Как работают онлайн-платежи: шлюз, эквайер и процессинг
Основы4 минРедакция Innovialabs
Коротко
Платеж проходит цепочку «магазин → платежный шлюз → эквайер и процессинг → платежная система → банк покупателя», который одобряет и блокирует сумму; позже деньги списываются, проходят расчеты и за вычетом комиссий поступают на счет магазина.
Короткий ответ
Когда покупатель нажимает «Оплатить», за секунды происходит авторизация: банк покупателя проверяет карту и баланс и блокирует сумму. Но деньги в этот момент еще не у магазина. Они приходят позже, после списания (capture), клиринга и расчетов, и уже за вычетом комиссий.
Чтобы понять, откуда берутся задержки, комиссии и статусы платежа, нужно знать участников.
Кто участвует в платеже
| Участник | Роль |
|---|---|
| Покупатель (держатель карты) | Вводит данные карты и подтверждает платеж |
| Магазин (мерчант) | Создает заказ и инициирует оплату |
| Платежный шлюз (gateway) | Безопасно принимает данные карты и передает запрос дальше. Дает магазину API и платежную страницу |
| Эквайер | Банк магазина: принимает платежи по картам в его пользу и зачисляет деньги на его счет |
| Процессинг (processor) | Технический центр, который маршрутизирует и обрабатывает транзакции. Часто принадлежит эквайеру или работает по договору с ним |
| Платежная система (card network) | Visa, Mastercard, а в Узбекистане — национальные Uzcard и Humo. Связывают эквайеров и эмитентов, задают правила |
| Эмитент | Банк покупателя, выпустивший карту. Одобряет или отклоняет операцию |
На практике одна компания может совмещать несколько ролей. Например, платежный сервис может быть и шлюзом, и агрегатором, а банк — одновременно эквайером и процессингом.
Путь платежа шаг за шагом
- Checkout. Покупатель нажимает «Оплатить». Сервер магазина создает заказ и запрос на оплату с суммой и ID заказа.
- Ввод данных карты. Покупатель вводит карту на платежной странице шлюза или в его защищенной форме. Данные карты не должны проходить через сервер магазина — это резко снижает требования к безопасности (PCI DSS).
- Аутентификация. Эмитент проверяет, что платит владелец карты: через 3-D Secure или одноразовый SMS-код.
- Авторизация. Запрос идет по цепочке шлюз → эквайер/процессинг → платежная система → эмитент. Эмитент проверяет карту, лимиты и баланс, затем одобряет и блокирует сумму (hold). Ответ возвращается по той же цепочке.
- Уведомление магазина. Шлюз сообщает серверу магазина результат через callback (webhook). Заказ считается оплаченным только после этого серверного подтверждения, а не после редиректа покупателя на страницу «Спасибо».
- Списание (capture). Магазин подтверждает списание заблокированной суммы. Часто это происходит автоматически сразу после авторизации (одностадийный платеж). При двухстадийной схеме магазин списывает деньги позже, например после проверки наличия товара.
- Клиринг и расчеты (settlement). Платежная система сводит операции за период, эмитент переводит деньги, эквайер получает их и зачисляет магазину за вычетом комиссий по графику из договора.
Из чего складываются комиссии
- Комиссия эмитента (interchange) — часть оплаты, которая уходит банку покупателя.
- Сборы платежной системы — за использование сети.
- Наценка эквайера — его доход за обслуживание.
- Плата за шлюз или платежный сервис, если это отдельная компания.
Магазину обычно показывают одну итоговую ставку от суммы платежа (часто ее называют MDR) или тариф «процент плюс фиксированная сумма». Конкретные значения зависят от страны, типа карт, вида бизнеса, объема оборота и договора, поэтому сравнивайте условия по своим реальным данным.
Отмена, возврат и чарджбэк
- Отмена (void, reversal) — до списания: блокировка снимается, деньги фактически никуда не уходили. Обычно самый быстрый и дешевый вариант.
- Возврат (refund) — после списания: магазин инициирует обратный перевод. Деньги возвращаются на карту за срок, который зависит от банков. Комиссия за исходный платеж часто не возвращается.
- Чарджбэк (chargeback) — спор, который покупатель открывает через свой банк, например при неполученном товаре. Деньги могут принудительно списать с магазина, и он должен доказать свою правоту документами.
Частые ошибки при интеграции
- Считать заказ оплаченным по редиректу вместо серверного callback.
- Не проверять подпись callback и сумму, пришедшую от платежного сервиса.
- Не делать обработку идемпотентной: повторный callback создает вторую оплату.
- Хранить данные карт у себя без необходимости и без соответствия PCI DSS.
- Использовать двухстадийную оплату и забывать списывать блокировки — они истекают, и деньги не приходят.