

[boss_lexa]

Вам нужны интеграторы:
payture.com
cloudpayments.ru

Comments

[SET1]

Спасибо. Запутался в предложениях. Ваши варианты оказались то что нужно.

[PRAIT]

SET1, Привет друг. Ну что, получилось реализовать?

Answer 2

[Dimonchik]

15-50к Евро на сертификацию PCI DSS есть?

в общем-то, есть решения, дающие хеши (токены и т.п.), и где не нужно хранить сами номера, но не для России

все что можно сейчас - начните с Яндекс кассы, будут обороты - откроются другие возможности

Comments

[boss_lexa]

сделать ввод карты без гемора с PCI DSS - можно, из простого загружать через iframe.
Все есть и для России

Если данные карты будут обрабатываться только в мобильном приложении без участия сервера - pci dss не затрагивает

[SET1]

boss_lexa, Данные о карте клиента хранятся (условно у нас) на серверах Firebase.

[stratosmi]

SET1,

Данные о карте клиента хранятся (условно у нас) на серверах Firebase.

Тогда вам нужно пройти сертификацию у Visa/Mastercard
PCI DSS называется.

[SET1]

stratosmi, А какова цена примерно этого сертификата? Нам требуется заморозить сумму на карте клиента, а по окончанию оказания услуг - списать ее и отправить клиенту чек. Больше ничего не нужно.

[Дмитрий Шицков]

SET1, прежде чем проходить сертификацию, вам необходимо начать ей соответствовать ;) Скачиваете официалтный документ и изучаете своим отделом эксплуатации.

[stratosmi]

SET1,

А какова цена примерно этого сертификата?

Там не только цена имеет значение.
А и определенные требования на вас накладываются.
Соответствовать им, в целом, не сложно.
Но усилий это требует.

[Dimonchik]

SET1, думаете, если другой ответит, будет дешевле? )

если что - я описал единственный вариант в ваших условиях, но вы можете потратить еще времени, хозяин - барин )

[boss_lexa]

SET1,
для описанной вами задачи все будет работать так как вы хотите и вам ничего хранить не нужно, хранится будет на серверах платежных интеграторов у которых есть сертификация (примеры сервисов дал ниже) , они вам дают API и вы с ним все успешно сделаете

dimonchik2013,

если что - я описал единственный вариант в ваших условиях

почему вы утверждаете что это единственный вариант, когда есть сервисы в РФ которые могут решить данную задачу?

[Dimonchik]

boss_lexa, с хранением кредиток на его стороне? без ифрейма?

[boss_lexa]

dimonchik2013,
Во первых для того чтоб реализовать привязку карты и спиывать автоматом деньги - хранить у себя кредитки не нужно - есть API сервисов для этого и в РФ в том числе.

15-50к Евро на сертификацию PCI DSS есть?

Если вы крупная компания и у вас более 1 млн транзакций в год, тогда вам нужен QSA-аудитор, тогда да это будет недешево.

Небольшим компаниям для соответствия PCI DSS с вводом карты на вашей стороне (без iframe) - достаточно раз в год заполнить лист самооценки SAQ (можно сделать самим) + ASV сканирование раз в квартал (есть бесплатный на 90 дней или платно от 200$/год примерно).
Как пример кто так делает https://cloudpayments.ru/wiki/integration/products...

Сервис для заполнения SAQ https://www.hackerguardian.com/pci-saq.html
ASV сканер бесплатный https://www.hackerguardian.com/hackerguardian/buy/...

[Dimonchik]

boss_lexa, у Вас неплохой ответ и его можно в отдельный ;) чтобы, кому это в диковинку, могли оценить

что касается исходной задачи - то тут нет на нее ответа
https://cloudpayments.ru/wiki/integration/products...
хеш - это не придуманная "криптограмма", пусть и без ифрейма (без ?)

да и SAQ A - пусть и с буковками, это не SAQ D

так что вопрос о ненужности сертификации остался

буржуи решают это просто (как Альфа - Сбер - не в курсе ) - ДЕПОЗИТ, 100-200к, а лучше 500 - 1М, нарушил - штрафанули. У нас же требуют бумажку, и бумажка таки стоит денег

Answer 3

[abbaboka]

SET1,

Запутался. Мне нужно чтобы клиент ввел один раз информацию о карте и все. Дальше за услугу с него будут списываться деньги.

Многократно?
Это называется "рекуррентные платежи, автоплатежи, подписка"

Или заморозить деньги, а списать потом разово?
Это называется "блокирование, холдирование, заморозка".

И то и другое - поддерживают платежные системы, через которые вы платежи и принимаете.
А уж эти платежные системы сами разруливаются и с Visa и c MasterCard и с Мир и пр.

Если вы хотите это реализовать самостоятельно, то вам нужно фактически стать платежной системой (ну почти).
А это уже требует определенной сертификации.
Ну а сертификация потребует от вас определенной организации рабочих процессов.
Стоит ли?
Или проще сделать это все через платежные системы, где все уже есть?
Да, они возьмут процент.
Но чтобы напрямую подключиться к Visa/MasterCard вам придется потратить на все про все - сертификация, гарантийный взнос и пр. и пр. миллионы. И насколько я помню, это не миллионы рублей, а миллионы долларов.

P.S.:
Упомянутые виды платежей поддерживает далеко не каждая платежная система.
Но платежных систем много - выбирай любую на свой вкус.