Checkout — последний рубеж, но не единственный

E-commerce команды собирают чек-лист безопасности платежей перед пиковым сезоном: 3-D Secure, лимиты на карту, мониторинг chargeback. Это правильно — но мусорный трафик из рекламы часто доходит до формы оплаты раньше, чем срабатывает payment antifraud.

Ниже — практический обзор для маркетолога и product owner. Это не юридическая консультация и не замена PCI DSS audit. За сертификацию, ключи и scope отвечают эквайер, PSP и ваш compliance. ClikBy не обрабатывает платежи и не заменяет payment antifraud — платформа работает на слое качества кликов, который кормит воронку до checkout.

1. 3-D Secure 2.0 (3DS2)

3DS2 передаёт банку больше контекста о транзакции (device, shipping, history) и снижает friction для «хороших» клиентов через frictionless flow. Для e-commerce это baseline 2026: без 3DS2 растёт liability shift и доля необоснованных chargeback.

• Убедитесь, что PSP поддерживает 3DS2, а не legacy 3DS1 на всех сценариях (web + in-app browser).
• Отдельно настройте правила для high-ticket SKU и digital goods — там другой risk profile.
• Сверяйте decline rate после включения 3DS2 с CR по каналам — иногда «падает checkout» из-за bot-трафика, а не из-за 3DS.

2. PCI: что должен понимать маркетолог (high-level)

PCI DSS — стандарт защиты данных платёжных карт. Маркетологу не нужно читать все 12 требований, но важно знать границу: если карточные данные не касаются вашего сервера (hosted fields, redirect на PSP), scope уже уже. Любой скрипт на checkout, который «подслушивает» поля, — красная зона.

• Не вставляйте сторонние пиксели и A/B-скрипты на страницу с полями карты без согласования с security.
• Логи checkout не должны содержать PAN/CVV — даже «на время отладки».
• Tokenization и network tokens — зона PSP; ваша задача — не дублировать чувствительные данные в CRM из форм.

3. Proxy, VPN и datacenter IP на checkout

Payment engines часто режут транзакции с datacenter IP, Tor и массовых VPN. Полезный сигнал — но не единственный: residential proxy уже норма у carding-ботов. Комбинируйте IP с velocity, device fingerprint и поведением на сайте.

• Отдельный alert, если доля VPN-сессий на checkout выше baseline канала.
• Сравните geo billing vs geo IP vs geo доставки — систематические расхождения требуют review, не auto-decline без политики.
• На acquisition-слое умные ссылки ClikBy дают ранний сигнал bot/datacenter до дорогого checkout — это не блокировка платежа, а гигиена рекламного трафика.

4. Velocity rules

Velocity — лимиты на частоту операций: попытки оплаты с одной карты, с одного device, на один адрес за окно времени. Базовые правила ловят card testing; продвинутые — graph-связи между аккаунтами и картами.

• Лимит failed auth attempts до soft block + CAPTCHA или step-up.
• Отдельные пороги для guest checkout vs logged-in loyal customers.
• Синхрон velocity между web, app и call-center — иначе фрод «перетекает» в слабое звено.

5. Chargeback hygiene

Chargeback — не только потеря суммы, но и ratio, который бьёт по merchant account. Гигиена процессов снижает «дружественный» и fraud CB:

• Descriptor в выписке совпадает с брендом на сайте — иначе растут CB «не узнал списание».
• Tracking и proof of delivery для physical goods; access logs для digital.
• Representment в срок с пакетом доказательств — процесс, не разовая задача support.
• Анализ CB reason codes по UTM/каналу: иногда источник acquisition системно ведёт fraud CB, а не «плохая карта».

Мини-чек-лист перед сезоном

• 3DS2 включён на всех маршрутах оплаты.
• Scope PCI согласован с PSP; на checkout нет лишних third-party scripts.
• Velocity и VPN/datacenter signals настроены и мониторятся.
• Chargeback workflow и descriptor проверены.
• Paid-каналы разведены умными ссылками — baseline bot-доля до масштабирования бюджета.

Проверить качество acquisition-трафика с ClikBy

При работе с персональными данными в РБ учитывайте требования Закона Республики Беларусь № 99-3 «О защите персональных данных».