Tento článek přidáváme hlavně pro ty, kterým vrtá hlavou, jak reálně platba probíhá na pozadí, nikoliv jen z pohledu uživatele. Právě zde zajdeme do trochu většího detailu a odkryjeme vám tajemství průběhu platby kartou.
V rámci České republiky je nejčastější průběh platby přes tzv. Dual message autorizaci. Toto používá Mastercard i VISA. Tento proces platby kartou lze rozdělit do následujících tří fází:
Autentizace je proces potvrzení totožnosti držitele karty. V této fázi se ověřuje, zda je číslo karty správné nebo ne, a také zda je zákazník provádějící transakci skutečný vlastník zadané karty. Autentizace pouze ověřuje identitu, nekontroluje zůstatek na účtu zákazníka, neprovádí pohyb na účtu ani nekontroluje expiraci a cvv/cvc.
Pro autentizaci se používá 3-D Secure protokol (3DS), který vznikl právě pro zvýšení bezpečnosti online plateb kartou. 3DS se stále vyvíjí a jeho vývoj v tuto chvíli nejvíce formuje EMVco. Nejčastěji používané protokoly v době psaní článku jsou 3DS 2.1.x, 3DS 2.2.x. a 3DS 1.0.2 (tento má ohlášené konec podpory u VISA a Mastercard k říjnu 2022).
Průběh Autentizace
Zákazník si z e-shopu Shoptet vybere zboží.
Po potvrzení objednávky je zákazníkovi zobrazena platební brána. Brána se může zobrazit v Inline nebo Redirect verzi. Zákazník zadává platební údaje.
Shoptet Pay zahajuje platbu u Acquirera (Adyen).
Acquirer pošle dotaz na Directory server karetní asociace. Asociace potvrdí zařazení/nezařazení binu karty do systému 3D Secure a jeho verzi. Adyen posílá požadavek na autentizaci dle podporované verze 3D Secure. Directory server kontaktuje Access control server vydavatele karty. Zpět posílá buď potvrzení autentizace (může nastat v případě, že se využije nějaká výjimka z PSD2) nebo informaci, kam přesměrovat zákazníka pro autentizaci.
Adyen předává Shoptet Pay, informaci o autentizaci nebo kam přesměrovat zákazníka pro autentizaci. Podle verze se může stát, že u nižší verze 3DS se zákazník redirectuje na stránku Access control serveru nebo u vyšších verzí 3DS je možné, že se není nutné redirectovat a použije se tzv. Native 3DS. V obou případech se zákazníkovi zobrazí stránka pro autentizaci.
Zákazník se autentizuje. U 3DS 1.0.2 se autentizuje pomocí SMS. Modernější 3DS 2 umí autentizovat pomocí OTP (jednorázové heslo) nebo například biometrií. 3DS 2 bylo navrženo tak, aby dokázala splnit požadavky na SCA (Strong customer autentification) vyplývající z PSD2 regulace.
Issuer posílá informaci o autentizaci na directory server a ten předává informace na 3DS secure server. Klient je přesměrován zpět na Shoptet Pay.
V případě, že autentizace proběhla úspěšně, Adyen má všechny potřebné informace pro Autorizaci transakce.
V případě neúspěšné Autentizace posílá Adyen zpět chybu na Shoptet Pay
Autorizace
V Autorizaci už nejde pouze o identifikaci majitele karty, ale řešíme, zda zákazník je schopen zaplatil. Kontroluje se tedy stav prostředků na účtu a další ochranné prvky na kartě. Pokud je vše v pořádku, vydavatel karty blokuje peněžní prostředky zákazníka. Ve chvíli kdy projde autorizace, obchodník ví, že zákazník má zablokované peníze a může počítat s tím, že mu přijdou na účet a vydává zboží.
Průběh Autorizace
Adyen pošle data z Autentizace a vytvoří Autorizační větu. Toto pošle do Autorizačního systému asociací. Asociace zasílá informace k vydavateli karty.
Autorizační systém vydavatele karty vyhodnotí, zda je zákazník schopný zaplatit. Pokud ano, odesílá informaci o Autorizaci a vytváří blokaci na účtu zákazníka. Pokud ne, odesílá informaci, proč transakci neautorizovali. V rámci PSD2 získali vydavatele karet možnost tzv. Challenge. To znamená, že si můžou vyžádat dodatečnou Autentizaci.
Adyen posílá informace o Autorizaci do Shoptet Pay. Shoptet Pay zobrazí Zákazníkovi stav transakce. Pokud byla transakce zamítnutá, dá zákazníkovi možnost platbu opakovat.
Pokud proběhla v pořádku, předává Shoptet Pay informaci do Shoptetu
Shoptet zobrazuje zákazníkovi potvrzení o zaplacení a sumarizaci.
Zúčtování a Vyrovnání (Clearing a Settlement)
Máme autorizováno, ale stále nemám peníze. K tomu slouží Zúčtování a Vyrovnání. Zúčtování probíhá v hromadných dávkách a není potřeba pro něj z pohledu obchodníka nic dělat. Zúčtování si řeší Acquirer na svojí straně. Jakmile se dodělá Zúčtování je na řadě Vyrovnání. Vyrovnání slouží k vyrovnání peněz mezi Acquirery, Issuery a asociací.
Průběh Zúčtování a Vyrovnání
Zúčtování probíhá následující den po transakci tzn. D+1 pracovní dny. Acquireři zasílají všechny transakce, které chtějí Zúčtovat.
Asociace zpracuje Zúčtovací a Vyrovnávací reporty a ty zašle na Acquirery a Issuery. Toto celé proběhne D+1 pracovní dny
Následuje fáze Vyrovnání, kde je potřeba, aby si Acquireři a Issueři mezi sebou vyrovnali účty. Vyrovnání se provádí na účty jednotlivých Acquirerů a Issuerů bankovním převodem. Peníze Acquireři obdrží D+2 pracovní dny.
D+2 dostává Adyen peníze a zasílá peníze přímo Obchodníkům, kterým přijdou peníze D+3. Někteří Acquireři/Payment facilitátoři jsou schopni poslat peníze Obchodníkům již D+1, protože nečekají až se provede Vyrovnání a peníze přijdou od Asociací, ale peníze vyplatí z vlastních rezerv a peníze jim přijdou následující pracovní den.
