Hvad er en betalingsgateway? Sådan virker online-betalinger
En betalingsgateway er den tjeneste, der sikkert tager en kundes betalingsoplysninger ved checkout, sender dem til bankerne og kortnetværkene til godkendelse og returnerer "godkendt" eller "afvist", typisk inden for få sekunder. Den er broen mellem din app og det finansielle system. Stripe, PayPal, Adyen, Square og Braintree er kendte eksempler.
I dag pakker de fleste af disse virksomheder gatewayen sammen med alt andet, du har brug for for at blive betalt, så "betalingsgateway", "betalingsprocessor" og "betalingsudbyder" bruges ofte om det samme.
Hvorfor betalingsgateways betyder noget, når du bygger med AI
"Tilføj betalinger" er en af de mest almindelige anmodninger til AI-builders og en af de nemmeste at gøre subtilt forkert. Koden selv er som regel kort. Det vigtige er beslutningerne omkring den:
- Hvilken udbyder der passer til din virksomhed, dit land og det, du sælger.
- Hvor koden kører. Hemmelige betalingsnøgler skal blive på serveren, aldrig i browseren.
- Hvordan din app får at vide, at en betaling lykkedes. Den pålidelige måde er en webhook fra udbyderen, ikke at kunden lander på en "tak for købet"-side.
- Dit juridiske og skatemæssige ansvar, som afhænger af, hvem der er merchant of record.
At forstå, hvad en gateway gør, hjælper dig med at give klare instruktioner og kontrollere, at resultatet er sikkert.
En hverdagsanalogi
Tænk på at betale med kort i en butik.
Kortterminalen ved disken er gatewayen: den læser dit kort sikkert og sender anmodningen af sted. Den træffer ikke selv nogen beslutning. Den sender spørgsmålet "kan denne person betale 40 euro?" videre ad en kæde til din bank og får svaret tilbage. Butikkens bank (acquirer) og din bank (issuer) er dem, der beslutter, via kortnetværket (Visa, Mastercard), der forbinder dem.
En online betalingsgateway er den terminal, bygget om til nettet, plus sikkerheden til at håndtere kortoplysninger, der kommer over internettet.
Sådan virker en online kortbetaling
Her er, hvad der sker i de få sekunder efter, at kunden klikker på "Betal":
| Trin | Hvad der sker | Hvem gør det |
|---|---|---|
| 1. Checkout | Kunden indtaster kortoplysninger i en sikker betalingsformular | Betalingsudbyderens formular eller side |
| 2. Kryptering | Oplysningerne krypteres og sendes til gatewayen | Gateway |
| 3. Godkendelsesanmodning | Anmodningen sendes til kortnetværket og kundens bank | Processor, kortnetværk |
| 4. Kontroller | Banken tjekker dækning og svindelsignaler og kan kræve ekstra verifikation, fx 3D Secure | Udstedende bank |
| 5. Svar | Godkendt eller afvist sendes tilbage til din app | Gateway |
| 6. Opkrævning og afregning | Pengene hæves og udbetales efter udbyderens udbetalingsplan til din bankkonto minus gebyrer | Processor, acquirer |
To punkter er værd at kende:
- Godkendelse er ikke det samme som at være betalt. Pengene reserveres først, derefter opkræves de, og til sidst afregnes de til din konto, ofte flere dage senere.
- Din app bør slet ikke se kortnummeret. Moderne udbydere giver dig en hostet checkout-side eller indlejrede felter, de selv kontrollerer, og din app får kun en reference til betalingen.
De vigtigste dele, og hvem der håndterer dem
| Del | Hvad det er |
|---|---|
| Betalingsgateway | Indsamler sikkert betalingsoplysninger og videresender dem. |
| Betalingsprocessor | Flytter transaktionsdata mellem bankerne. |
| Handelskonto (merchant account) | Kontoen, der modtager kortbetalinger på dine vegne. Samles ofte af udbydere som Stripe. |
| Acquirer | Banken på forhandlerens side. |
| Issuer | Kundens bank, der godkender eller afviser. |
| Kortnetværk | Visa, Mastercard og andre, der forbinder acquirers og issuers. |
| Merchant of record | Virksomheden, der juridisk sælger til kunden og er ansvarlig for skat, refusioner og tvister. |
Nogle udbydere (Paddle, Lemon Squeezy) fungerer selv som merchant of record og håndterer moms for dig til gengæld for højere gebyrer. Andre (Stripe, PayPal) lader dig være merchant of record med valgfrie skatteværktøjer. For et fair overblik over mulighederne, se Stripe vs. Paddle vs. Lemon Squeezy og Stripe vs. PayPal.
Et konkret eksempel: at sælge et kursus
Du sælger et online-kursus til 99 euro og beder din AI-builder tilføje en "Køb"-knap.
- Kunden klikker på Køb. Din server bruger sin hemmelige nøgle til at bede udbyderen om at oprette en checkout-session for 99 euro og får et link tilbage.
- Kunden sendes til udbyderens hostede checkout-side, indtaster sit kort og gennemfører eventuel 3D Secure-kontrol med sin bank.
- Betalingen godkendes, og kunden sendes videre til din "succes"-side.
- Separat sender udbyderen en webhook til din server: "betaling for session X lykkedes." Din server kontrollerer webhookens signatur, finder ordren, markerer den som betalt og låser kurset op.
- Dage senere lander pengene minus gebyrer på din bankkonto.
Trin 4 er det vigtigste. Hvis du låste kurset op på succes-siden i stedet, kunne alle, der fandt den URL, få det gratis, og kunder, hvis browser lukkede tidligt, ville betale og ikke få noget.
Vigtige begreber
| Begreb | Betydning |
|---|---|
| Checkout-session | Et engangsbetalingsflow, din server opretter til et bestemt køb. |
| Testtilstand | Et sandkasseområde med testnøgler og testkortnumre, hvor ingen rigtige penge flytter sig. |
| Publishable / secret key | Den offentlige nøgle må gerne stå i browserkode; den hemmelige nøgle skal blive på serveren. |
| 3D Secure | Et ekstra trin, hvor kunden bekræfter betalingen med sin bank, almindeligt i Europa under reglerne for stærk kundeautentificering (SCA). |
| PCI DSS | Kortbranchens sikkerhedsstandard for alle, der håndterer kortdata. |
| Chargeback | Når en kunde anfægter en betaling hos sin bank, og pengene trækkes tilbage. |
| Refusion | Penge, du frivilligt sender tilbage. |
| Udbetaling (payout) | Udbyderens overførsel af de opkrævede penge til din bankkonto. |
Almindelige misforståelser
- "Jeg skal gemme kortnumre for at kunne opkræve kunder igen." Nej. Udbydere gemmer kortet og giver dig et referencetoken til gentagne opkrævninger og abonnementer. Du bør aldrig selv gemme kortnumre.
- "Succes-siden betyder, at betalingen lykkedes." Bekræft betalinger med webhooks på serveren. Redirects kan springes over, forfalskes eller slet ikke ske.
- "Betalingsudbydere koster alle omtrent det samme." Gebyrerne varierer efter udbyder, land, korttype og om skathåndtering er inkluderet. Tjek hver udbyders aktuelle prisside for dit land.
- "Med Stripe er jeg PCI-compliant." Det gør compliance meget enklere, fordi kortdata bliver hos udbyderen, men du har stadig en (normalt kort) selvevaluering at udfylde.
- "Testtilstand og live-tilstand opfører sig identisk." De ligner hinanden, men live-tilstand kræver en fuldt verificeret konto, rigtige webhook-endepunkter til live-miljøet og rigtige bankoplysninger.
- "En betalingsgateway håndterer mine skatter." Kun hvis den er merchant of record, eller du slår skatteværktøjerne til og konfigurerer dem. Tjek dine lokale regler, eller spørg en rådgiver.
Hvad du kan bede din AI-builder om
- "Tilføj [Stripe] Checkout til [produkt]. Opret sessionen på serveren med den hemmelige nøgle fra en miljøvariabel."
- "Markér kun ordrer som betalt ud fra en verificeret webhook, og kontrollér webhookens signatur."
- "Håndter at webhooken sendes to gange, uden at der oprettes dubletordrer."
- "Brug nøgler fra testtilstand, og vis mig, hvordan jeg tester med udbyderens testkort, inklusive et afvist kort."
- "Hvad sker der, hvis kunden lukker fanen efter betaling?"
- "Vis mig alle steder, en betalingsnøgle bruges, og bekræft at den hemmelige nøgle aldrig når browseren."
Betalingsgateways i Mythex
Mythex indeholder ikke indbyggede betalinger til de apps, du bygger, og der findes ingen "Forbind Stripe med ét klik". Du opretter en konto hos den udbyder, du vælger, tilføjer dens testnøgler som projekt-secrets og beder agenten bygge checkout på serversiden. Test i Preview med udbyderens testkort, og publicér derefter. Dokumentationen gennemgår det i Accepter betalinger med Stripe, og Webhooks dækker bekræftelsestrinnet.
Til en trin-for-trin-opbygning, se sådan tilføjer du betalinger til din app, og til gentagne opkrævninger, sådan tilføjer du abonnementer med Stripe.
Spørgsmål
Hvad er en betalingsgateway med enkle ord?
En betalingsgateway er den tjeneste, der sikkert tager en kundes betalingsoplysninger fra dit checkout, sender dem til bankerne og kortnetværkene til godkendelse, og returnerer et godkendt eller afvist svar til din app, typisk på få sekunder.
Hvad er forskellen på en betalingsgateway og en betalingsprocessor?
Strengt taget er gatewayen den sikre indgang, der indsamler og videresender betalingsoplysninger, mens processoren flytter transaktionen mellem bankerne. I praksis samler moderne udbydere som Stripe, PayPal og Adyen begge dele, plus handelskontoen, i én tjeneste, så begreberne bruges ofte om hinanden.
Skal jeg være PCI-compliant for at tage kortbetalinger?
Enhver virksomhed, der accepterer kort, skal opfylde sikkerhedsstandarden PCI DSS i en eller anden form. Hvis du bruger en hostet checkout-side eller udbyderens indlejrede betalingsfelter, rører kortnumrene aldrig dine servere, og det mindsker dit ansvar betydeligt. Din udbyder fortæller dig, hvilken selvevaluering der gælder.
Hvad er en merchant of record?
En merchant of record er den virksomhed, der juridisk sælger til kunden, og som er ansvarlig for ting som opkrævning og betaling af moms, samt håndtering af refusioner og chargebacks. Tjenester som Paddle og Lemon Squeezy fungerer som merchant of record for dig; ved Stripe eller PayPal er det typisk dig.
Kan jeg tilføje betalinger til en app bygget med AI?
Ja. En AI-builder kan skrive koden, der forbinder din app til en udbyder som Stripe: oprette checkout-sessioner på serveren, håndtere webhooks og opdatere ordrer. Du skal stadig have din egen konto hos udbyderen, og du bør teste alt i dens testtilstand, før du går live.