Co je platební brána? Jak fungují online platby, vysvětleno
Platební brána je služba, která bezpečně převezme platební údaje zákazníka při checkoutu, předá je bankám a kartovým sítím ke schválení a vrátí odpověď „schváleno“ nebo „zamítnuto“, obvykle během několika sekund. Je to most mezi vaší aplikací a finančním systémem. Známými příklady jsou Stripe, PayPal, Adyen, Square a Braintree.
Dnes většina těchto firem spojuje bránu se vším ostatním, co potřebujete k tomu, abyste dostali zaplaceno, takže pojmy „platební brána“, „platební procesor“ a „platební poskytovatel“ se často používají jako synonyma.
Proč na platebních bránách záleží, když stavíte s AI
„Přidej platby“ je jedna z nejčastějších žádostí, které lidé nástrojům s AI posílají, a jedna z nejsnáze subtilně pokažených. Samotný kód bývá krátký. Důležité jsou rozhodnutí kolem něj:
- Který poskytovatel se hodí k vašemu podnikání, zemi a tomu, co prodáváte.
- Kde kód běží. Tajné platební klíče musí zůstat na serveru, nikdy v prohlížeči.
- Jak se aplikace dozví, že platba proběhla. Spolehlivá cesta je webhook od poskytovatele, ne to, že zákazník přistane na stránce „Děkujeme“.
- Vaše právní a daňová odpovědnost, která závisí na tom, kdo je merchant of record.
Pochopení toho, co brána dělá, vám pomůže dát jasné pokyny a zkontrolovat, že výsledek je bezpečný.
Každodenní přirovnání
Představte si platbu kartou v obchodě.
Platební terminál na pultě je brána: bezpečně načte vaši kartu a odešle žádost. Nic nerozhoduje. Předává otázku „může tento člověk zaplatit 40 €?“ dál po řetězu do vaší banky a vrací odpověď. Banka obchodníka (acquirer) a vaše banka (issuer) rozhodují prostřednictvím kartové sítě (Visa, Mastercard), která je propojuje.
Online platební brána je ten terminál přenesený na web, plus zabezpečení pro zpracování údajů o kartě, které přicházejí přes internet.
Jak probíhá online platba kartou
Tady je, co se stane během několika sekund poté, co zákazník klikne na „Zaplatit“:
| Krok | Co se stane | Kdo to dělá |
|---|---|---|
| 1. Checkout | Zákazník zadá údaje o kartě na zabezpečeném platebním formuláři | Formulář nebo stránka poskytovatele |
| 2. Šifrování | Údaje jsou zašifrovány a odeslány bráně | Brána |
| 3. Žádost o autorizaci | Žádost putuje ke kartové síti a bance zákazníka | Procesor, kartová síť |
| 4. Kontroly | Banka vydavatele ověřuje prostředky a signály podvodu a může požádat o dodatečné ověření, například 3D Secure | Vydávající banka |
| 5. Odpověď | Schváleno nebo zamítnuto se vrátí do vaší aplikace | Brána |
| 6. Zachycení a vypořádání | Peníze se vyberou a po platebním harmonogramu poskytovatele se připíšou na váš účet ponížené o poplatky | Procesor, acquirer |
Dva body stojí za pozornost:
- Autorizace neznamená, že jste zaplaceni. Peníze se nejdřív rezervují, pak zachytí, pak vypořádají na váš účet, často o několik dní později.
- Vaše aplikace nesmí vidět číslo karty vůbec. Moderní poskytovatelé dávají hostovanou platební stránku nebo vložená pole, která ovládají oni, a vaše aplikace dostane jen odkaz na platbu.
Hlavní části a kdo je zajišťuje
| Část | Co to je |
|---|---|
| Platební brána | Bezpečně zachytí platební údaje a předá je dál. |
| Platební procesor | Přesouvá data transakce mezi bankami. |
| Obchodní účet | Účet, na který přicházejí platby kartou jménem vaším. Poskytovatelé jako Stripe ho spojují s ostatním. |
| Acquirer | Banka na straně obchodníka. |
| Issuer | Banka zákazníka, která schvaluje nebo zamítá. |
| Kartová síť | Visa, Mastercard a další, které propojují acquirery a issuery. |
| Merchant of record | Podnik, který zákazníkovi legálně prodává a odpovídá za daně, vrácení peněz a spory. |
Někteří poskytovatelé (Paddle, Lemon Squeezy) fungují jako merchant of record sami a řeší za vás daň z prodeje a DPH výměnou za vyšší poplatky. Jiní (Stripe, PayPal) nechávají merchant of record vás, s volitelnými daňovými nástroji. Férový pohled na možnosti nabízí Stripe vs Paddle vs Lemon Squeezy a Stripe vs PayPal.
Příklad: prodej kurzu
Prodáváte online kurz za 99 € a požádáte nástroj s AI, aby přidal tlačítko „Koupit“.
- Zákazník klikne na Koupit. Váš server pomocí tajného klíče požádá poskytovatele, aby vytvořil relaci checkoutu na 99 € a dostane zpět odkaz.
- Zákazník je přesměrován na hostovanou platební stránku poskytovatele, zadá kartu a dokončí případné ověření 3D Secure u své banky.
- Platba je schválena a zákazník je přesměrován na vaši stránku „Úspěch“.
- Poskytovatel odděleně odešle na váš server webhook: „platba pro relaci X proběhla.“ Váš server ověří podpis webhooku, najde objednávku, označí ji jako zaplacenou a odemkne kurz.
- Po několika dnech přijdou peníze ponížené o poplatky na váš bankovní účet.
Krok 4 je nejdůležitější. Kdybyste kurz odemkli na stránce úspěchu, mohl by ho kdokoli, kdo našel tu URL, získat zdarma, a zákazníci, jejichž prohlížeč se zavřel dřív, by zaplatili a nedostali nic.
Klíčové pojmy
| Pojem | Význam |
|---|---|
| Relace checkoutu | Jednorázová platební stránka nebo postup vytvořený vaším serverem pro konkrétní nákup. |
| Testovací režim | Pískoviště, kde používáte testovací klíče a testovací čísla karet, a žádné skutečné peníze se nepřesouvají. |
| Publikovatelný / tajný klíč | Publikovatelný klíč se může objevit v kódu prohlížeče; tajný klíč musí zůstat na serveru. |
| 3D Secure | Dodatečný krok, kdy zákazník potvrdí platbu u své banky, běžný v Evropě podle pravidel SCA (Strong Customer Authentication). |
| PCI DSS | Bezpečnostní standard odvětví karet pro každého, kdo zpracovává údaje o kartách. |
| Chargeback | Situace, kdy zákazník napadne platbu u své banky a peníze jsou stažené zpět. |
| Vrácení peněz (refund) | Peníze vrácené vámi dobrovolně. |
| Výplata (payout) | Převod vybraných peněz od poskytovatele na váš bankovní účet. |
Časté mylné představy
- „Pro opakované účtování kartu ukládat musím.“ Ne. Poskytovatelé kartu uloží a dají vám referenční token pro opakované platby a předplatná. Čísla karet nikdy neukládejte sami.
- „Stránka úspěchu znamená, že platba proběhla.“ Platby potvrzujte přes webhooky na serveru. Přesměrování lze přeskočit, zfalšovat nebo nemusí nastat vůbec.
- „Platební poskytovatelé stojí všichni zhruba stejně.“ Poplatky se liší podle poskytovatele, země, typu karty a toho, zda je zahrnuta správa daní. Aktuální ceník pro vaši zemi zkontrolujte na stránce poskytovatele.
- „Použití Stripe mě dělá PCI kompatibilním.“ Výrazně to zjednodušuje compliance, protože data karet zůstávají u poskytovatele, ale stále máte (obvykle krátké) sebehodnocení, které musíte vyplnit.
- „Testovací a ostrý režim fungují stejně.“ Jsou si blízké, ale ostrý provoz vyžaduje plně ověřený účet, koncové body webhooků nastavené pro ostré prostředí a skutečné bankovní údaje.
- „Platební brána řeší moje daně.“ Jen pokud je merchant of record nebo pokud zapnete a nastavíte její daňové funkce. Zkontrolujte místní pravidla, nebo se zeptejte poradce.
Co se zeptat svého nástroje pro tvorbu s AI
- „Přidej [Stripe] Checkout pro [produkt]. Vytvoř relaci na serveru pomocí tajného klíče z proměnné prostředí.“
- „Označuj objednávky jako zaplacené jen z ověřeného webhooku a kontroluj podpis webhooku.“
- „Ošetři, že se webhook může odeslat dvakrát, aniž by vznikly duplicitní objednávky.“
- „Použij klíče z testovacího režimu a ukaž mi, jak testovat pomocí testovacích karet poskytovatele, včetně zamítnuté karty.“
- „Co se stane, když zákazník po zaplacení zavře kartu?“
- „Ukaž mi každé místo, kde se používá platební klíč, a potvrď, že tajný klíč se nikdy nedostane do prohlížeče.“
Platební brány na Mythexu
Mythex nemá vestavěné platby pro aplikace, které stavíte, a není zde tlačítko „Připojit Stripe“ na jeden klik. Vytvoříte účet u zvoleného poskytovatele, přidáte jeho testovací klíče jako tajné údaje projektu a požádáte agenta, aby postavil checkout na straně serveru. Otestujte v Náhledu pomocí testovacích karet poskytovatele a pak publikujte. Dokumentace to popisuje v Přijímání plateb se Stripe a Webhooky vysvětluje krok potvrzení.
Pro postup krok za krokem viz jak přidat platby do aplikace a pro opakované účtování jak přidat předplatná se Stripe.
Otázky
Co je platební brána jednoduše řečeno?
Platební brána je služba, která bezpečně převezme platební údaje zákazníka z vašeho checkoutu, pošle je bankám a kartovým sítím ke schválení a vrátí vaší aplikaci odpověď schváleno nebo zamítnuto, obvykle během několika sekund.
Jaký je rozdíl mezi platební bránou a platebním procesorem?
Přísně vzato je brána bezpečnými dveřmi, které platební údaje zachytí a předají dál, a procesor přesouvá transakci mezi bankami. V praxi moderní poskytovatelé jako Stripe, PayPal nebo Adyen spojují obojí i s obchodním účtem do jedné služby, takže se pojmy často používají zaměnitelně.
Musím mít PCI shodu, abych mohl přijímat platby kartou?
Každý podnik, který přijímá karty, musí v nějaké podobě splňovat standard zabezpečení PCI DSS. Použití hostované platební stránky nebo vložených platebních polí poskytovatele znamená, že čísla karet se nikdy nedostanou na vaše servery, což výrazně snižuje vaši odpovědnost. Váš poskytovatel vám řekne, které sebehodnocení se na vás vztahuje.
Co je merchant of record?
Merchant of record je podnik, který zákazníkovi legálně prodává, a odpovídá za věci jako výběr a odvod daně z prodeje nebo DPH a za vyřizování vrácení peněz a chargebacků. Služby jako Paddle a Lemon Squeezy fungují jako merchant of record místo vás; u Stripe nebo PayPal to obvykle jste vy.
Mohu přidat platby do aplikace postavené s AI?
Ano. Nástroj pro tvorbu s AI dokáže napsat kód, který propojí vaši aplikaci s poskytovatelem jako Stripe: vytváří relace checkoutu na serveru, zpracovává webhooky a aktualizuje objednávky. Stále potřebujete vlastní účet u poskytovatele a vše byste měli otestovat v jeho testovacím režimu, než přejdete do ostrého provozu.