Come caricare qualcuno un importo variabile ogni 2 mesi senza memorizzare il codice CVV?

Question

Abbiamo un prodotto fisico che viene spedito ogni 2, 3 o 4 mesi a seconda delle preferenze del cliente. Tra una spedizione e l'altra l'utente può scegliere di modificare le proprie scelte.

Prima che qualcuno lo suggerisca, sono quasi certo che un sistema di fatturazione ricorrente (come Paypal) non è adatto alle nostre esigenze. Per due ragioni un sistema come Paypal non sembra essere l'ideale.

• Ti fanno solo fare mensilmente, trimestralmente, ogni anno. Non ogni 2 o 3 mesi. [Paypal API document here]
• Vogliamo che il cliente sia in grado di "spedire subito" se desidera i suoi prodotti prima o dopo il normale orario.
• Dal momento che è un prodotto fisico, non possiamo dividerlo in un importo mensile proporzionale.

penso quindi dovremo rebill utilizzando lo stesso meccanismo come facciamo noi quando si crea l'ordine iniziale - con l'numebr CC e il codice CVV2. Ma ovviamente non possiamo memorizzare il codice CVV2 per la conformità PCI !!

Mi sono imbattuto recentemente nello 'BrainTrees' payment services, che consente di creare una transazione iniziale e recuperare un "token" che rappresenta quel numero di carta di credito. Quel token è sicuro da conservare perché è inutile per un ladro. Aiuta a minimizzare il lavoro necessario per la conformità PCI.

Sto perfettamente bene con la soluzione BrainTree. Sembra perfetto per quello di cui abbiamo bisogno, tuttavia mi lascia confuso sull'offerta di Paypal. Come potrei ottenere ciò che sto cercando di fare con qualsiasi sistema diverso da BrainTree senza dover memorizzare il codice CVV2?

Answer 1

Potresti già sapere che il cvv2 è utilizzato in un controllo avs/csc che viene eseguito prendendo i numeri dall'indirizzo del cliente, i numeri dal post/codice postale e i numeri dal cvv2 e confrontandoli con i valori noti detenuti dalla carta emittente.

Il risultato del controllo avs/csc restituisce un valore a tre cifre che consente di sapere se i valori di indirizzo/cvv2 corrispondono a quelli mantenuti in archivio dall'emittente della carta. Il risultato di questo controllo può quindi essere utilizzato per aiutare a prevenire transazioni fraudolente.

Pertanto un modo comune per affrontare il problema di non essere in grado di memorizzare il codice cvv2 effettivo è invece di memorizzare il risultato cvv2 .In questo modo puoi essere abbastanza fiducioso che finché l'indirizzo non è stato modificato, la carta è ancora valida. L'unico svantaggio di questo approccio è che alcune banche acquirenti ritengono che le autorizzazioni eseguite senza un controllo di cvv2 non siano sicure e richiedono un tasso di interscambio più elevato. Potrebbe essere necessario discuterne con il proprio acquirente per spiegare che solo l'autorizzazione prima viene eseguita con il controllo cvv2 e quelli successivi no.

Tutto detto però, troverete la conformità PCI molto più semplice se si utilizza invece un fornitore di servizi che consente di contenere i valori dei token anziché i numeri di carta effettivi.

Un altro problema con i pagamenti ricorrenti che non sono sicuro se hai preso in considerazione è il fatto che nel tempo le carte scadranno, essere cancellato o ri-rilasciato. Visa e MasterCard hanno entrambi un servizio relativamente nuovo chiamato Visa Account Updater o MasterCard Automatic Billing Updater per gestire questo. È qualcosa che avresti bisogno di organizzare con la tua banca acquirente, o se vai sulla rotta PSP probabilmente verrà gestito automaticamente - ma vale la pena controllare.

Answer 2

È passato un po 'di tempo da quando ho dovuto fare qualcosa di simile ... e Ho usato solo l'API di Payflow di Verisign. Potresti voler controllare.

Per quanto mi riguarda, i gateway di pagamento raccomandano fortemente l'archiviazione dei dati della carta.

Il meccanismo consigliato è utilizzare il numero di riferimento dalla transazione originale e quindi collegare la nuova transazione ad esso; deve essere molto simile al modo in cui Brain Tree lo gestisce.

Answer 3

La maggior parte dei gateway non richiede il funzionamento di cvv. Questo codice significa essenzialmente "carta di credito presente" e non dovrebbe essere utilizzato per transazioni ricorrenti.

Braintree sembra una buona opzione se non si desidera che il fastidio di conforme a PCI (che ho avuto a che fare, non è difficile, ma richiede un po 'di processo da creare)

Answer 4

Questo articolo spiega i problemi intorno ricorrenti di fatturazione un numero CVV2 molto bene e merita una lettura: http://kb.modularmerchant.com/a378-credit-card-security-codes.php