Jestem w trakcie tworzenia rozbudowanego sklepu internetowego i jednym z problemów z jakim się spotkałem to moduł obsługi kart kredytowach umożliwiający przelewy.

Proces autoryzacji

1. Połączenie posiadacza karty z witryną kontrahenta

Klient (posiadacz karty) uzyskuje połączenie zgodnie z protokołem http, zabezpieczonym technologią SSL z serwerem kontrahenta. Klient zapoznaje się z ofertą kontrahenta i dokonuje wyboru towarów, które chce zamówić. Przed przejściem do autoryzacji zamówienia konieczne jest spełnienie następujących warunków:

klient powinien zapoznać się z końcową ceną zamawianych towarów, zawierającą wszystkie przewidywalne składniki
klient powinien podać adres wysyłki
serwer kontrahenta powinien wygenerować numer kolejnego połączenia (session_id)
serwer kontrahenta winien zidentyfikować i zapisać do własnej bazy danych adres IP komputera klienta, który dokonuje zapłaty kartą płatniczą (informacja ta winna być udostępniana na każde żądanie PolCardu).
Po spełnieniu tych warunków serwer kontrahenta generuje stronę HTML
z formularzem odsyłającym klienta do bezpiecznej strony autoryzacyjnej PolCardu.

2. Autoryzacja płatności za zamówienia i przekazanie kontrahentowi odpowiedzi autoryzacyjnej

Po połączeniu się ze stroną autoryzacyjną PolCardu klient (posiadacz karty) wprowadza dodatkowe dane (w tym numer karty i datę jej ważności) konieczne do uzyskania autoryzacji.
Autoryzacja przeprowadzana przez PolCard polega na skontaktowaniu się
z systemem komputerowym banku, który kartę wydał i uzyskaniu odpowiedzi czy dana płatność może być zrealizowana. Po uzyskaniu odpowiedzi PolCard przesyła ją kontrahentowi. W tym celu serwer PolCardu nawiązuje połączenie http zabezpieczone SSL z serwerem kontrahenta. Podczas nawiązywania połączenia PolCard przedstawia swój certyfikat SSL podpisany przez jeden ze znanych urzędów certyfikacyjnych. Dzięki temu kontrahent ma możliwość upewnienia się, że nadawcą komunikatu jest PolCard. Połączenie następuje pod uzgodniony wcześniej z kontrahentem adres URL. Po otrzymaniu przez serwer kontrahenta połączenia pod wskazany adres URL, oprogramowanie serwera kontrahenta powinno zweryfikować drugą stronę połączenia. Po sprawdzeniu kontrahent powinien potwierdzić fakt otrzymania odpowiedzi autoryzacyjnej. To potwierdzenie polega na odesłaniu w odpowiedzi do PolCardu strony HTML, zawierającej adres, pod który PolCard powinien przekierować przeglądarkę klienta (posiadacza karty).

3. Przekierowanie klienta, realizacja zamówienia

Klient zostaje przekierowany pod adres podany w potwierdzeniu odpowiedzi autoryzacyjnej. Kontrahent podejmuje decyzję o realizacji lub odrzuceniu zamówienia.





Transakcje kartowe online w internecie

Płacimy kartą

Usługa Internet Order Online umożliwia przeprowadzenie transakcji w publicznej sieci Internet z wykorzystaniem karty płatniczej jako środka płatności. Płatności mogą być dokonywane z użyciem kart wypukłych tych wszystkich systemów, które standardowo obsługuje PolCard. Są to systemy: VISA, EUROPAY, MASTERCARD, DINERS CLUB, JCB, POLCARD, PBK STYL.

Transakcje przeprowadzane są w czasie rzeczywistym (online), co oznacza, iż posiadacz karty może od razu otrzymać odpowiedę czy płatność zostanie zrealizowana czy nie.

Przebieg transakcji

Jednym z podstawowych założeń przyjętych podczas opracowywania nowego modelu był fakt, iż w Internecie połączenie może nawiązać każdy z każdym. Dzięki temu istnieje możliwość utworzenia szyfrowanego połączenia pomiędzy kupującym a rozliczającym transakcje, z pominięciem sprzedawcy. Oznacza to, iż poufne dane posiadacza kart nie będą ujawniane w punkcie handlowo - usługowym.

Przebieg transakcji internetowej możemy podzielić na dwa etapy.
W pierwszym etapie dochodzi do zestawienia szyfrowanego połączenia z serwerem sklepu internetowego, wybrania towaru, zestawienia kolejnego szyfrowanego połączenia z serwerem PolCardu, dokonania autoryzacji i zwrócenia odpowiedzi do serwera sklepu internetowego. PolCard przekazuje odpowiedź autoryzacyjną do serwera punktu w chwilę po otrzymaniu zapytania autoryzacyjnego. Czas potrzebny do wygenerowania odpowiedzi zazwyczaj nie przekracza kilkunastu sekund.


Drugim etapem transakcji internetowej jest przekazanie dokonanej transakcji do rozliczenia. Może się to odbywać na dwa sposoby:


przy pomocy zestawienia połączenia dial-up z serwerem dostępowym PolCardu
poprzez wystawienie zbiorów w tym samym formacie do rozliczenia na serwerze sklepu internetowego i umożliwienie PolCardowi ich pobrania przeglądarką WWW.
Bezpieczeństwo transakcji

Nasz nowy model został oparty na protokole SSL z możliwością wykorzystania pełnego 128-bitowego szyfrowania danych. W protokół SSL standardowo wyposażona jest większość przeglądarek internetowych; jest on więc powszechnie dostępny, co w dużej mierze upraszcza, a także upowszechnia możliwość płacenie kartami w Internecie.

Proponowane przez nas rozwiązanie zwiększa bezpieczeństwo przekazywanych danych dotyczących numeru karty, ponieważ informacje o karcie płatniczej przekazywane są bezpośrednio do PolCardu, z pominięciem internetowego punktu handlowo - usługowego. Posiadacz karty ma pewność, iż numer jego karty jest chroniony w sposób szczególny i jest wiadomy jedynie PolCardowi - firmie rozliczającej transakcje dokonane z użyciem kart płatniczych. To również ułatwienie dla punktów internetowej sprzedaży, gdyż nie muszą gromadzić na własnych serwerach numerów kart.

W celu podniesienia bezpieczeństwa dokonywania transakcji internetowych zastosowane zostało kilka progów weryfikacji transakcji:

weryfikacja na poziomie PolCardu, którą jest proces autoryzacyjny, celem którego jest sprawdzenie czy dana karta płatnicza może wziąć udział w transakcji internetowej;


pierwsza weryfikacja na poziomie punktu akceptującego, polegająca na udzieleniu w czasie rzeczywistym zgody lub odmowy na jej przeprowadzenie po wstępnym dokonaniu sprawdzenia poprawności transakcji z własnymi bazami danych;


druga weryfikacja na poziomie punktu akceptującego, polegająca na podjęciu decyzji co do wysłania transakcji do rozliczenia po jej powtórnej weryfikacji z własnymi bazami danych. Na jej podjęcie punkt akceptujący ma max. 7 dni kalendarzowych.

[...] każda wskazówka się przyda.

Pozdrawiam.