Tipologie di integrazione
Per processare le transazioni con Fabrick Payment Orchestra, il primo passo è scegliere la modalità di integrazione più adatta al proprio contesto, dalla pagina di pagamento Fabrick fino all'integrazione diretta tramite API.
Le integrazioni si distinguono per due aspetti: chi presenta l'interfaccia di pagamento al buyer, Fabrick o l'esercente, e dove transitano i dati della carta. Da questi due aspetti dipendono il livello di personalizzazione possibile, l'impegno di sviluppo e i requisiti di conformità PCI DSS a carico dell'esercente.
- Checkout PageIntegra la Checkout Page, la pagina di pagamento hosted di Fabrick: il buyer sceglie il metodo di pagamento su una pagina gestita da Fabrick, con redirect diretto verso carta o APM e URL di esito configurabili per la singola transazione.
- Pay By LinkRichiedi un pagamento tramite link, QR Code o email con Pay By Link: canali di invio, periodo di validità della richiesta, redirect diretto verso carta o APM e notifica dell'esito.
- Web ComponentsIntegra il pagamento nella pagina di checkout con i Web Components di Fabrick: carte, wallet e metodi di pagamento alternativi come elementi HTML nativi, senza iFrame né popup.
- LightboxPresenta la pagina di pagamento Fabrick in un pop-up sovrapposto al checkout, senza redirect: caricamento dello script, apertura della Lightbox, gestione tramite callback e verifica dell'esito.
- API OnlyIntegra i servizi di Fabrick Payment Orchestra direttamente tramite API, senza pagine di pagamento Fabrick: form carta sul sito dell'esercente, wallet, metodi di pagamento alternativi e pagamenti con token.
- PluginFabrick Payment Orchestra si integra con i principali CMS per e-commerce tramite plugin ufficiali e con soluzioni di terze parti — PMS per l'hospitality e CMS verticali — per semplificare l'accettazione dei pagamenti online in ogni contesto di business.
Confronto delle integrazioni
| Integrazione | Presentazione del pagamento | Inserimento dei dati carta | Dati carta sui server dell'esercente | SAQ |
|---|---|---|---|---|
| Checkout Page | Redirect verso la pagina Fabrick | Pagina Fabrick | No | A |
| Pay By Link | Link, QR Code o email verso la pagina Fabrick | Pagina Fabrick | No | A |
| Lightbox | Pop-up sulla pagina dell'esercente | Pagina Fabrick in overlay | No | A |
| Web Component | Componente nella pagina dell'esercente | Componente Fabrick | No | A |
| API Only (client) | Pagina dell'esercente | Invio diretto dal front-end a Fabrick | No | A-EP |
| API Only (server) | Pagina dell'esercente | Invio dal server dell'esercente a Fabrick | Sì | D o ROC |
| Plugin | Estensione del CMS | Dipende dalla modalità del plugin | Dipende dalla modalità del plugin | A o A-EP |
Il modello SAQ indicato è quello tipico di ciascuna integrazione. Il modello da compilare va sempre confermato con il proprio acquirer, in base alla configurazione effettiva del sito e dei flussi di pagamento.
Integrazioni hosted
Nelle integrazioni hosted l'interfaccia di pagamento, i flussi di autenticazione e i redirect verso i metodi di pagamento alternativi (APM) sono gestiti da Fabrick. L'esercente inizializza la transazione con la chiamata payment/create e presenta al buyer la pagina o il componente Fabrick.
Checkout Page
Il buyer viene reindirizzato alla pagina di pagamento Fabrick, personalizzabile con il logo dell'esercente, dove sceglie uno dei metodi di pagamento abilitati, ad esempio carte e PayPal. È possibile anche un redirect diretto verso la pagina di inserimento dei dati carta o verso uno specifico APM.
È la soluzione più rapida da integrare, con un impatto minimo sui sistemi dell'esercente.
Questionario PCI DSS: SAQ A · Vai alla guida Checkout Page
Pay By Link
Presenta la pagina di pagamento Fabrick tramite un link, con la possibilità di definire il periodo di validità della richiesta. Il pagamento può essere proposto al buyer attraverso diversi canali:
- link di pagamento, da utilizzare per un redirect o da condividere
- email inviata al buyer dai servizi Fabrick
- QR Code da mostrare al buyer per il pagamento tramite scansione
La possibilità di inviare la richiesta di pagamento al di fuori del checkout rende Pay By Link adatto anche a vendite assistite, solleciti di pagamento e campagne di cross-selling e up-selling.
Questionario PCI DSS: SAQ A · Vai alla guida Pay By Link
Lightbox
Presenta la pagina di pagamento Fabrick in un pop-up sovrapposto al sito dell'esercente, tramite una libreria JavaScript, senza far lasciare al buyer la pagina di checkout.
Questionario PCI DSS: SAQ A · Vai alla guida Lightbox
Web Component
Integra il pagamento direttamente nella pagina di checkout dell'esercente tramite componenti HTML nativi, configurabili con attributi, senza iFrame né popup. Il componente gestisce l'intero flusso, inclusi l'autenticazione 3DS e i redirect verso gli APM.
Questionario PCI DSS: SAQ A · Vai alla guida Web Component
Integrazione diretta
API Only
L'integrazione API Only permette di utilizzare i servizi del gateway direttamente tramite API, senza le pagine di pagamento Fabrick. È indicata per le realtà più strutturate, ad esempio per collegare la piattaforma di pagamento ai sistemi gestionali, e permette di realizzare una pagina di pagamento personalizzata, coerente con la grafica e l'esperienza utente dell'e-commerce.
Il questionario PCI DSS dipende da dove transitano i dati della carta:
| Scenario | Flusso dei dati carta | Validazione PCI DSS |
|---|---|---|
| API Only (client) | I dati vengono inseriti nel browser, nell'app o nella WebView e inviati direttamente a Fabrick, ad esempio con la payment/submit dal front-end, senza transitare sui server dell'esercente | SAQ A-EP |
| API Only (server) | I dati transitano sui sistemi back-end dell'esercente prima di essere inviati a Fabrick | SAQ D con relativo AOC oppure, per gli esercenti di livello più alto, ROC e AOC redatti da un QSA |
Plugin
Fabrick mette a disposizione plugin per i principali CMS e piattaforme e-commerce, che semplificano il collegamento tra negozio online e gateway senza sviluppi dedicati.
Questionario PCI DSS: dipende dal plugin, generalmente SAQ A o SAQ A-EP · Vai ai plugin
Requisiti PCI DSS: SAQ, AOC e ROC
Per comprendere le responsabilità legate a ciascuna modalità di integrazione è necessario conoscere i requisiti di conformità PCI DSS, lo standard internazionale che regola la gestione, la trasmissione e la memorizzazione dei dati delle carte di pagamento.
SAQ – Self-Assessment Questionnaire
Il SAQ è il questionario ufficiale con cui l'esercente autocertifica la propria conformità PCI DSS. Il modello da compilare dipende dalla modalità di integrazione scelta:
| Modello | Quando si applica | Impegno richiesto |
|---|---|---|
| SAQ A | L'esercente non riceve, non trasmette e non memorizza dati carta: gli elementi della pagina di pagamento sono forniti da Fabrick. Rientrano le integrazioni con redirect verso la pagina Fabrick e quelle che inseriscono la pagina o i campi Fabrick nel sito dell'esercente | Il più contenuto |
| SAQ A-EP | L'esercente non riceve i dati carta sui propri server, ma la sua pagina web gestisce la raccolta dei dati e il loro invio diretto a Fabrick, e può quindi incidere sulla sicurezza della transazione | Più esteso rispetto a SAQ A |
| SAQ D | I dati carta transitano o vengono elaborati sui server dell'esercente | Il più elevato, in termini di requisiti tecnici, organizzativi e di sicurezza |
AOC – Attestation of Compliance
L'AOC è la dichiarazione formale di conformità PCI DSS e accompagna sempre la validazione. Quando la conformità è validata con un SAQ, l'AOC è compilato dall'esercente insieme al questionario. Quando è validata con un ROC, l'AOC ne riassume l'esito ed è sottoscritto anche dal QSA che ha svolto la verifica.
ROC – Report on Compliance
Il ROC è il rapporto dettagliato redatto da un Qualified Security Assessor (QSA) al termine della verifica della conformità PCI DSS. È richiesto agli esercenti di livello più alto, individuati dai circuiti in base al numero annuo di transazioni; gli altri esercenti validano la conformità con il SAQ, salvo diverse richieste del proprio acquirer.