Hvordan skjer betalingen i nettbutikken?

Hvordan betalingen skjer når kunden velger kortbetaling som betalingsform kan forenklet visualiseres og forklares slik:

1. Valg av produkter: Betalingsprosessen starter med at kunden plukker ut de produktene de ønsker å bestille. Disse produktene blir lagt i en handlekurv. Når kunden er ferdig å plukke varene de ønsker klikker de på “kasse” symbolet i handlekurven for å gå til kassa for å betale for varene.
2. Registrering av ordren: Kunden blir først sendt til en registreringside hvor de må oppgi navn, adresse og annen leveringsinformasjon. Denne ordren lagres så midlertidig før den registrerte handlekurven sendes til nettbutikkens eksterne betalingsløsning (innløseren) for å få betalt for varene.
3. Kortkontroll: Innløseren mottar den registrerte handlekurven og ber kunden oppgi kortinformasjonen som trengs for å gjennomføre betalingen. Kunden oppgir denne informasjonen som så sendes til kortutstederen for kontroll. Dvs. at kortet ikke stjålet og at kontoen har dekning eller tilgjengelig kredit.
4. Betaling: Er kortopplysningene korrekte og kontoen har dekning eller kredit for kjøpebeløpet, blir dette beløpet reservert (trukket fra kortet) sammen med et referansenummer som blir returnert tilbake til nettbutikken som en bekreftelse på betalingen.
5. Ordrebekreftelse: Betalingen for ordren blir nå registrert i nettbutikkens database, samtidig som kunden mottar en ordrebekreftelse på nettbutikkens sider og gjerne på e-post i tillegg.

Ordren betales på innløserens servere

Som det går frem av illustrasjonen over skjer ikke betalingen på nettbutikkens servere. Den registrerte handlekurven sendes til innløserens server via en kryptert linje (SSL) for å gjøre det umulig for andre å snappe opp denne transaksjonen gjennom å sette opp en lyttepost mot nettbutikkserveren. 

Denne transaksjonsserveren til innløseren sjekker først at kortopplysningene er korrekte. Deretter sjekker den at det er mulig å reservere kjøpesummen på kortet, gjennom å sjekke om kontoen har dekning eller kreditt for kjøpesummen.

Kan kjøpesummen reserveres trekkes kjøpesummen fra kortet og ett referansenummer sendes tilbake til nettbutikken over den samme krypterte linjen som en bekreftelse for at betalingen gikk igjennom. Denne bekreftelsen legges så til ordren, før kunden får presentert den endelige ordrebekreftelsen på nettbutikkens sider.

Ingen kortinformasjon oppgis i nettbutikken

Ovenstående løsning gjør at ikke noe kortinformasjon oppgis i nettbutikken av sikkerhetshensyn.

Først når kunden blir redirected til innløserens servere på en kryptert linje oppgir de sårbare kortopplysningene. Går ordren igjennom blir kunden så redirectet tilbake til nettbutikkens sider, hvor de vil motta sin endelige ordrebekreftelse.

Kunden ser imidlertid ikke at de først blir redirected til en tredjeparts betalingsløsning hvor selve betalingen skjer, før de blir redirected tilbake til nettbutikken etter at betalingen har gått igjennom. Dette fordi betalingsiden kunden kommer til hos innløseren gjerne har det samme webdesignet som resten av nettbutikken.

Eget SSL sertifikat er ikke påkrevd

Siden betalingen av ordren ikke skjer på nettbutikkens servere, men på innløserens kreves det ikke at nettbutikken selv har satt opp et eget SSL sertifikat på sin server for å sikre en trygg betaling. Noe som også går tydelig frem av illustrasjonen over, hvor all vanlig åpen kommunikasjon over HTTP protokollen er markert med svarte linjer, mens den kommunikasjonen som krever krypterte linjer (SSL) er markert med blå linjer.

Det vanlige er at selve handleprosessen frem til kassa skjer på vanlige åpen linjer. Når kunden klikker på “betal” symbolet blir de redirectet til innløserens servere via innløserens SSL-sertifikat, hvor selve transaksjonen skjer på deres krypterte linjer. På denne måten blir alle sensitive kortopplysninger beskyttet, uten at nettbutikken selv trenger å tenke mer på dette. 

Å ha et eget SSL sertifikat på nettbutikken har imidlertid andre fordeler, da dette sertifikatet sikrer en 100% ende til ende kryptering av alle data som sendes og mottas via kundens maskin fra de først kommer til nettbutikkens sider til de mottar ordrebekreftelsen. 

Har nettbutikken ikke et eget SSL-sertifikat er det kun betalingstransaksjonen som er beskyttet via krypterte linjer – ikke alt som skjer før handlekurven sendes til kassa for betaling.