Прием платежей на сайте с карты (банк Тинькофф). Как реализовать?

Question

[Vasyl Fomin]

Здравствуйте! В API на PHP (для приложений на Android & iOS) нужно реализовать возможность принимать платежи с карты клиента (через банк Тинькофф). В приложении должна быть своя форма, без редиректов на форму банка, для ввода реквизитов карты: номер, цвв, дата

В документации https://oplata.tinkoff.ru/landing/develop/plug есть описании для ApplePay, GooglePay, и через их платежную форму с редиректом, но как сделать через свою форму+api не ясно?!
Возможно у кого то был опыт решения данной задачи? Подскажите, пожалуйста, как это правильнее будет реализовать

Comments

[Антон Р.]

В приложении должна быть своя форма, без редиректов на форму банка

но как сделать через свою форму+api не ясно?!

- А ты точно готов нести всю ответственность за безопасность транзакций, данных клиентов и прочее? К тому же форма оплаты банка вызывает у людей больше доверия чем какая то мутная самописная формочка на сайте.

[irishmann]

В документации все есть, например вот тут в конце есть пример реализации на PHP
https://oplata.tinkoff.ru/landing/develop/documentation

[Adamos]

irishmann, и в той же документации русским по белому написано

В ответ на вызов метода Init магазин получает ссылку, которая ведет на форму ввода реквизитов банковской карты. Магазин должен перенаправить покупателя по этой ссылке.

[litvinenkow]

шёл 2022 год, у тинькова всё еще не было виджета для оплаты на своём сайте в айфрейме без редиректа, зато финтех))

Answer 1

[alex1478]

Так делать нельзя, вы быстро получите бан карты в Тинькофф. А если звёзды сойдутся, ещё и в полиции придётся доказывать что люди вам сами вводили свои карты, а не вы использовали свой счёт для темных дел.
Как я понимаю вы хотите принимать платежи с карт физиков на карту физика для обхода налоговой, это не законно, я думаю вы это сами понимаете.
Правильно сделать так: Открыть ИП, заключить договор с платёжным шлюзом, в приложении показывать форму оплаты от шлюза через webview,

Comments

[Vasyl Fomin]

Как я понимаю вы хотите принимать платежи с карт физиков на карту физика для обхода налоговой

- нет, не хочу я обходить налоговую, мне это вообще безразлично) Пусть заказчик платит налоги. Просто в макете приложений (сайта) в дизайне есть форма, как на фото текущего вопроса, + условие не использовать редиректы в приложении

[Ekim]

Vasyl Fomin, Чтобы тебе кто-нибудь разрешил работать с картами, думаю стоит соответствовать стандарту pci dss

[Vasyl Fomin]

Dugayoyo, про стандарт pci dss в курсе, но кроме его интересует техническая сторона вопроса

[JhaoDa]

Vasyl Fomin, т.е. заказчик понимает, что обрабатывать карточные данные у себя — это сразу PSI DSS с кучей требований, сертификацией, затратами и прочим?

[skrimafonolog]

Vasyl Fomin,

про стандарт pci dss в курсе, но кроме его интересует техническая сторона вопроса

Техническая сторона вопроса и подразумевает - что когда вы подключаетесь c PCI DSS, то получаете совсем другое API, где вы просто передаете данные карты, а реализация внешнего вида будет ваша какая угодно.

[Vasyl Fomin]

JhaoDa, нет, заказчик не понимает, походу дизайн такой, от того и отталкиваются

[JhaoDa]

Vasyl Fomin, но ты продолжаешь слепо следовать дизайну вместо объяснения, какое попадалово его ждёт. Ты точно знаешь, что делаешь?

[Vasyl Fomin]

JhaoDa, уже не слепо следую дизайну. Заказчик отказался от этой затеи с вводом реквизитов карты и PSI DSS
В данном случае я делаю только бекенд API, приложения под Андроид и иОС делают другие разработчики. Я просто не сталкивался ранее с таким способом оплаты, и соотв. не знал что это так сложно (не только тех. сторона вопроса но и PSI DSS). Благодаря вашим ответам, вопрос практически решен!

[boss_lexa]

Vasyl Fomin,
Dugayoyo,
skrimafonolog,

форму ввода карты сделать можно и на это не нужно много денег - это доступно

насколько я помню сложностей с PCI DSS при вводе данных карты в мобильных приложениях нет - тк они не доступны наружу в отличии от вебсайта.

кроме того есть в России некоторые сервисы которые могут вам форму через iframe сделать и сможете вводить у себя на сайте - по стандарту PCI DSS, это будет равнозначно редиректу - тк данные вводятся в iframe, загружаемый с сервера платежной систем (или банка), который соотствествует стандарту и данные карты вашего сервера не касаются.

Пример docs.mandarinbank.com/api_v2.html#hosted-fields

также есть упрощенный варианта PCI DSS - ASV сканирование раз в квартал + заполнение листа самооценки SAQ-EP ежегодно - это уже позаморочнее но тоже доступно (самим можно сделать бесплатно).
пример https://developers.cloudpayments.ru/#skript-checkout

[Vasyl Fomin]

boss_lexa,

насколько я помню сложностей с PCI DSS при вводе данных карты в мобильных приложениях нет - тк они не доступны наружу в отличии от вебсайта

Но в приложении можно же их сохранить и передать злоумышленникам

[boss_lexa]

Vasyl Fomin,
для моб приложений платежные системы при пользовании их SDK обычно дают встроенную форму ввода данных карты без сложностей. SDK защищает данные от утечки

пример https://habr.com/ru/post/304650/

[boss_lexa]

более того заполняя SAQ-EP и ASV сканирование (можно бесплатно сделать на hackerguardian) позволяет вводить данные на вашей вебстранице, не отправляя их на ваш сервер

Answer 2

[zcoder]

Я бы сто раз подумал, вводя данные карты в чужую форму) Никто не мешает вам их сохранять)
Лучше использовать шлюз типа яндекс.деньги и другие

Answer 3

[skrimafonolog]

В приложении должна быть своя форма, без редиректов на форму банка, для ввода реквизитов карты: номер, цвв, дата

Нельзя из соображений безопасности, чтобы вы знали реквизиты карт.
Именно поэтому банк и отправляет к себе.

Напрямую тоже можно, но для этого требуется пройти сертификацию по PCI DSS.
Что то от 10 000 долларов и года времени на все процедуры.

Если вы не хотите PCI DSS, но как-то это реализуете технически в обход предлагаемого банком варианта - вас ожидает и бан (причем во всех банках сразу) и уголовное дело за мошенничество с банковскими картами.
Впрочем, может и повезет и не заметят. ;)

но как сделать через свою форму+api не ясно?!

Или создать свою платежную систему и заключить договор с Visa/MasterCard (что то от миллиона долларов).
Или получить сертификацию PCI DSS. Эта сертификация подразумевает определенные требования к вашим серверам, в частности запрет на сохранение номеров карт (и это будут проверять), кучу логирования того, что происходит на сервере и т.п.

Comments

[Сергей Рогожкин]

А как работают каршеринги, которые сохраняют номера карты в приложении? Они проходили pci dss?

[batyrmastyr]

Сергей Рогожкин, они ищут банк-партнёр и подписывают презумпцию собственной виновности: при жалобе плательщика банк сразу отменяет перевод, может влупить штраф и передумает только если у продавца найдутся железные доказательства своей правоты (что клиент был, покупал и он тот, за кого себя выдавал).

Answer 4

[boss_lexa]

Мобильный SDK смотрели?
https://oplata.tinkoff.ru/landing/develop/mobile/a...

Answer 5

[Dimonchik]

В приложении должна быть своя форма, без редиректов на форму банка

если с заказчиком не знакомы - поаакуратнее с паблищингом такой приложухи от своих данных

Answer 6

[Сергей]

Какой то дятел нарисовал, а парень мучается теперь. В целях безопасности так делать НЕЛЬЗЯ! Смирись с этим. Пусть перерисовывают дизайн.