Практическое руководство по запуску платежного сервис-провайдера: выбор модели, договор с эквайером, лицензирование, PCI DSS, выбор платформы, статьи затрат и план запуска в 9 шагов.
P2P API представляет собой интерфейс, через который PSP или банк переводит деньги между двумя людьми, с карты на карту или со счета на счет, через две части операции: списание и зачисление. Руководство написано для PSP, банков-эквайеров и эмитентов электронных денег, которые хотят добавить переводы между физлицами в свои приложения или в приложения своих клиентов.
P2P API (peer-to-peer payment API) представляет собой набор запросов, через которые ваше приложение переводит деньги от одного частного лица другому. Один вызов сообщает платформе, кто платит, кто получает и сколько. Дальше платформа выполняет списание, зачисление, проверки и уведомления.
P2P-платеж означает перевод между двумя физическими лицами не в оплату товаров или услуг. Он отличается от других карточных транзакций, которые вы уже обрабатываете: мерчант ничего не продает, а деньги в итоге попадают к потребителю, а не в магазин.
Большинство продуктов покрывают три типа переводов:
| Тип перевода | Списание | Зачисление | Инфраструктура |
|---|---|---|---|
| С карты на карту | Списание с карты отправителя с авторизацией его эмитента | Зачисление на карту получателя, которое проводит его эмитент | Push-сервис платежной системы |
| С карты на счет | Списание с карты отправителя | Зачисление на банковский счет или счет электронных денег получателя | Платежная система плюс национальная система переводов между счетами |
| Со счета на счет | Списание с платежного счета отправителя банком или эмитентом электронных денег, где открыт счет | Зачисление на платежный счет получателя | Кредитовый перевод, например мгновенный перевод в евро |
Выплата и P2P-перевод различаются тем, кто платит. Выплата переводит деньги от бизнеса человеку: выигрыши, возврат остатка, доход продавца. P2P-перевод переводит деньги от одного человека другому. У них разные типы транзакций, разные модели комиссий и, по антиотмывочному законодательству ЕС, разный режим для карточных переводов.
P2P-перевод состоит из двух карточных или счетовых транзакций, которые связывает ваша платформа. Сначала платформа проверяет перевод и рассчитывает комиссию, затем списывает деньги у отправителя, затем зачисляет их получателю. У каждого шага свой ответственный. Ниже пример для перевода с карты на карту.
Приложение вашего клиента или ваше собственное вызывает API с картой или токеном отправителя, картой или счетом получателя и суммой к зачислению. Если отправитель сохранил карту как сетевой токен, номер карты вводить заново не нужно.
До движения денег платформа проверяет лимиты и уровень верификации отправителя, выбирает эквайринговое подключение по правилам маршрутизации платежей и рассчитывает комиссию, которую увидит отправитель.
Где требуется строгая аутентификация клиента, ваш 3DS Server проводит 3-D Secure с эмитентом отправителя, и тот аутентифицирует держателя карты.
Эквайер отправляет в платежную систему Account Funding Transaction (AFT). Эмитент отправителя одобряет или отклоняет ее так же, как покупку.
Эквайер в роли эквайера-инициатора (originating acquirer) отправляет Original Credit Transaction (OCT). Эмитент получателя зачисляет деньги на его карту.
Платформа закрывает перевод одним из двух способов. При успехе она отправляет финальный статус в приложение, уведомляет обоих участников и сверяет обе части в расчетах. Если зачисление не прошло, платформа просит эквайера отправить отмену AFT или корректировку, как требует правило Visa 7.4.1.3.
Шаг проверки в P2P важнее, чем в приеме карт. Перевод может быть технически возможен, но рассчитан по неверному подключению. Поэтому в eComCharge добавили правила маршрутизации на этапе verify-p2p: шлюз выбирается и комиссия рассчитывается до начала перевода.
По разделу 7.4.1.1 Visa Product and Service Rules AFT обязательна для финансирования переводов между физлицами без присутствия карты, а в Европе для всех мерчантов. Она несет признак AFT и корректный идентификатор бизнес-применения (BAI).
По разделу 7.4.1.3 эквайер отменяет или корректирует AFT, если получатель отказался от средств, перевод отклонен или истек срок.
По разделу 8.4.1.1 в OCT участвуют только один отправитель и один получатель. Один запрос платит одному человеку, поэтому перевод нескольким получателям оформляется как несколько переводов.
Visa Direct и Mastercard Move являются push-сервисами платежных систем. Они проводят зачисление P2P-перевода на карту, счет или кошелек. Подключаются к ним через эквайера, который инициирует кредитовые транзакции, а не через отдельный договор с банком каждого получателя.
Источник: страница продукта Visa Direct, данные в публикации Visa
Оба сервиса отправляют деньги на карты, счета и кошельки. Visa Direct описывает себя как быстрое перемещение денег на карты, счета и кошельки через одно подключение и называет P2P среди своих платежных сценариев. Mastercard Move представляет собой линейку сервисов Mastercard для перевода денег, рассчитанная на банки и небанковские финансовые организации; конечными точками служат банковские счета, карты и кошельки.
Раздел 8.4.2.2 правил Visa определяет, что должен сделать эмитент получателя и как быстро он зачисляет деньги:
Переводы со счета на счет подчиняются правилам скорости своей системы. Для мгновенного кредитового перевода в евро Регламент о мгновенных платежах дает провайдеру получателя 10 секунд, чтобы сделать средства доступными на счете и подтвердить это. Без подтверждения провайдер плательщика сразу восстанавливает его счет.
Visa добавляет, что доступность зависит также от типа счета, региона и комплаенс-процедур, а каждый участник сам отвечает за соблюдение законодательства. Сроки и правила для внутренних переводов в Казахстане и Центральной Азии отличаются, их нужно сверять с местным регулятором и эквайером.
На P2P API строят четыре вида продуктов. У каждого свой отправитель, свой получатель и своя комплаенс-нагрузка, поэтому определитесь с продуктом до выбора подключения. Карточки ниже показывают, кто пользуется каждым продуктом и что ему нужно от платформы.
Ваши клиенты отправляют деньги друзьям по номеру карты, счета или телефона, поэтому отправителя уже покрывает ваша процедура надлежащей проверки. Если оба провайдера находятся в ЕС, перевод несет как минимум номера обоих счетов. По запросу вы передаете имена в течение трех рабочих дней, а для перевода свыше 1 000 евро также полные данные плательщика (Регламент о переводах средств, статья 5).
Любой держатель карты переводит деньги на другую карту с веб-страницы или из приложения. Отправители здесь разовые пользователи, поэтому основную часть риска несут верификация и лимиты.
Отправитель платит картой, а получатель за рубежом получает деньги на карту или счет. Основная работа приходится на конвертацию валют и AML-данные, сопровождающие перевод.
Маркетплейс, сообщество или игровой клиент позволяет пользователям платить друг другу, а вы проводите переводы под брендом клиента. Игровым клиентам и маркетплейсам часто нужен онбординг high-risk мерчантов до включения P2P. Обязанности по AML остаются у лицензированной стороны (у вас или у клиента); обязанности перед платежной системой несут эквайер-инициатор и вы как его сервис-провайдер.
Выплаты платформы продавцам не относятся к P2P: это бизнес-выплаты со своей логикой разделения платежей и расчетов.
В двух случаях подойдет решение проще P2P API. Если клиентам нужно только платить своим пользователям (продавцам или игрокам), проще выплата: у нее нет P2P-обязательств. Если вы работаете на одном рынке, где банки уже дают всем клиентам мгновенные переводы между счетами, продукт «с карты на карту» конкурирует с сервисом, который у пользователей уже есть. Начинайте со сценария, а не с API.
В ЕС P2P-перевод считается платежной услугой, поэтому нужна лицензия банка, платежной организации или эмитента электронных денег либо лицензированный партнер, который оказывает услугу. Помимо лицензии действуют четыре группы правил: строгая аутентификация клиента, данные о переводе, надлежащая проверка клиента и, для переводов на счета, проверка получателя.
Вторая директива о платежных услугах (PSD2) относит денежные переводы к платежным услугам в Приложении I и определяет их в статье 4(22): средства, полученные от плательщика без открытия платежного счета, только для перевода получателю. Организационные и разрешительные вопросы запуска платежного сервиса разобраны в нашей статье об административных вопросах.
Ниже описаны правила ЕС. В Казахстане и других странах Центральной Азии требования к лицензированию, AML и данным о переводе устанавливает национальный регулятор, в Казахстане это Национальный Банк (НБК). Перед запуском сверьте требования с регулятором и эквайером.
| Правило | Что требует | Кто исполняет |
|---|---|---|
| PSD2, статья 97 | Строгая аутентификация клиента, когда плательщик инициирует электронный платеж; для удаленных платежей с привязкой к сумме и получателю | Аутентифицирует эмитент отправителя. Вы проводите списание через 3-D Secure |
| Регламент о переводах средств, статья 2(3) | Правила о сопровождающей информации применяются к карточным переводам между потребителями, хотя карточные покупки из-под них выведены | Вы как провайдер плательщика |
| Регламент о переводах средств, статьи 4 и 5 | Имя, номер счета и адрес плательщика, номер документа или дата и место рождения, а также имя и номер счета получателя (или уникальный идентификатор транзакции). Внутри ЕС на переводе достаточно номеров счетов, а полные данные передаются по запросу в течение трех рабочих дней для переводов свыше 1 000 евро | Вы собираете и проверяете данные до отправки перевода |
| Директива AML, статьи 11 и 13 | Надлежащая проверка клиента для любых деловых отношений и для разового перевода свыше 1 000 евро, а также постоянный мониторинг | Вы отвечаете за своих пользователей, а ваш клиент за своих, если у него своя лицензия |
| Регламент о мгновенных платежах | Проверка получателя: провайдер плательщика сверяет номер счета и имя получателя до того, как плательщик авторизует кредитовый перевод | Банк или эмитент электронных денег, где открыт счет отправителя. В еврозоне с 9 октября 2025 года, в остальных странах ЕС до 9 июля 2027 года |
| Правила Visa, раздел 8.4.1.2 | Проверять данные отправителя, соблюдать законодательство об AML, раскрывать сбор данных и уведомить Visa до первой OCT | Эквайер-инициатор и вы как его сервис-провайдер |
Эти правила вступили в силу в разные даты. Регламент о переводах средств 2023/1113 применяется с 30 декабря 2024 года. С 10 июля 2027 года Директива AML отменяется, а ее правила надлежащей проверки переходят в напрямую применимый Регламент AML 2024/1624.
Если лицензии у вас пока нет, в руководстве как открыть процессинговую компанию сравниваются работа по собственной лицензии и через лицензированного партнера.
Привязывайте каждый лимит к тому, насколько хорошо вы знаете отправителя, и считайте связанные переводы одним. Отправитель, которого вы видели один раз, получает небольшие и редкие переводы. Полностью верифицированный клиент получает больше. Регламент о переводах средств учитывает переводы, которые выглядят связанными, а дробление платежей остается классическим способом остаться ниже порогов.
Основную работу делают пять лимитов. Задайте каждый по отправителю, по карте и по получателю и согласуйте их с эквайером, некоторые он может требовать сам:
Лимиты остаются рабочими благодаря двум инструментам: лимитам на уровне карты в шлюзе и автоматической проверке личности, которая позволяет повышать лимиты верифицированным отправителям без ручной проверки.
Допущения, придуманные для примера: отправитель внутри ЕС переводит 600 евро, а затем 500 евро одному и тому же получателю в один день. Оба провайдера находятся в ЕС. Отправитель здесь разовый пользователь, а не клиент со счетом.
Практическое правило: суммируйте переводы по отправителю и по получателю в скользящем окне и повышайте уровень проверки до того, как порог превысит сумма, а не отдельный перевод.
Основные риски: украденные карты как источник переводов, отправители, которых обманом заставили заплатить мошеннику, дропперские карты, собирающие украденные деньги, и переводы не тому человеку. Все четыре заканчиваются деньгами, которые уже ушли с вашей платформы. По PSD2 платежное поручение нельзя отозвать после того, как платформа его получила.
| Риск | Что происходит | Как снизить |
|---|---|---|
| Перевод с украденной карты | Мошенник финансирует переводы с украденной карты и выводит деньги на подконтрольную карту | 3-D Secure на каждом списании, лимиты частоты по карте и проверка истории карты до AFT |
| Отправителя обманули | Отправитель сам авторизует перевод мошеннику, который выдает себя за продавца, родственника или банк | Показывать имя получателя, где это поддерживает инфраструктура, задерживать или ограничивать первые переводы новому получателю, предупреждать о нетипичных суммах |
| Дропперская карта собирает деньги | Одна карта получателя принимает переводы от множества не связанных отправителей, затем деньги обналичиваются | Ограничить число разных отправителей на карту получателя и проверять получателей с большим числом новых отправителей |
| Отправитель ошибся в получателе | Отправитель неверно ввел номер карты или счета | Токенизировать получателей для повторных переводов и сверять имена. По статье 88 PSD2 вы не отвечаете за неверный идентификатор, но обязаны приложить разумные усилия для возврата средств |
| Зачисление не прошло после списания | Эмитент получателя отклонил перевод или истек срок, а с отправителя уже списали деньги | Эквайер отправляет отмену AFT или корректировку по правилу Visa 7.4.1.3, а обе части сверяются ежедневно |
Карту-источник до AFT проверяют два инструмента: история карты и фильтры на правилах. В статье о Smart Check показано, какие счетчики ведутся по каждой карте, включая P2P-переводы и выплаты, и как их читает правило. Поверх этого работают антифрод-фильтры на правилах.
Можно построить P2P-стек самостоятельно, подключиться к сервису платежной системы через эквайера и построить логику вокруг него, или запустить P2P на шлюзовой платформе, где уже есть типы транзакций и коннекторы. От выбора зависит, кто поддерживает изменения правил платежных систем, маршрутизацию, лимиты и сверку.
При любом варианте клиенты подключаются одним из трех способов: вызывают API сервер-сервер, отправляют отправителя на платежную страницу или встраивают сценарий в мобильное приложение. Те же способы интеграции используются для приема карт, а для приложений есть мобильные SDK для Android и iOS.
Вы решаете: с карты на карту, с карты на счет или со счета на счет, и определяете страны отправителей и получателей.
Эквайер подтверждает, что может инициировать AFT и OCT в ваших странах, и уведомляет платежную систему до первой OCT.
Комплаенс-команда прописывает лимиты по уровням верификации. Продуктовая команда задает комиссию, которую видит отправитель.
Разработчики проверяют отклоненную AFT, отклоненную OCT после успешной AFT, таймаут и повторный запрос с тем же ключом идемпотентности (уникальным ID запроса, который не дает повтору создать второй перевод).
Сначала откройте продукт верифицированным клиентам и расширяйте лимиты, когда станут известны уровни мошенничества и отмен.
Перед решением полезно прочитать наше руководство о том, как выбрать White-Label платежную платформу: оно помогает сравнить поставщиков.
В White-Label шлюзе eComCharge P2P входит в число 12 типов транзакций: перевод средств с карты на карту между физическими лицами. Он работает на том же шлюзе, что и платежи, возвраты и выплаты, под вашим брендом.
Запросы описаны в разделе P2P документации API.
Установка в формате SaaS занимает от 1 недели, установка на ваших серверах от 3 месяцев.
Стоимость eComCharge зависит от потребностей вашего бизнеса, поэтому свяжитесь с отделом продаж, чтобы получить предложение.
Все 12 типов транзакций перечислены на странице White-Label платежного шлюза beGateway.
P2P API (peer-to-peer) представляет собой интерфейс, через который PSP или банк переводит деньги между двумя физическими лицами: с карты на карту или со счета на счет. В одном запросе указываются отправитель, получатель и сумма. Платформа за API списывает деньги у отправителя, зачисляет их получателю и выполняет проверки и уведомления.
Он состоит из двух карточных транзакций. Списание с карты отправителя проходит как Account Funding Transaction (AFT): эмитент отправителя одобряет ее, где требуется, после 3-D Secure. Зачисление на карту получателя проходит как Original Credit Transaction (OCT), которую проводит эмитент получателя. Платформа связывает обе части, а если зачисление не прошло, эквайер отменяет или корректирует списание.
Это зависит от платежной инфраструктуры и от провайдера получателя. В Visa эмитент получателя должен провести Original Credit Transaction в течение 2 рабочих дней, а для перевода внутри Европы в тот же рабочий день. Эмитенты, участвующие в Fast Funds, делают деньги доступными в течение 30 минут после одобрения, а для внутреннего перевода в США в течение 60 секунд. Мгновенные переводы в евро между счетами в ЕС должны дойти до получателя за 10 секунд, иначе провайдер плательщика восстанавливает его счет.
В ЕС да. Денежные переводы и исполнение платежных операций относятся к платежным услугам по PSD2, поэтому нужна лицензия банка, платежной организации или эмитента электронных денег либо лицензированный партнер. Вместе с лицензией появляются обязанности по AML: надлежащая проверка клиентов, мониторинг и данные по каждому переводу. В других странах правила свои: в Казахстане требования нужно уточнять у Национального Банка (НБК).
В ЕС да. Регламент о переводах средств освобождает карточные оплаты товаров и услуг, но по статье 2(3) его правила действуют, когда карта используется для перевода между потребителями. Провайдер плательщика передает имена и номера счетов плательщика и получателя, адрес или данные документа плательщика либо уникальный идентификатор транзакции и проверяет данные плательщика до перевода.
После отправки нет. По PSD2 платежное поручение нельзя отозвать после того, как его получил провайдер плательщика. Если отправитель ошибся в номере карты или счета, провайдер не несет ответственности, но обязан приложить разумные усилия для возврата средств. Поэтому антифрод должен срабатывать до зачисления, а не после.
Тем, кто платит. P2P-перевод переводит деньги от одного физлица другому за счет карты или счета отправителя. Выплата (payout) переводит деньги от бизнеса человеку: маркетплейс платит продавцу, игровая площадка выплачивает выигрыш. На шлюзе eComCharge P2P и выплата являются двумя отдельными типами транзакций.
Стоимость зависит от типов переводов, рынков, объема и нужных эквайринговых подключений. В eComCharge P2P работает на том же шлюзе, что и прием карт и выплаты. Цена зависит от потребностей вашего бизнеса, поэтому свяжитесь с отделом продаж, чтобы получить предложение.
eComCharge разрабатывает и предоставляет сертифицированную по стандарту PCI DSS Level 1 White Label платформу для обработки платежей beGateway для поставщиков платежных услуг и оркестрации платежей.
Как PSP защититься от внезапного отключения эквайером, сбоя или снижения лимитов: риск концентрации, триггеры платежных систем и андеррайтинга, резервные эквайеры, переносимые токены, распределение объема, план действий при сбое, затраты и кому это не нужно.
Руководство по каскадированию платежей для PSP и банков-эквайеров: мягкие, жёсткие и технические отказы, коды ответа Visa, проектирование каскада, защита от двойных списаний, 3-D Secure, правила платёжных систем, метрики возврата и случаи, когда каскад не нужен.
Как вертикальные SaaS-платформы и обслуживающие их PSP запускают встроенные платежи: четыре модели и ответственность в каждой, рекуррентные списания и SCA, неудачные продления, трансграничный эквайринг, охват PCI DSS и расчет дохода.
Что входит в программное обеспечение для PSP, кто пользуется каждым модулем, что нужно для работы со множеством мерчантов, как считаются комиссии и выплаты, разработка или White-Label и какие обязанности по комплаенсу остаются за вами.
Практическое руководство по запуску платежного сервис-провайдера: выбор модели, договор с эквайером, лицензирование, PCI DSS, выбор платформы, статьи затрат и план запуска в 9 шагов.
Как PSP, банки-эквайеры и эмитенты электронных денег подключают high-risk мерчантов: какие MCC считаются рискованными, проверки KYB, UBO и санкций, андеррайтинг и резервы, регистрация и мониторинг в Visa, что автоматизировать и как сохранять доказательную базу.