Как работает SberPay под капотом
Как вы думаете, когда и чем впервые оплатил человек?
Вряд ли это была знакомая всем карта с чипом и магнитной полосой во времена до нашей эры…
Конечно, альтернатива наличке появилась еще за пару тысяч лет до этого…
Началось все со старого доброго бартера, когда люди обменивались не QRами, чтобы деньги перевести по телефону, а реальными вещами/товарами, равноценными друг другу.
И так продолжалось очень долго, уровень бартера вышел на международный. Все товары для каждого участника торговли были по разному ценны, значит нужна валюта, которая устроит всех!
Первыми на полку пошли слитки из драгоценных металлов со своим весом и формой, но и их спустя много лет заменили на монеты. Попробуй так в магазин со слитком сходить! Неудобно…
Чеканные монеты постепенно вытеснили бартер и сделали торговлю с обменом быстрее и проще.
Но больше всего не везет купцам. Хоть монеты явно удобнее слитков, их же нужно охранять, перевозить, помимо всего товара в повозке.
Так человечество пришло к первым бумажным деньгам. И тут купцы заликовали. Ведь вместо телеги с металлоломом, они ходили уже с добротной «котлетой».
Не много, не мало, а прошла тысяча лет от появления налички до пластиковой карты с магнитной полосой.
Потом карта обзавелась сначала контактным чипом (микросхемой), улучшив свою безопасность в разы, потом дуальным чипом с поддержкой контактного и бесконтактного интерфейса.
Так, эволюционным путем, мы пришли к бесконтактной оплате телефоном, которая на научном языке называется Оплата через NFC. И с 2011 года успешно ей пользовались, вплоть до текущего момента.
Но!! С небольшим перерывом, пока мы в поте лица чуть больше полугода восстанавливали SberPay.
Но, что это такое, из-за чего же все «поломалось», и как все «починилось» ? Как раз об этом я и расскажу вам дальше.
Давайте разберёмся, как устроена бесконтактная оплата телефоном с помощью SberPay и как добавить его поддержку в Android-приложение.
Глава 1. Бесконтактная оплата
Платить телефоном можно при помощи технологии NFC (Near Field Communication). Это такой чип (микросхема), который позволяет двум устройствам передавать/получать данные на небольшом расстоянии в 10 см.
Для оплаты нужно всего-то несколько участников:
Телефон с поддержкой NFC
POS терминал с NFC (сейчас они все снабжены модулем для приема бесконтактных платежей)
Чуть ниже процесс отображен на схеме.
Раньше для оплаты было множество сервисов: Apple Pay, Google Pay, Samsung Pay, Mir Pay, SberPay. Но в России из-за санкций международные платёжные системы Visa и Mastercard (далее МПС) ушли, ведь именно платёжные системы создают токены и генерируют ключи, которые так нужны нам для оплаты. А за МПС ушли и привычные для нас сервисы токенизации карт.
Глава 2. Почему не работает оплата на iOS
У Android-приложений есть доступ к модулю NFC, с помощью которого телефон взаимодействует с терминалом и обменивается данными с приложением, а в iPhone такого доступа нет. В iOS за безопасность этих взаимодействий отвечает Secure element — микросхема в совокупности с программным обеспечением. Она сертифицированна по стандарту EMVco, по которому также проходят сертификацию производители микросхем для банковских карт. Через эту микросхему проходят все команды, связанные с платёжной функцией телефона по обмену данными между терминалом и приложением. И, конечно, доступ к нему имеет лишь одно приложение — Apple Pay. А так как Apple Pay ограничен в части использования для NFC-платежей в России, то.
Какие платёжные средства для бесконтактной оплаты сейчас доступны на iOS?
• Платёжные стикеры. Кстати, кто не знает, недавно наши друзья по цеху запустили стикеры с героями Союзмультфильма.
• Оплата улыбкой. Если увидите терминал с камерой, скажите кассиру, что хотите оплатить по биометрии, и посмотрите в камеру.
А теперь мы с вами подробнее рассмотрим этапы добавления поддержки бесконтактной оплаты в Android-приложение: токенизацию, оплату и синхронизацию данных.
Глава 3. Токенизация
Токенизация карты — это технология преобразования конфиденциальных данных банковской карты в специальный токен, с помощью которого можно оплачивать покупки. Схематично токенизация и оплата выглядят так:
Как проходит токенизация:
Аттестация устройства. Перед началом токенизации мобильное приложение аттестует устройство. Если проверка на доступность и безопастность успешна, то функциональность становится доступна, в противном случае мы скрываем точки входа. Со стороны Android-приложения работа с токенами, хранение и обновление данных в БД реализовано в SDK, который подключается к проекту.
Регистрация кошелька. Чтобы токенизировать карту, сначала нужно зарегистрировать кошелёк. В мобильном приложении определённым алгоритмом генерируется идентификатор кошелька. После этого инициализируются ключи шифрования и приходит сертификат от SDK. Данные отправляются в бекенд, в SDK для аутентификации кошелька с учётом данных о самом устройстве. И если всё в порядке, то кошелёк активируется с ещё одной итерацией взаимодействия с бекендом. Этот процесс выполняется только один раз. То есть, если кошелёк ранее уже был активирован, то при токенизации карт берутся готовые данные о кошельке.
После регистрации кошелька происходит токенизация карты, привязываемой к кошельку.
Запрос на токенизацию. Когда пользователь добавляет карту МИР в мобильное приложение, оно отправляет запрос на токенизацию в TSP (Token Service Provider). В запросе указываются данные о карте и мобильном устройстве, после чего идёт запрос в платёжную систему (ПС),
Создание токена. После получения запроса ПС проверяет возможность токенизации этой карты у банка-эмитента: нет ли ограничений, не заблокирована ли карта и т.д. При успешном ответе ПС создаёт уникальный токен и связывает его с соответствующей картой.
Далее ПС создаёт пачку платёжных ключей — обычно десяток (на одну транзакцию каждый раз тратится один ключ) — и отправляет в TSP. А сервис пересылает эти ключи с ID токена на хранение в мобильное приложение.
Хранение токена. Кошелёк и мобильное приложение хранят ID токена в своей защищенной базе данных вместо реальных данных карты с пачкой ключей и данными об устройстве.
Теперь мы знаем что такое такое токен, и как он попадает к нам в телефон. Но как проходит оплата? Погружаемся.
Глава 4. Оплата
При проведении транзакции через мобильное устройство приложение общается с POS-терминалом через SDK и передаёт ID токена вместо реальных данных карты, с одним платежным ключом на терминал. Затем платёж проходит через стандартную цепочку участников: банк-эквайер → платёжная система → банк-эмитент и обратно.
Получив команду APDU (Application Protocol Data Units), ожидаемую для старта оплаты от удалённого устройства (терминала), мы вызываем обработку в SDK. Все APDU определены в спецификации ISO/IEC 7816-4, это пакеты уровня приложения, которыми обмениваются считыватель NFC и сервис HostApduService. Такой протокол является полудуплексным, то есть считыватель NFC отправляет вам команду APDU и ждёт APDU-ответ.
Взаимодействия между терминалом и сервисом NFC в приложении должно быть максимально быстрым. Весь процесс оплаты выглядит так:
Обратный вызов от SDK.
Отображение экрана результата.
Платить можно без интернет-соединения, но до тех пор, пока в запасе есть платёжные ключи. Для их обновления потребуется выйти в интернет.
А чтобы все данные, которые лежат в кошельке, в TSP, в Платежной системе были одинаковые, необходимо обеспечить их синхронизацию.
Для обновления данных по токенам и кошельку необходима синхронизация с бекендом. Она выполняется при авторизации пользователя в приложении. В нашем приложении нужна ещё и фоновая синхронизация, для этого мы использовали workManager. Задача на синхронизацию ставилась в том числе и при оплате с соблюдением определённых условий.
Глава 5. Аутентификация CDCVM
Самое важное в процессе оплаты это что? Правильно. Б – безопасность.
А как сделать оплату NFC максимально безопасной, чтобы злоумышленник, приложив POS терминал к вашему карману, где лежит телефон, не смог списать какую-то крупную сумму, пока вы с ним третесь в час пик в метро?
Для этого используется технология CDCVM, которая расшифровывается как Consumer Device CVM. В этом случае пользователь вводит отдельный код доступа к платёжному приложению. Для запуска аутентификации на Android используется BiometricPrompt [2], с помощью которого выполняется системный запрос аутентификации с использованием одной из поддерживаемых биометрических технологий: отпечаток пальца или кодом.
Но и об удобстве не стоит забывать! Дополнительно, мы реализовали возможность оплачивать заблокированным телефоном. При этом можно даже выбрать сумму для оплаты, если вы этого сами хотите, без подтверждения отпечатком пальца или кодом: 100, 250, 500 или 1000 рублей.
Резюме
Мы обсудили базовые понятия бесконтактной оплаты на стороне мобильных приложений. Рассмотрели основные компоненты поддержки бесконтактных платежей в Android-приложении и основные этапы процесса оплаты.
И вот, что у нас получилось:
Оплата одним касанием (в прошлой версии SberPay был заточен под двойное касание). Так удобнее всего для быстрой оплаты: махнул по терминалу, забрал покупки и пошёл по делам дальше.
Индивидуальный и Живой дизайн для Сберкарт. Просто небольшое отличие от всех остальных кошельков, чтобы порадовать глаз. Выбрав любимую картинку для Сберкарты в приложении, мы автоматически поставим ее на экран оплаты в SberPay.
Отображение баланса карт во время оплаты.
Оплата в пределах выбранной суммы без разблокировки телефона.
SberPay: что это такое, для чего нужен этот сервис и как им пользоваться
В июле 2020 года «Сбербанк» запустил собственный платежный сервис под названием SberPay.
Вопрос, нужно ли было это делать, даже не рассматривается: две из трех наиболее популярных платежных систем для мобильных устройств (Google Pay и Apple Pay), принадлежат «заклятым друзьям», а третья, Samsung Pay – их вернейшему из союзников, да еще и привязана к единственному бренду.
Все прочие проходят по разряду экзотики с десятком-другим миллионов российских пользователей.
Тем, кто еще не успел опробовать эту возможность, наверняка интересно будет узнать, что она собой представляет, как начать с ней работать и что для этого потребуется.
В чем смысл сервиса
По своей сути SberPay ничем не отличается от аналогов, созданных Google, Apple и Samsung: это платежная система, позволяющая использовать смартфон для совершения бесконтактных и онлайновых платежей, использующая для этого привязку к банковской карте.
В этом она не похожа на более ранние ЭПС, использующие собственные условные единицы, типа WebMoney или Qiwi.
С одной стороны, не требуется никаких лишних регистраций, верификаций и прочего источника негатива: практически всё уже сделано банком.
С другой – средства пользователя довольно-таки надежно защищены благодаря соответствующим системам смартфона: украсть деньги, заполучив чужой аппарат, практически невозможно.
И еще один фактор, актуальный в условиях пандемии: нет контакта с наличностью, которая в теории может стать источником заражения COVID-19.
Зачем это нужно
За тем же, зачем нужна самая обыкновенная пластиковая банковская карта, которыми весь мир пользуется уже не одно десятилетие.
- Оплатить покупку в торговой точке, оснащенной POS-терминалом, поддерживающим бесконтактные платежи. Общественный транспорт, общепит, заправка авто – везде бесконтактные платежи позволяют экономить время.
- Снимать наличные в банкомате без использования карты.
В чем отличия от аналогов?
Первое, о чем стоит сказать – это… отсутствие приложения SberPay как такового. Не нужно искать его в Google Play – только зря потратите время.
И дело вовсе не в чьей-то зловредной воле: просто сервис интегрирован в уже давным-давно использующееся приложение под названием «СберБанк Онлайн», количество установок которого на момент написания статьи перевалило за сотню миллионов. Ищите – и обрящете.
Второе, на первый взгляд, кажется не слишком существенным, но это – как посмотреть.
Сбер Пэй или Мир Пэй: что лучше в 2023 году?
Сбер
Жители России столкнулись с массовыми проблемами проведения бесконтактных платежей после введения западных санкций в марте 2022 года. На текущий момент (февраль 2023) в стране не поддерживается работа иностранных платежных сервисов — Google Pay и Apple Pay, а Samsung Pay функционирует только с банковскими картами «МИР».
Кроме того, пластик Visa и Mastercard больше нельзя использовать для оплаты через смартфон или умные часы в магазинах на территории РФ. Но это не означает, что россияне больше не могут пользоваться удобным бесконтактным способом оплаты и платить в магазинах телефоном. Рассказываем про отечественные альтернативы платежных сервисов — Sber Pay и Mir Pay.
Что такое Mir Pay и Sber Pay
Mir Pay — крупнейший отечественный платежный инструмент, который был разработан специально для работы с картами «МИР». Запуск состоялся в 2019 году и за два года к «Мир Пэй» присоединилось больше 100 российских банков. Разработкой приложения занималась компания АО «НПСК», которая является оператором платежной системы «МИР» в России.
Sber Pay — менее популярный платежный инструмент в РФ, поскольку пользоваться им могут только клиенты «Сбера», оформившие карту банка. Разработкой приложения занималась сама компания «Сбер», а запуск нового платежного сервиса для клиентов состоялся летом 2020 года.
Подробный обзор сервисов Мир Pay и Сбер Pay
Принцип работы бесконтактной оплаты
Платёжные сервисы для совершения бесконтактных платежей работают на смартфонах с встроенным датчиком NFC. Он позволяет безопасно обмениваться данными между банком-эмитентом, который выпустил банковскую карту и банком-эквайером, куда поступает оплата от клиента.
«Мир Пэй»
Один из самых простых способов сохранить возможность расплачиваться в магазинах смартфоном — выпустить карту «МИР» практически любого банка РФ и установить специальный сервис «Мир Пэй». Но такая возможность есть исключительно у пользователей на Android с версией 7.0 и выше, владельцы iPhone не смогут загрузить приложение, поскольку его нет в App Store.
«Мир Пэй» работает по такому же принципу, как и привычные россиянам Google Pay и Apple Pay. Смартфон передаёт данные (цифровые токены для оплаты) при помощи встроенного NFC-датчика. Если такая технология не поддерживается на смартфоне, то оплатить им покупки в магазине через банковский терминал уже не получится.
Не обязательно тратить время на походы в банк и выпускать пластик, достаточно оформить и виртуальную банковскую карту — это можно сделать всего за пару минут в приложении своего банка. «Мир Пэй» сотрудничает с большинством из банков РФ, в том числе «ВТБ», «Тинькофф» и «Альфа Банк». Добавить в приложение можно только российские банковские карты «МИР».
Инструкция по установке и использованию Mir Pay
- В магазине приложений на телефоне, например, Play Market, в строке поиска ввести название Mir Pay и нажать на кнопку «Загрузить».
- После установки «Мир Пэй», нажать на его иконку и на открывшейся главной странице найти раздел «Добавить карту». Загрузить новую карту можно самостоятельно (указав все реквизиты) или отсканировать пластик при помощи камеры на телефоне.
- Для подтверждения привязки карты потребуется указать код, который отправит банк на мобильный номер телефона. На этом весь процесс добавления карты заканчивается и пользователь может пользоваться ей для бесконтактных платежей.
Для того, чтобы оплатить покупку в магазине, достаточно снять блокировку с телефона и поднести его к банковскому терминалу. При успешной оплате прозвучит характерный сигнал, подтверждающий списание денежных средств. Оплата через «Мир Пэй» доступна практически повсеместно на территории РФ, где установлены банковские терминалы, которые принимают карты «МИР» и бесконтактные платежи. Кроме того, сервис функционирует в десяти зарубежных государствах, в том числе в Турции.
- расплачиваться при помощи приложения можно практически в любом месте РФ, где установлен соответствующий банковский терминал;
- «Мир Пэй» работает и в ряде заграничных стран, что удобно при совершении покупок в обычных магазинах;
- можно подключиться к бонусной программе «Привет, Мир!», копить кэшбэк и участвовать в различных акциях.
- сервис недостаточно развит для совершения онлайн-оплаты в интернет-магазинах. Не все крупные площадки предлагают способ оплаты в виде «Мир Пэй». Это неудобно, но если в приоритете стоят покупки в розничных магазинах, то приложение станет отличной альтернативой ушедшим западным разработкам;
- работает только с картами «МИР». Но в текущих условиях минус несущественный, поскольку иностранные Visa и Mastercard фактически ушли с российского рынка и пользователи могут пользоваться только лишь пластиковыми картами, привязать их для удобных бесконтактных платежей пока не получится;
- «Мир Пэй» недоступен для владельцев iPhone.
«Сбер Пэй»
Полный функционал сервиса доступен только для владельцев смартфонов с ОС Android (версия 7.0 и выше), в том числе для тех пользователей, которые не имеют доступ к Google Play — телефоны производителей Honor и Huawei. Владельцы iPhone могут использовать «Сбер Пэй» только в части совершения покупок в онлайне и интернет-магазинах, бесконтактная оплата на кассе для них недоступна.
Сервис поддерживает только карты, выпущенные банком «Сбер». С марта 2022 года в «Сбер Пэй» можно привязать только карты платежной системы «МИР», Visa и Mastercard ушли из России, поэтому их функционал стал ограничен.
Как добавить новую карту и оплачивать покупки бесконтактным способом
- «Сбер Пэй» не требует установки какого-либо специального приложения. Вся работа сервиса уже встроена в само приложение банка «Сбербанк Онлайн».
- В мобильном приложении банка на главной странице меню необходимо выбрать карту, которую пользователь хочет привязать для бесконтактной оплаты. Нажать на ее изображение или название, перейти в раздел «Настройки» и выбрать функцию «Подключить Sber Pay».
- Для оплаты в магазинах смартфон подносится к банковскому терминалу. Пользователю остается разблокировать смартфон и ввести код-пароль (либо другой способ для снятия блокировки с телефона). Второй вариант — перед оплатой покупки зайти в приложение «Сбербанк Онлайн» и поднести смартфон к банковскому терминалу. Тогда вводить пароль для оплаты не потребуется.
Оплата на кассе в магазине происходит через встроенный в смартфон NFC-датчик. Если телефон не поддерживает такую технологию, то владелец не сможет пользоваться возможностями бесконтактных платежей. «Сбер Пэй» позволяет оплачивать покупки и в интернет-магазинах. При оформлении заказа необходимо выбрать способ оплаты Sber Pay. Автоматически произойдет переход в приложение «Сбербанк Онлайн», где клиент подтверждает списание денежных средств с карты.
- владельцы iPhone могут использовать сервис для совершения онлайн-покупок и оформления заказов в интернет-магазинах;
- работает от технологии NFC, поэтому оплатить покупки смартфоном получится в любой точке, где установлен банковский терминал, принимающий такие платежи;
- полный функционал «Сбер Пэй» доступен и для владельцев смартфонов Huawei и Honor.
- возможность привязать только банковские карты «Сбера» (с марта 2022 года исключительно платежной системы «МИР»);
- владельцы iPhone не могут использовать сервис для совершения бесконтактных платежей при помощи смартфона на кассах в розничных магазинах.
Другие сервисы, доступные в России на данный момент
«Кошелек Пэй»
До 10 марта 2022 года для россиян актуальным оставался ещё один платёжный сервис — «Кошелек Пэй». Но он позволял привязать только банковские карты Visa и Mastercard. Теперь карты иностранных платежных систем нельзя использовать для бесконтактной оплаты, поэтому сервис работает в ограниченном функционале.
В настоящее время «Кошелёк Пэй» — удобное приложение для хранения различных пластиковых карт клиента (их цифровых копий) в одном месте. Пользователи могут добавить бонусные, скидочные и другие виды карт. Это удобно — нет необходимости постоянно носить с собой кошелёк со всеми пластиковыми картами. В приложении есть удобный поиск по названию и найти нужную карту на кассе не составит труда.
«Кошелёк Пэй» позволяет не только хранить все карты пользователя в одном месте, но и предлагает целый ряд других удобных функций:
- выпуск новых дисконтных и клубных карт самых разных магазинов — от региональных торговых сетей до крупнейших ритейлеров;
- регистрация в программах лояльности;
- отслеживание актуальных скидок, предложений и акций от магазинов-партнеров.
Скачать «Кошелек Пэй» можно в магазине приложений Google Play для владельцев смартфонов с ОС Android, а также в App Gallery — для устройств Honor и Huawei. В магазине приложений App Store сервис недоступен, пользователи iPhone могут установить только обычную версию приложения «Кошелёк: дисконтные карты».
Samsung Pay с картами «МИР»
В марте 2022 года пользователи из России с банковскими картами Visa и Mastercard столкнулись с проблемами проведения платежей через Samsung Pay. Причина тому — прекращение работы зарубежных платежных систем на территории страны. Но те, у кого есть банковские карты национальной платежной системы «МИР» могут в полной мере и дальше пользоваться Samsung Pay, поскольку сам иностранный сервис не вводил на территории РФ каких-либо ограничений, связанных с функционалом приложения.
Скачать приложение можно в официальном магазине приложений — Galaxy Store или Google Play. Привязать карту можно через главное меню, раздел «Банковские карты». Пользователю необходимо отсканировать пластик или ввести все реквизиты вручную, далее принять условия использования сервиса и подтвердить свое действие кодом, который поступит на мобильный телефон.
Оплачивать покупки через Samsung Pay можно, как в розничных, так и интернет-магазинах. На кассе смартфон требуется поднести к банковскому терминалу и для оплаты разблокировать его. Для владельцев Samsung в текущих условиях лучшим платежным инструментом является Samsung Pay, но только при наличии банковской карты «МИР».
Как оплачивать покупки за границей и что такое Union Pay
Отечественные платежные инструменты подходят только для оплаты на территории России, исключение Mir Pay — работает в 10 заграничных странах. Но если предстоит поездка заграницу вне списка этих государств или есть необходимость оформить интернет-заказ в зарубежном магазине, то можно завести карту китайской платежной системы и пользоваться платежным инструментом Union Pay.
Впервые Union Pay появилась в Китае в 2002 году в качестве национальной платежной системы для внутреннего использования внутри государства. В настоящее время Union Pay вышла на международный уровень и используется в более чем 180 странах по всему миру. Жители Дальнего Востока РФ ещё с 2007 года пользуются банковскими картами китайской платежной системы.
Карта Union Pay, после прекращения работы Visa и Mastercard для пользователей из РФ — единственный вариант для путешествий по миру в тех странах, которые не принимают к оплате банковские карты национальной платежной системы «МИР». Кроме того, китайскими картами можно оплачивать заказы в зарубежных интернет-магазинах, например, Amazon и eBay (правда сейчас в большинстве таких магазинов приостановлены доставки для жителей из России).
Карта пригодится для поездок за границу и оплаты покупок в иностранных интернет-магазинах. А вот расплачиваться Union Pay на территории РФ нельзя. Привязать такие банковские карты не получится в Mir Pay, Sber Pay и Samsung Pay. Повезло только владельцам Honor и Huawei, карты без труда добавляются в штатное приложение на смартфоне — Huawei Pay.
Как платить за рубежом? Если необходимо оплачивать покупки заграницей в розничных магазинах, потребуется сама пластиковая карта. Исключение, пользователи смартфонов Huawei и Honor. Им доступны возможности бесконтактной оплаты с Union Pay через штатное платёжное приложение.
Сбербанк сообщил о запуске системы платежных сервисов SberPay
Сбербанк запускает новую систему платежных сервисов SberPay, сообщили РБК в компании. Сервис будет доступен как для физических лиц, так и для бизнеса.
При помощи SberPay можно будет оплатить покупки как онлайн (на сайтах и в приложении), так и офлайн (в торговых точках, оснащенных POS-терминалами и принимающих бесконтактную оплату). Для этого необходимо установить мобильное приложение «Сбербанк Онлайн».
В случае оплаты онлайн клиент сможет выбрать любую из имеющихся у него карт. Остаток средств на карте будет виден сразу, указали в Сбербанке. При использовании SberPay клиентам банка не потребуется вводить данные карты на сайтах интернет-магазинов и платежных сервисов, а также ждать подтверждения по СМС.
Для частных лиц услуга SberPay будет бесплатной, а для бизнеса будут взиматься тарифы за использование онлайн-оплаты. Они не будут отличаться от тарифов на обычный эквайринг и будут зависеть от сферы деятельности, объемов бизнеса и прочих факторов, говорится в сообщении.
Использование SberPay онлайн бизнесом повысит количество завершенных покупок, отметили в Сбербанке. Кроме того, сервис позволит отправлять пуш-уведомления на оплату. Для этого клиент должен позвонить в call-центр, чтобы купить конкретный товар, а продавец вышлет на номер телефона клиента пуш-уведомление со ссылкой, которая откроет приложение «Сбербанк Онлайн».