सुरक्षित पेमेंट की पुष्टि करके पुष्टि करें

आइजी कितामुरा

Twitter GitHub Glitch Mastodon

कारोबारी, दिए गए क्रेडिट कार्ड या बैंक खाते के लिए, ग्राहक की पुष्टि करने की प्रक्रिया (एससीए) के तहत, सुरक्षित पेमेंट की पुष्टि (एसपीसी) का इस्तेमाल कर सकते हैं. WebAuthn पुष्टि करता है (अक्सर बायोमेट्रिक्स के ज़रिए). WebAuthn पहले से रजिस्टर होना चाहिए. इसके बारे में जानने के लिए, पेमेंट के सुरक्षित तरीके को रजिस्टर करें पर जाएं.

आम तौर पर लागू करने का तरीका कैसे काम करता है

SPC का सबसे सामान्य इस्तेमाल तब होता है, जब कोई ग्राहक किसी व्यापारी/कंपनी की साइट पर खरीदारी करता है. साथ ही, क्रेडिट कार्ड जारी करने वाले बैंक या कंपनी को, पेमेंट करने वाले की पुष्टि करने की ज़रूरत होती है.

आइए, पुष्टि करने के तरीके के बारे में जानें:

1. ग्राहक, व्यापारी/कंपनी को अपने पेमेंट क्रेडेंशियल (जैसे कि क्रेडिट कार्ड की जानकारी) देता है.
2. अगर पेमेंट करने वाले को अलग से पुष्टि करने की ज़रूरत है, तो व्यापारी/कंपनी/कारोबारी, पेमेंट क्रेडेंशियल को जारी करने वाले बैंक/कंपनी या बैंक (भरोसेमंद पक्ष या आरपी) से पूछता है. उदाहरण के लिए, यह बदलाव EMV® 3-D Secure के साथ हो सकता है.
   • अगर आरपी चाहता है कि व्यापारी/कंपनी, एसपीसी का इस्तेमाल करे और उपयोगकर्ता ने पहले से रजिस्टर किया हो, तो आरपी जवाब में, पेमेंट करने वाले के रजिस्टर किए गए क्रेडेंशियल की सूची के साथ एक चैलेंज भी देता है.
   • अगर पुष्टि करने की ज़रूरत नहीं है, तो कारोबारी लेन-देन पूरा कर सकता है.
3. अगर पुष्टि करने की ज़रूरत होती है, तो कारोबारी तय करता है कि ब्राउज़र, SPC के साथ काम करता है या नहीं.
   • अगर ब्राउज़र में SPC काम नहीं करता है, तो पुष्टि करने के मौजूदा फ़्लो के साथ आगे बढ़ें.
4. कारोबारी, SPC को शुरू करता है. ब्राउज़र, पुष्टि करने वाला डायलॉग दिखाता है.
   • अगर आरपी ने कोई क्रेडेंशियल आईडी पास नहीं किया है, तो पुष्टि करने के मौजूदा फ़्लो पर वापस जाएं. पुष्टि करने के बाद, आने वाले समय में पुष्टि करने की प्रक्रिया को आसान बनाने के लिए, SPC रजिस्ट्रेशन का इस्तेमाल करें.
5. उपयोगकर्ता, डिवाइस को अनलॉक करके रकम और पैसे चुकाने की जगह की पुष्टि करता है और उसकी पुष्टि करता है.
6. पुष्टि करने के बाद व्यापारी/कंपनी को एक क्रेडेंशियल मिलता है.
7. आरपी को कारोबारी से क्रेडेंशियल मिलता है और वह उसके भरोसेमंद होने की पुष्टि करता है.
8. आरपी, पुष्टि की जानकारी कारोबारी को भेजता है.
9. व्यापारी/कंपनी/कारोबारी को मैसेज दिखाता है. इससे पता चलता है कि पेमेंट हो गया है या नहीं.

अहम जानकारी: शुरुआती SPC एक्सपेरिमेंट में तेज़ी से मदद करने के लिए, इस एपीआई को पेमेंट अनुरोध और पेमेंट हैंडलर एपीआई के मौजूदा लागू करने के तरीके के साथ डिज़ाइन किया गया है. पेमेंट के अनुरोध से अलग, SPC के डिज़ाइन के बारे में जानने के लिए, अब एक सामान्य समझौता किया गया है. हमें उम्मीद है कि (बिना किसी तय समयावधि के) SPC अपने पेमेंट के अनुरोध की शुरुआत की जगह से हट जाएगा. डेवलपर के लिए, इससे सुविधा की पहचान, उसे शुरू करने की सुविधा, और एपीआई के अन्य पहलुओं को बेहतर बनाया जाना चाहिए.

सुविधा की पहचान

यह पता लगाने के लिए कि ब्राउज़र पर SPC काम करता है या नहीं, canMakePayment() पर नकली कॉल भेजें.

किसी कारोबारी की वेबसाइट पर, एसपीसी का पता लगाने के लिए, इस कोड को कॉपी करें और चिपकाएं.

const isSecurePaymentConfirmationSupported = async () => {
  if (!'PaymentRequest' in window) {
    return [false, 'Payment Request API is not supported'];
  }

  try {
    // The data below is the minimum required to create the request and
    // check if a payment can be made.
    const supportedInstruments = [
      {
        supportedMethods: "secure-payment-confirmation",
        data: {
          // RP's hostname as its ID
          rpId: 'rp.example',
          // A dummy credential ID
          credentialIds: [new Uint8Array(1)],
          // A dummy challenge
          challenge: new Uint8Array(1),
          instrument: {
            // Non-empty display name string
            displayName: ' ',
            // Transparent-black pixel.
            icon: 'data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAADUlEQVR42mNk+P+/HgAFhAJ/wlseKgAAAABJRU5ErkJggg==',
          },
          // A dummy merchant origin
          payeeOrigin: 'https://non-existent.example',
        }
      }
    ];

    const details = {
      // Dummy shopping details
      total: {label: 'Total', amount: {currency: 'USD', value: '0'}},
    };

    const request = new PaymentRequest(supportedInstruments, details);
    const canMakePayment = await request.canMakePayment();
    return [canMakePayment, canMakePayment ? '' : 'SPC is not available'];
  } catch (error) {
    console.error(error);
    return [false, error.message];
  }
};

isSecurePaymentConfirmationSupported().then(result => {
  const [isSecurePaymentConfirmationSupported, reason] = result;
  if (isSecurePaymentConfirmationSupported) {
    // Display the payment button that invokes SPC.
  } else {
    // Fallback to the legacy authentication method.
  }
});

उपयोगकर्ता की पुष्टि करें

उपयोगकर्ता की पुष्टि करने के लिए, secure-payment-confirmation और WebAuthn पैरामीटर के साथ PaymentRequest.show() तरीके को शुरू करें:

• PublicKeyCredentialRequestOptions
• व्यापारी/कंपनी/कारोबारी के प्लैटफ़ॉर्म पर मौजूद, पेमेंट से जुड़े अन्य पैरामीटर.

पैसे चुकाने के तरीके की data प्रॉपर्टी, SecurePaymentConfirmationRequest को ये पैरामीटर देने होंगे.

पैरामीटर	ब्यौरा
rpId	आरपी आईडी के तौर पर आरपी ऑरिजिन का होस्टनेम.
challenge	यह एक रैंडम चैलेंज होता है, जो रीप्ले अटैक को रोकता है.
credentialIds	क्रेडेंशियल आईडी की कैटगरी. WebAuthn की पुष्टि करने के दौरान, allowCredentials प्रॉपर्टी PublicKeyCredentialDescriptor ऑब्जेक्ट के कलेक्शन को स्वीकार करती है. हालांकि, SPC में, सिर्फ़ क्रेडेंशियल आईडी की सूची पास की जाती है.
payeeName (ज़रूरी नहीं)	पेमेंट पाने वाले का नाम.
payeeOrigin	पैसे पाने वाले का मूल. ऊपर बताए गए उदाहरण में, यह व्यापारी/कंपनी की शुरुआत की जगह है.
instrument	displayName के लिए स्ट्रिंग और icon के लिए यूआरएल, जो किसी इमेज रिसॉर्स पर ले जाता है. iconMustBeShown के लिए, एक वैकल्पिक बूलियन (डिफ़ॉल्ट रूप से true पर सेट होता है) जो किसी आइकॉन के बारे में बताता है. इसके लिए ज़रूरी है कि आइकॉन को फ़ेच किया जाए और दिखाया जाए, ताकि अनुरोध पूरा किया जा सके.
timeout	लेन-देन पर हस्ताक्षर करने के लिए मिलीसेकंड में समय खत्म हुआ
extensions	WebAuthn कॉल में एक्सटेंशन जोड़े गए. आपको "payment" एक्सटेंशन के बारे में बताने की ज़रूरत नहीं है.

यह उदाहरण कोड देखें:

// After confirming SPC is available on this browser via a feature detection,
// fetch the request options cross-origin from the RP server.
const options = fetchFromServer('https://rp.example/spc-auth-request');
const { credentialIds, challenge } = options;

const request = new PaymentRequest([{
  // Specify `secure-payment-confirmation` as payment method.
  supportedMethods: "secure-payment-confirmation",
  data: {
    // The RP ID
    rpId: 'rp.example',

    // List of credential IDs obtained from the RP server.
    credentialIds,

    // The challenge is also obtained from the RP server.
    challenge,

    // A display name and an icon that represent the payment instrument.
    instrument: {
      displayName: "Fancy Card ****1234",
      icon: "https://rp.example/card-art.png",
      iconMustBeShown: false
    },

    // The origin of the payee (merchant)
    payeeOrigin: "https://merchant.example",

    // The number of milliseconds to timeout.
    timeout: 360000,  // 6 minutes
  }
}], {
  // Payment details.
  total: {
    label: "Total",
    amount: {
      currency: "USD",
      value: "5.00",
    },
  },
});

try {
  const response = await request.show();

  // response.details is a PublicKeyCredential, with a clientDataJSON that
  // contains the transaction data for verification by the issuing bank.
  // Make sure to serialize the binary part of the credential before
  // transferring to the server.
  const result = fetchFromServer('https://rp.example/spc-auth-response', response.details);
  if (result.success) {
    await response.complete('success');
  } else {
    await response.complete('fail');
  }
} catch (err) {
  // SPC cannot be used; merchant should fallback to traditional flows
  console.error(err);
}

.show() फ़ंक्शन से PaymentResponse ऑब्जेक्ट मिलता है. हालांकि, details में एक सार्वजनिक पासकोड का क्रेडेंशियल होता है, जिसमें clientDataJSON होता है. इसमें लेन-देन का डेटा (payment) होता है, ताकि आरपी से पुष्टि की जा सके.

क्रेडेंशियल मिलने के बाद, क्रॉस-ऑरिजिन को आरपी पर ट्रांसफ़र करना होगा और उसकी पुष्टि करनी होगी.

आरपी, लेन-देन की पुष्टि कैसे करता है

पेमेंट की प्रोसेस का सबसे अहम चरण होता है, आरपी सर्वर पर लेन-देन के डेटा की पुष्टि करना.

लेन-देन के डेटा की पुष्टि करने के लिए आरपी, WebAuthn की पुष्टि करने के दावे की पुष्टि करने की प्रोसेस का पालन कर सकती है. इसके अलावा, उन्हें payment की पुष्टि करनी होगी.

clientDataJSON के पेलोड का एक उदाहरण:

{
  "type":"payment.get",
  "challenge":"SAxYy64IvwWpoqpr8JV1CVLHDNLKXlxbtPv4Xg3cnoc",
  "origin":"https://spc-merchant.glitch.me",
  "crossOrigin":false,
  "payment":{
    "rp":"spc-rp.glitch.me",
    "topOrigin":"https://spc-merchant.glitch.me",
    "payeeOrigin":"https://spc-merchant.glitch.me",
    "total":{
      "value":"15.00",
      "currency":"USD"
    },
    "instrument":{
      "icon":"https://cdn.glitch.me/94838ffe-241b-4a67-a9e0-290bfe34c351%2Fbank.png?v=1639111444422",
      "displayName":"Fancy Card 825809751248"
    }
  }
}

चेतावनी: type प्रॉपर्टी, public-key के बजाय payment.get का इस्तेमाल करती है. इसके लिए, मौजूदा WebAuthn लाइब्रेरी में कुछ बदलाव करने पड़ सकते हैं. ऐसा तब होता है, जब आपको उनमें से किसी एक का इस्तेमाल करना हो.

• rp, आरपी के ऑरिजिन से मेल खाता है.
• topOrigin, आरपी के हिसाब से टॉप लेवल ऑरिजिन (ऊपर दिए गए उदाहरण में व्यापारी/कंपनी का ऑरिजिन) से मैच करता है.
• payeeOrigin, पैसे पाने वाले व्यक्ति के उस मूल देश से मेल खाता है जो उपयोगकर्ता को दिखना चाहिए.
• total, लेन-देन की उस रकम से मेल खाता है जो उपयोगकर्ता को दिखनी चाहिए.
• instrument, पैसे चुकाने के उस तरीके की जानकारी से मेल खाता है जो उपयोगकर्ता को दिखनी चाहिए.

const clientData = base64url.decode(response.clientDataJSON);
const clientDataJSON = JSON.parse(clientData);

if (!clientDataJSON.payment) {
  throw 'The credential does not contain payment payload.';
}

const payment = clientDataJSON.payment;
if (payment.rp !== expectedRPID ||
    payment.topOrigin !== expectedOrigin ||
    payment.payeeOrigin !== expectedOrigin ||
    payment.total.value !== '15.00' ||
    payment.total.currency !== 'USD') {
  throw 'Malformed payment information.';
}

पुष्टि की सभी शर्तें पूरी होने के बाद, आरपी व्यापारी/कंपनी को बता सकता है कि लेन-देन हो गया है.

अगले चरण

• सुरक्षित पेमेंट की पुष्टि से जुड़ी खास जानकारी पढ़ें
• पेमेंट के सुरक्षित तरीके के साथ रजिस्ट्रेशन के बारे में जानें