Vad är en betalningsgateway? Hur onlinebetalningar fungerar, förklarat
En betalningsgateway är tjänsten som säkert tar emot en kunds betalningsuppgifter i kassan, skickar dem vidare till bankerna och kortnäten för godkännande, och returnerar ”godkänd” eller ”nekad”, vanligtvis inom några sekunder. Det är bron mellan din app och det finansiella systemet. Stripe, PayPal, Adyen, Square och Braintree är välkända exempel.
Idag paketerar de flesta av dessa företag gatewayen med allt annat du behöver för att få betalt, så ”betalningsgateway”, ”betalningsprocessor” och ”betalningsleverantör” används ofta för att betyda samma sak.
Varför betalningsgateways spelar roll när du bygger med AI
”Lägg till betalningar” är en av de vanligaste förfrågningarna till AI-byggare, och en av de lättaste att få subtilt fel. Själva koden är oftast kort. De viktiga delarna är besluten runt den:
- Vilken leverantör som passar din verksamhet, ditt land och det du säljer.
- Var koden körs. Hemliga betalningsnycklar måste stanna på servern, aldrig i webbläsaren.
- Hur din app får veta att en betalning lyckats. Det pålitliga sättet är en webhook från leverantören, inte att kunden landar på en ”tack”-sida.
- Dina juridiska och skatterelaterade ansvar, som beror på vem som är merchant of record.
Att förstå vad en gateway gör hjälper dig att ge tydliga instruktioner och kontrollera att resultatet är säkert.
En vardaglig jämförelse
Tänk på att betala med kort i en butik.
Kortterminalen på disken är gatewayen: den läser ditt kort säkert och skickar iväg förfrågan. Den bestämmer ingenting. Den skickar frågan ”kan den här personen betala 40 euro?” längs en kedja till din bank och får svaret tillbaka. Butikens bank (acquirer) och din bank (issuer) är de som avgör, via kortnätet (Visa, Mastercard) som förbinder dem.
En onlinebetalningsgateway är den terminalen, byggd om för webben, plus säkerheten för att hantera kortuppgifter som kommer över internet.
Så fungerar en onlinekortbetalning
Här är vad som händer under de få sekunder efter att kunden klickat på ”Betala”:
| Steg | Vad som händer | Vem gör det |
|---|---|---|
| 1. Kassa | Kunden anger kortuppgifter i ett säkert betalformulär | Leverantörens formulär eller sida |
| 2. Kryptering | Uppgifterna krypteras och skickas till gatewayen | Gateway |
| 3. Auktoriseringsförfrågan | Förfrågan går till kortnätet och kundens bank | Processor, kortnät |
| 4. Kontroller | Banken kontrollerar täckning och bedrägerisignaler, och kan begära extra verifiering som 3D Secure | Utfärdande bank |
| 5. Svar | Godkänd eller nekad kommer tillbaka till din app | Gateway |
| 6. Fångst och avräkning | Pengarna tas in och, efter leverantörens utbetalningsschema, betalas in på ditt bankkonto minus avgifter | Processor, acquirer |
Två saker är värt att känna till:
- Auktorisering är inte samma sak som att bli betald. Pengarna reserveras först, fångas sedan och avräknas till ditt konto, ofta flera dagar senare.
- Din app ska aldrig se kortnumret alls. Moderna leverantörer ger dig en hostad kassasida eller inbäddade fält som de själva kontrollerar, och din app får bara en referens till betalningen.
De viktigaste delarna och vem som hanterar dem
| Del | Vad det är |
|---|---|
| Betalningsgateway | Tar säkert emot betalningsuppgifter och vidarebefordrar dem. |
| Betalningsprocessor | Flyttar transaktionsdata mellan bankerna. |
| Handlarkonto (merchant account) | Kontot som tar emot kortbetalningar för din räkning. Paketeras av leverantörer som Stripe. |
| Acquirer | Banken på handlarens sida. |
| Issuer | Kundens bank, som godkänner eller nekar. |
| Kortnät | Visa, Mastercard och andra, som förbinder acquirers och issuers. |
| Merchant of record | Företaget som juridiskt säljer till kunden och ansvarar för skatt, återbetalningar och tvister. |
Vissa leverantörer (Paddle, Lemon Squeezy) agerar själva som merchant of record, och sköter moms åt dig i utbyte mot högre avgifter. Andra (Stripe, PayPal) lämnar dig som merchant of record, med valfria skatteverktyg. För en rättvis genomgång av alternativen, se Stripe kontra Paddle kontra Lemon Squeezy och Stripe kontra PayPal.
Ett genomgånget exempel: sälja en kurs
Du säljer en onlinekurs för 99 euro och ber din AI-byggare lägga till en ”Köp”-knapp.
- Kunden klickar på Köp. Din server använder sin hemliga nyckel för att be leverantören skapa en kassasession för 99 euro och får tillbaka en länk.
- Kunden skickas till leverantörens hostade kassasida, anger sitt kort och slutför eventuell 3D Secure-kontroll hos sin bank.
- Betalningen godkänns och kunden omdirigeras till din ”lyckades”-sida.
- Separat skickar leverantören en webhook till din server: ”betalning för session X lyckades.” Din server kontrollerar webhookens signatur, hittar beställningen, markerar den som betald och låser upp kursen.
- Några dagar senare landar pengarna, minus avgifter, på ditt bankkonto.
Steg 4 är viktigast. Om du låste upp kursen på framgångssidan i stället, kunde vem som helst som hittade den URL:en få kursen gratis, och kunder vars webbläsare stängdes tidigt skulle betala och inte få något.
Viktiga begrepp
| Begrepp | Betydelse |
|---|---|
| Kassasession | En engångsbetalningssida eller ett flöde som din server skapar för ett specifikt köp. |
| Testläge | En sandlåda där du använder testnycklar och testkortnummer. Inga riktiga pengar flyttas. |
| Publik / hemlig nyckel | Den publika nyckeln kan finnas i webbläsarkod; den hemliga nyckeln måste stanna på servern. |
| 3D Secure | Ett extra steg där kunden bekräftar betalningen med sin bank, vanligt i Europa under reglerna för Strong Customer Authentication (SCA). |
| PCI DSS | Kortbranschens säkerhetsstandard för alla som hanterar kortdata. |
| Chargeback | När en kund bestrider en betalning hos sin bank och pengarna dras tillbaka. |
| Återbetalning | Pengar som du frivilligt returnerar. |
| Utbetalning | Leverantören som överför dina insamlade pengar till ditt bankkonto. |
Vanliga missuppfattningar
- ”Jag måste lagra kortnummer för att kunna debitera kunder igen.” Nej. Leverantörer lagrar kortet och ger dig en referenstoken för återkommande debiteringar och prenumerationer. Du ska aldrig lagra kortnummer själv.
- ”Framgångssidan betyder att betalningen gick igenom.” Bekräfta betalningar med webhooks på servern. Omdirigeringar kan hoppas över, förfalskas eller utebli helt.
- ”Betalningsleverantörer kostar ungefär lika mycket.” Avgifterna varierar med leverantör, land, korttyp och om skattehantering ingår. Kontrollera varje leverantörs aktuella prissida för ditt land.
- ”Att använda Stripe gör mig PCI-certifierad.” Det förenklar efterlevnaden avsevärt, eftersom kortdata stannar hos leverantören, men du har fortfarande en (oftast kort) självbedömning att göra.
- ”Testläge och livelägen beter sig identiskt.” De är nära, men livelägen kräver ett fullt verifierat konto, riktiga webhook-slutpunkter för livemiljön och riktiga bankuppgifter.
- ”En betalningsgateway sköter mina skatter.” Bara om den är merchant of record eller om du slår på och konfigurerar dess skattefunktioner. Kontrollera lokala regler eller fråga en rådgivare.
Vad du ska fråga din AI-byggare
- ”Lägg till [Stripe] Checkout för [produkten]. Skapa sessionen på servern med den hemliga nyckeln från en miljövariabel.”
- ”Markera bara beställningar som betalda från en verifierad webhook, och kontrollera webhookens signatur.”
- ”Hantera att webhooken skickas två gånger utan att skapa dubbla beställningar.”
- ”Använd testlägesnycklar och visa mig hur jag testar med leverantörens testkort, även ett nekat kort.”
- ”Vad händer om kunden stänger fliken efter att ha betalat?”
- ”Visa mig varje ställe där en betalningsnyckel används, och bekräfta att den hemliga nyckeln aldrig når webbläsaren.”
Betalningsgateways i Mythex
Mythex inkluderar inte inbyggda betalningar för apparna du bygger, och det finns ingen ”Anslut Stripe”-knapp med ett klick. Du skapar ett konto hos den leverantör du valt, lägger till dess testnycklar som projekthemligheter och ber agenten bygga kassan på serversidan. Testa i förhandsvisningen med leverantörens testkort och publicera sedan. Dokumentationen går igenom detta i Ta emot betalningar med Stripe, och Webhooks beskriver bekräftelsesteget.
För en steg-för-steg-byggnation, se hur du lägger till betalningar i din app och, för återkommande fakturering, hur du lägger till prenumerationer med Stripe.
Frågor
Vad är en betalningsgateway i enkla termer?
En betalningsgateway är tjänsten som säkert tar emot en kunds betalningsuppgifter från din kassa, skickar dem till bankerna och kortnäten för godkännande och returnerar ett godkänt eller nekat svar till din app, vanligtvis på några sekunder.
Vad är skillnaden mellan en betalningsgateway och en betalningsprocessor?
Strikt sett är gatewayen den säkra ingången som tar emot och vidarebefordrar betalningsuppgifter, medan processorn flyttar transaktionen mellan bankerna. I praktiken paketerar moderna leverantörer som Stripe, PayPal och Adyen båda, plus handlarkontot, i en och samma tjänst, så begreppen används ofta om varandra.
Behöver jag vara PCI-certifierad för att ta emot kortbetalningar?
Alla företag som tar emot kort måste uppfylla säkerhetsstandarden PCI DSS på något sätt. Om du använder en hostad kassasida eller leverantörens inbäddade betalfält når kortnummer aldrig dina servrar, vilket minskar ditt ansvar avsevärt. Din leverantör talar om vilken självbedömning som gäller.
Vad är en merchant of record?
En merchant of record är företaget som juridiskt säljer till kunden och ansvarar för saker som att ta ut och betala moms, samt hantera återbetalningar och chargebacks. Tjänster som Paddle och Lemon Squeezy agerar merchant of record åt dig; med Stripe eller PayPal är du oftast det själv.
Kan jag lägga till betalningar i en app byggd med AI?
Ja. En AI-byggare kan skriva koden som kopplar din app till en leverantör som Stripe: skapa kassasessioner på servern, hantera webhooks och uppdatera beställningar. Du behöver fortfarande ett eget konto hos leverantören, och du bör testa allt i deras testläge innan du går live.