Bagi pelanggan, pembayaran kartu hanya butuh sepuluh detik. Di belakangnya ada beberapa langkah yang harus tersambung dengan benar: toko, payment processor, bank pelanggan, dan aplikasi faktur. Jika salah satunya salah konfigurasi, muncul pesanan yang sudah dibayar tetapi tidak tampil di toko, atau pesanan “lunas” padahal uangnya tidak masuk.
Ringkasan
- Data kartu dimasukkan pelanggan di halaman payment processor, bukan di server toko.
- Di Uni Eropa, pembayaran online pada umumnya mewajibkan autentikasi kuat: 3-D Secure, dengan konfirmasi di aplikasi bank.
- Pesanan dikonfirmasi setelah payment processor memberi tahu pembayaran, bukan saat pelanggan sampai di halaman “terima kasih”.
- Total dihitung di server, dari harga Anda, bukan dari apa yang dikirim browser.
- Sebelum peluncuran, uji dengan kartu uji coba dari payment processor.
Siapa melakukan apa
- Toko menyimpan produk, harga, keranjang, dan pesanan.
- Payment processor (misalnya Stripe atau processor milik bank) menerima data kartu, berkomunikasi dengan bank, dan mentransfer uangnya kepada Anda.
- Bank pelanggan menyetujui atau menolak pembayaran dan meminta autentikasi.
- Aplikasi faktur menerbitkan faktur dan mengirimkannya ke RO e-Factura (untuk toko di Rumania).
Paling aman jika data kartu sama sekali tidak melewati server Anda: pelanggan diarahkan ke halaman aman payment processor atau mengisi kolom yang dimuat langsung dari processor. Dengan begitu, toko tidak menyimpan dan tidak melihat nomor kartu, dan sebagian besar kewajiban keamanan data kartu tetap ada pada processor.
3-D Secure dan autentikasi kuat
Directive Eropa tentang layanan pembayaran (PSD2) mewajibkan, untuk sebagian besar pembayaran online, autentikasi pelanggan yang ketat: selain data kartu, ada satu konfirmasi lagi, biasanya di aplikasi bank atau dengan kode yang dikirim ke ponsel. Untuk kartu, ini dilakukan lewat 3-D Secure.
Bagi toko, ada dua hal penting: alur pembayaran harus mendukung 3-D Secure, dan pembayaran yang masih menunggu konfirmasi tidak boleh dianggap lunas.
Pesanan dikonfirmasi saat pembayaran masuk
Halaman “terima kasih” yang dilihat pelanggan setelah membayar bukan bukti pembayaran: pelanggan bisa menutup jendela sebelumnya, dan alamat halaman itu bisa dibuka tanpa membayar. Yang benar adalah processor memberi tahu server toko, lewat notifikasi otomatis (webhook), bahwa pembayaran sudah dilakukan. Baru saat itulah pesanan menjadi lunas, email konfirmasi terkirim, dan faktur diterbitkan.
Harga dihitung di server
Browser pelanggan bisa dimanipulasi oleh siapa saja yang paham sedikit pemrograman. Karena itu, toko tidak boleh menerima harga atau total yang dikirim dari keranjang: toko hanya menerima produk dan jumlah yang diinginkan pelanggan, lalu menghitung total di server dari daftar harganya sendiri. Harga di halaman hanya untuk tampilan.
Pengujian sebelum peluncuran
Payment processor punya mode uji coba, dengan kunci terpisah dan kartu uji coba yang dipublikasikan di dokumentasinya. Coba setidaknya:
- satu pembayaran berhasil;
- satu pembayaran yang meminta 3-D Secure;
- satu kartu yang ditolak;
- satu kartu dengan saldo tidak cukup;
- satu pembayaran yang ditinggalkan di tengah jalan: keranjang harus tetap ada, dan pesanan tidak boleh tampil sebagai lunas.
Setelah setiap uji coba, periksa: status pesanan di toko, email yang diterima pelanggan, faktur, dan apa yang terlihat di panel processor.
Yang tetap menjadi tanggung jawab Anda
- Kunci payment processor hanya disimpan di server, dalam file yang tidak bisa dibaca pengunjung, dan tidak pernah dikirim lewat email atau chat. Jika sebuah kunci sampai ke tempat yang salah, ganti dari panel processor.
- Sertifikat SSL harus aktif di seluruh website (mengapa).
- Refund dan pengembalian juga dilakukan lewat processor, sedangkan faktur pembatalan lewat aplikasi faktur.
- Biaya processor berbeda dari satu penyedia ke penyedia lain; perhitungkan dalam harga Anda.
Langkah lain sebelum peluncuran — halaman legal, e-Factura — ada di checklist peluncuran toko online. Untuk hosting, toko online dimulai dari paket Toko, dengan 3 website, 15 GB, dan email tanpa batas (hosting web).