सुरक्षित पेमेंट की पुष्टि करके पुष्टि करें

Eiji Kitamura

कारोबारी या कंपनियां, किसी क्रेडिट कार्ड या बैंक खाते के लिए, स्ट्रॉन्ग कस्टमर ऑथेंटिकेशन (SCA) प्रोसेस के हिस्से के तौर पर सिक्योर पेमेंट पुष्टि (SPC) का इस्तेमाल कर सकती हैं. WebAuthn पुष्टि करता है (अक्सर बायोमेट्रिक्स के ज़रिए). WebAuthn पहले से रजिस्टर होना चाहिए. इसके बारे में आपको सुरक्षित पेमेंट की पुष्टि रजिस्टर करें में जाना जा सकता है.

सामान्य तरीके से लागू करने की प्रक्रिया कैसे काम करती है

SPC का सबसे सामान्य इस्तेमाल तब होता है, जब कोई ग्राहक किसी व्यापारी/कंपनी/कारोबारी की साइट पर खरीदारी करता है और क्रेडिट कार्ड जारी करने वाली कंपनी या बैंक को पेमेंट करने वाले की पुष्टि की ज़रूरत होती है.

आइए, पुष्टि करने के तरीके के बारे में जानते हैं:

1. कोई ग्राहक, कारोबारी को अपने पेमेंट से जुड़े क्रेडेंशियल (जैसे कि क्रेडिट कार्ड की जानकारी) देता है.
2. अगर पेमेंट करने वाले व्यक्ति को अलग से पुष्टि करने की ज़रूरत है, तो कारोबारी या कंपनी, पेमेंट क्रेडेंशियल जारी करने वाले बैंक या बैंक (भरोसेमंद पक्ष या आरपी) से पूछती है. उदाहरण के लिए, यह बदलाव हो सकता है EMV® 3-D Secure.
   • अगर आरपी चाहता है कि कारोबारी या कंपनी, एसपीसी का इस्तेमाल करे और अगर उपयोगकर्ता ने पहले से रजिस्टर किया हुआ है, तो आरपी जवाब में पेमेंट करने वाले के रजिस्टर किए गए क्रेडेंशियल आईडी की सूची और एक चैलेंज के साथ जवाब देता है.
   • अगर पुष्टि करने की ज़रूरत नहीं है, तो कारोबारी या कंपनी, लेन-देन पूरा कर सकती है.
3. अगर पुष्टि करना ज़रूरी है, तो कारोबारी या कंपनी यह तय करती है कि ब्राउज़र पर SPC काम करता है या नहीं.
   • अगर ब्राउज़र SPC के साथ काम नहीं करता है, तो पुष्टि करने के मौजूदा फ़्लो के साथ आगे बढ़ें.
4. व्यापारी/कंपनी ने एसपीसी को शुरू किया हो. ब्राउज़र, पुष्टि करने के लिए एक डायलॉग दिखाता है.
   • अगर आरपी से कोई क्रेडेंशियल आईडी पास नहीं किया जाता है, तो पुष्टि करने के मौजूदा फ़्लो पर वापस जाएं. पुष्टि हो जाने के बाद, आने वाले समय में पुष्टि करने के तरीकों को आसान बनाने के लिए, एसपीसी रजिस्ट्रेशन का इस्तेमाल करें.
5. उपयोगकर्ता, डिवाइस को अनलॉक करके रकम और पेमेंट के डेस्टिनेशन की पुष्टि करता है और पुष्टि करता है.
6. पुष्टि होने पर, व्यापारी/कंपनी को एक क्रेडेंशियल मिलता है.
7. आरपी को कारोबारी या कंपनी से क्रेडेंशियल मिलता है और उसके भरोसेमंद होने की पुष्टि की जाती है.
8. आरपी, व्यापारी/कंपनी को पुष्टि के नतीजे भेजता है.
9. व्यापारी/कंपनी/कारोबारी, उपयोगकर्ता को एक मैसेज दिखाता है. इससे पता चलता है कि पेमेंट हो गया है या नहीं.

अहम जानकारी: शुरुआती एसपीसी एक्सपेरिमेंट के लिए, इस एपीआई को पेमेंट के अनुरोध और पेमेंट हैंडलर एपीआई को लागू करने के मौजूदा तरीकों के साथ डिज़ाइन किया गया था. पेमेंट अनुरोध से अलग, एसपीसी की डिज़ाइन को एक्सप्लोर करने के लिए अब एक सामान्य समझौता हो गया है. हम उम्मीद करते हैं कि (बिना किसी ठोस टाइमलाइन के) SPC अपने भुगतान अनुरोध मूल से अलग हो जाएगा. डेवलपर के लिए, इससे सुविधा की पहचान, उसे शुरू करने, और एपीआई के अन्य पहलुओं को बेहतर बनाया जा सकता है.

सुविधा की पहचान

यह पता लगाने के लिए कि SPC ब्राउज़र पर काम करता है या नहीं, आप canMakePayment() पर नकली कॉल कर सकते हैं.

व्यापारी/कंपनी की वेबसाइट पर SPC की पहचान करने की सुविधा के लिए, नीचे दिए गए कोड को कॉपी करके चिपकाएं.

const isSecurePaymentConfirmationSupported = async () => {
  if (!'PaymentRequest' in window) {
    return [false, 'Payment Request API is not supported'];
  }

  try {
    // The data below is the minimum required to create the request and
    // check if a payment can be made.
    const supportedInstruments = [
      {
        supportedMethods: "secure-payment-confirmation",
        data: {
          // RP's hostname as its ID
          rpId: 'rp.example',
          // A dummy credential ID
          credentialIds: [new Uint8Array(1)],
          // A dummy challenge
          challenge: new Uint8Array(1),
          instrument: {
            // Non-empty display name string
            displayName: ' ',
            // Transparent-black pixel.
            icon: 'data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAADUlEQVR42mNk+P+/HgAFhAJ/wlseKgAAAABJRU5ErkJggg==',
          },
          // A dummy merchant origin
          payeeOrigin: 'https://non-existent.example',
        }
      }
    ];

    const details = {
      // Dummy shopping details
      total: {label: 'Total', amount: {currency: 'USD', value: '0'}},
    };

    const request = new PaymentRequest(supportedInstruments, details);
    const canMakePayment = await request.canMakePayment();
    return [canMakePayment, canMakePayment ? '' : 'SPC is not available'];
  } catch (error) {
    console.error(error);
    return [false, error.message];
  }
};

isSecurePaymentConfirmationSupported().then(result => {
  const [isSecurePaymentConfirmationSupported, reason] = result;
  if (isSecurePaymentConfirmationSupported) {
    // Display the payment button that invokes SPC.
  } else {
    // Fallback to the legacy authentication method.
  }
});

उपयोगकर्ता की पुष्टि करें

उपयोगकर्ता की पुष्टि करने के लिए, secure-payment-confirmation और WebAuthn पैरामीटर के साथ PaymentRequest.show() तरीका शुरू करें:

• PublicKeyCredentialRequestOptions
• कारोबारी या कंपनी के प्लैटफ़ॉर्म पर, पेमेंट से जुड़े अन्य पैरामीटर.

पेमेंट के तरीके की data प्रॉपर्टी, SecurePaymentConfirmationRequest में ये पैरामीटर दिए गए हैं.

पैरामीटर	जानकारी
rpId	आरपी आईडी के तौर पर आरपी ऑरिजिन का होस्टनेम.
challenge	यह एक रैंडम चैलेंज है, जो रीप्ले से होने वाले हमलों को रोकता है.
credentialIds	क्रेडेंशियल आईडी का कलेक्शन. WebAuthn की पुष्टि करने की प्रक्रिया में allowCredentials प्रॉपर्टी, PublicKeyCredentialDescriptor ऑब्जेक्ट के कलेक्शन को स्वीकार करती है, लेकिन SPC में सिर्फ़ क्रेडेंशियल आईडी की सूची पास की जाती है.
payeeName (ज़रूरी नहीं)	पेमेंट पाने वाले का नाम.
payeeOrigin	पैसे पाने वाले का मूल नाम. ऊपर बताई गई स्थिति में, यह कारोबारी या कंपनी का ऑरिजिन है.
instrument	displayName के लिए स्ट्रिंग और icon के लिए एक यूआरएल, जो इमेज संसाधन पर ले जाता है. iconMustBeShown के लिए एक वैकल्पिक बूलियन (डिफ़ॉल्ट रूप से true पर सेट होता है) जो किसी आइकॉन के बारे में बताता है. अनुरोध को पूरा करने के लिए, उसे फ़ेच करना और दिखाना ज़रूरी है.
timeout	मिलीसेकंड में लेन-देन पर हस्ताक्षर करने के लिए टाइम आउट
extensions	WebAuthn कॉल में एक्सटेंशन जोड़े गए. आपको "पेमेंट" एक्सटेंशन खुद डालने की ज़रूरत नहीं है.

यह उदाहरण कोड देखें:

// After confirming SPC is available on this browser via a feature detection,
// fetch the request options cross-origin from the RP server.
const options = fetchFromServer('https://rp.example/spc-auth-request');
const { credentialIds, challenge } = options;

const request = new PaymentRequest([{
  // Specify `secure-payment-confirmation` as payment method.
  supportedMethods: "secure-payment-confirmation",
  data: {
    // The RP ID
    rpId: 'rp.example',

    // List of credential IDs obtained from the RP server.
    credentialIds,

    // The challenge is also obtained from the RP server.
    challenge,

    // A display name and an icon that represent the payment instrument.
    instrument: {
      displayName: "Fancy Card ****1234",
      icon: "https://rp.example/card-art.png",
      iconMustBeShown: false
    },

    // The origin of the payee (merchant)
    payeeOrigin: "https://merchant.example",

    // The number of milliseconds to timeout.
    timeout: 360000,  // 6 minutes
  }
}], {
  // Payment details.
  total: {
    label: "Total",
    amount: {
      currency: "USD",
      value: "5.00",
    },
  },
});

try {
  const response = await request.show();

  // response.details is a PublicKeyCredential, with a clientDataJSON that
  // contains the transaction data for verification by the issuing bank.
  // Make sure to serialize the binary part of the credential before
  // transferring to the server.
  const result = fetchFromServer('https://rp.example/spc-auth-response', response.details);
  if (result.success) {
    await response.complete('success');
  } else {
    await response.complete('fail');
  }
} catch (err) {
  // SPC cannot be used; merchant should fallback to traditional flows
  console.error(err);
}

.show() फ़ंक्शन के नतीजे के तौर पर PaymentResponse ऑब्जेक्ट मिलता है. हालांकि, details में सार्वजनिक पासकोड का क्रेडेंशियल होता है, जिसमें clientDataJSON होता है. इस क्रेडेंशियल में लेन-देन का डेटा (payment) होता है, ताकि आरपी की मदद से पुष्टि की जा सके.

नतीजे के तौर पर मिलने वाले क्रेडेंशियल को क्रॉस-ऑरिजिन से आरपी पर ट्रांसफ़र किया जाना चाहिए. साथ ही, उसकी पुष्टि की जानी चाहिए.

आरपी, लेन-देन की पुष्टि कैसे करता है

पेमेंट प्रोसेस का सबसे अहम चरण, आरपी सर्वर पर लेन-देन के डेटा की पुष्टि करना है.

लेन-देन के डेटा की पुष्टि करने के लिए प्रतिबंधित पार्टी, WebAuthn की पुष्टि करने के दावे की पुष्टि करने की प्रोसेस का पालन कर सकती है. इसके अलावा, उन्हें payment की पुष्टि करनी होगी.

clientDataJSON के पेलोड का उदाहरण:

{
  "type":"payment.get",
  "challenge":"SAxYy64IvwWpoqpr8JV1CVLHDNLKXlxbtPv4Xg3cnoc",
  "origin":"https://spc-merchant.glitch.me",
  "crossOrigin":false,
  "payment":{
    "rp":"spc-rp.glitch.me",
    "topOrigin":"https://spc-merchant.glitch.me",
    "payeeOrigin":"https://spc-merchant.glitch.me",
    "total":{
      "value":"15.00",
      "currency":"USD"
    },
    "instrument":{
      "icon":"https://cdn.glitch.me/94838ffe-241b-4a67-a9e0-290bfe34c351%2Fbank.png?v=1639111444422",
      "displayName":"Fancy Card 825809751248"
    }
  }
}

चेतावनी: type प्रॉपर्टी, public-key के बजाय payment.get का इस्तेमाल करती है. इसके लिए, मौजूदा WebAuthn लाइब्रेरी में थोड़ा बदलाव करना पड़ सकता है. अगर आपने उनमें से किसी एक को इस्तेमाल करने का विकल्प चुना है.

• rp, आरपी की मूल वैल्यू से मेल खाता है.
• topOrigin, उस टॉप लेवल ऑरिजिन से मेल खाता है जिसे आरपी ने उम्मीद के मुताबिक बनाया है (ऊपर दिए गए उदाहरण में, कारोबारी या कंपनी का ऑरिजिन).
• payeeOrigin, उस व्यक्ति के ऑरिजिन से मेल खाता है जिसे उपयोगकर्ता को दिखाया जाना चाहिए था.
• total, उस लेन-देन की रकम से मेल खाता है जो उपयोगकर्ता को दिखाना चाहिए था.
• instrument, पेमेंट के तरीके की उस जानकारी से मेल खाता है जो व्यक्ति को दिखानी चाहिए.

const clientData = base64url.decode(response.clientDataJSON);
const clientDataJSON = JSON.parse(clientData);

if (!clientDataJSON.payment) {
  throw 'The credential does not contain payment payload.';
}

const payment = clientDataJSON.payment;
if (payment.rp !== expectedRPID ||
    payment.topOrigin !== expectedOrigin ||
    payment.payeeOrigin !== expectedOrigin ||
    payment.total.value !== '15.00' ||
    payment.total.currency !== 'USD') {
  throw 'Malformed payment information.';
}

पुष्टि की सभी ज़रूरी शर्तें पूरी होने के बाद, आरपी, कारोबारी या कंपनी को बता सकता है कि पेमेंट हो गया है.

अगले चरण

• सुरक्षित तरीके से पेमेंट की पुष्टि करने से जुड़ी खास जानकारी पढ़ें
• पेमेंट सुरक्षित तरीके से रजिस्ट्रेशन करने के बारे में जानें