بوابة الدفع الإلكتروني: ما هي وكيف تعمل مع المتاجر والمواقع؟

بوابة الدفع الإلكتروني هي الطبقة البرمجية التي تلتقط بيانات البطاقة أو المحفظة من صفحة الدفع في متجرك، تُشفّرها، ثم تنقل العملية إلى الأنظمة التي تسأل بنك العميل عن قراره. يعود الجواب خلال ثوانٍ.

ما لا تفعله البوابة وحدها هو نقل المال إلى حسابك البنكي. تلك مرحلة منفصلة، وخاضعة في السعودية لتنظيم منفصل، وسنصل إليها بعد قليل.

ماذا تفعل البوابة لحظة الضغط على «ادفع»؟

تجمع بيانات البطاقة أو المحفظة، تُشفّرها، تطبّق قواعد المصادقة ومكافحة الاحتيال، ثم ترسل العملية إلى معالج الدفع وشبكة البطاقات للحصول على قرار. تُعيد إلى موقعك موافقة أو رفضًا، وتحتفظ بمُعرِّف للعملية تستخدمه لاحقًا في التحصيل أو الإلغاء أو الاسترداد.

وفي الطريق نفسه تتحدّد السكة. على بطاقة مدى المزدوجة العلامة، تسير المشتريات المحلية بالريال عبر شبكة مدى، وتسير العمليات الدولية أو بعملة أجنبية عبر فيزا أو ماستركارد، وفق ما توثّقه أدلة المعالجات مثل Checkout.com وCybersource. لا توجد قاعدة منشورة من البنك المركزي السعودي تنص على ذلك بهذه الصيغة، فتعامل معه كسلوك موثّق لا كإلزام تنظيمي.

ومن هنا تبدأ المصادقة. صفحة مدى الرسمية لدى البنك المركزي تذكر أن خدمة التجارة الإلكترونية لمدى تعمل عبر بروتوكول 3-D Secure، وتصف مدى بأنها محوّل مركزي يوجّه كل عملية إلى البنك المُصدِر وينهي الدفع في أقل من ثلاث ثوانٍ.

وما تبقّى مبني على هذه النواة: التوكنة، ومنطق إعادة المحاولة، والتقارير، وربط واحد يصل إلى مدى وفيزا وماستركارد وأمريكان إكسبريس ويونيون باي وApple Pay وSTC Pay وسداد وPayPal وتابي وتمارا. هذا النمط الذي يقوم عليه منتج قبول المدفوعات لدى HyperPay.

لماذا يُخفي شرح «الخطوات الخمس» أهم مرحلة؟

لأنه يدمج ثلاث مراحل منفصلة في خطوة واحدة اسمها «تتم العملية». والدفعة تمرّ فعليًا بثلاث مراحل مستقلة، لكل منها توقيت وأثر مالي وإمكانية تراجع مختلفة. هذا الدمج مصدر أغلب أسئلة الدعم الفني، والفصل بينها يجيب عن معظمها.

التفويض

ترسل البوابة العملية المشفّرة إلى المعالج، فيوجّهها عبر الشبكة إلى البنك المُصدِر. يتحقق البنك من البطاقة والرصيد أو حدّ الائتمان، يمرّرها على قواعد الاحتيال، ثم يردّ. الموافقة هنا وعد وليست دفعًا: المال لا يزال في حساب العميل، لكن جزءًا من رصيده المتاح صار محجوزًا. هذا هو «المبلغ المحجوز» الذي يراه في تطبيق بنكه.

التحصيل

التحصيل هو مطالبة التاجر بالمبلغ المُفوَّض. كثير من المتاجر تُفعّل التحصيل التلقائي لحظة التفويض، ولهذا تبدو المرحلتان حدثًا واحدًا. متاجر أخرى تفصلهما عمدًا: فندق يُفوّض عند الحجز ويُحصّل عند المغادرة، ومتجر يُفوّض عند الطلب ويُحصّل عند الشحن. تلك الفجوة هي نافذة الإلغاء النظيف.

التسوية

تُجمَّع العمليات المحصَّلة في دفعات، وتُقاصّ عبر شبكة البطاقات، ثم يموّلها البنك المستحوذ إلى حساب التاجر بعد خصم الرسوم. هذه المرحلة الوحيدة التي يصل فيها المال إليك فعليًا، ومدّتها تحددها اتفاقيتك مع المزوّد.

ولم نعثر على أي جدول زمني للتسوية منشور من البنك المركزي أو مدفوعات السعودية أو شبكات البطاقات. من يعرض عليك «المعيار المتبع في السوق» يعرض شروطه هو.

لماذا يختفي المبلغ المحجوز أحيانًا دون استرداد؟

لأن العملية فُوِّضت ولم تُحصَّل، أو أُلغيت قبل التسوية. لا مال تحرّك أصلًا، فلا شيء يُستردّ. يُحرِّر البنك المُصدِر الحجز فيختفي السطر المعلّق من الكشف.

وهذا يفصل بوضوح بين ثلاث آليات تراجع كثيرًا ما تُخلط. الإلغاء يقع قبل التسوية، ولم يتحرك فيه مال، والعميل يرى الحجز يختفي لا مبلغًا واردًا. والاسترداد يقع بعد التسوية، وهو عملية عكسية مستقلة بمقاصة خاصة بها، ولهذا يستغرق أيامًا. أما المنازعة فنزاع يرفعه العميل عبر البنك المُصدِر، بمُهل محددة للأدلة وغالبًا برسوم. تفاصيلها في مقال استرداد الأموال في الدفع الإلكتروني.

البوابة والمعالج والبنك المستحوذ: أين الفرق؟

الفرق أقل حدّة مما تُوحي به الجداول المتداولة. قاموس مجلس معايير أمن بيانات صناعة البطاقات يعرّف رسميًا البنك المستحوذ ومعالج الدفع ومزوّد الخدمة والتاجر. ولا يعرّف «بوابة الدفع» إطلاقًا، بل ينصّ صراحةً على أن «معالج الدفع» يُسمّى أحيانًا «بوابة دفع» أو «مزوّد خدمات مدفوعات».

أي أن المربعات الأربعة المرتّبة التي تراها في تلك الجداول تفريقات تجارية، ولا جهة معيارية رسمت حدودها.

الدور	هل يعرّفه قاموس PCI SSC؟	ما يعنيه لك كتاجر
البنك المستحوذ	نعم، تعريف رسمي	هو من يملك علاقتك بشبكة البطاقات، ومن يموّل حسابك
معالج الدفع	نعم، ويذكر القاموس أنه يُسمّى أحيانًا بوابة أو PSP	اسأل عمّا يحمله المزوّد من تراخيص، لا عن الاسم الذي يستخدمه
بوابة الدفع	لا، غير معرّفة	الكلمة وحدها لا تقول شيئًا عن الترخيص ولا التسوية ولا المسؤولية
مزوّد خدمات المدفوعات	لا، يرد كاسم بديل للمعالج فقط	لكنه مصطلح تنظيمي دقيق لدى البنك المركزي السعودي. تحقّق من أي معنى يُقصد
مزوّد الخدمة	نعم، ويشمل صراحةً البوابات وPSPs	هذه هي الفئة التي يُدقَّق عليها مزوّدك ويُصدَّق ضمنها
التاجر	نعم، وهو كل من يقبل البطاقات	هذا سبب انطباق PCI DSS عليك أنت أيضًا، لا على مزوّدك وحده

والبنك المُصدِر خارج الجدول لأنه ليس طرفًا تتعاقد معه: هو بنك عميلك، وصاحب قرار الموافقة أو الرفض وحجز الرصيد وتحريره.

هل تستطيع بوابة تقنية بحتة أن تُودع أموالك؟

في السعودية، لا. قواعد التعامل مع مزوّدي خدمات ودعم المدفوعات للتجارة الإلكترونية، الصادرة بتعميم البنك المركزي رقم 46004436 بتاريخ 24 يوليو 2024، توضّح أن من يقدّم الربط التقني والدعم فقط لا يحتاج ترخيصًا. أما التعاقد مع التجار وإجراءات اعرف عميلك ومكافحة غسل الأموال والتسوية النهائية في حساباتهم، فيجب أن تتم عبر مزوّد مرخّص أو بنك.

هذا يغيّر طريقة قراءة كلمة «بوابة». طبقة تقنية بحتة يحق لها أن تعمل، ولا يحق لها قانونًا أن تُسوّي إيراداتك. خلفها دائمًا مؤسسة مرخّصة أو بنك، وهي من تحتفظ بمالك وبملف تأهيلك.

والقانون الحاكم هو اللائحة التنفيذية لنظام المدفوعات وخدماتها، الصادرة بالتعميم رقم 000044093096 والسارية منذ 13 يونيو 2023، وقد ألغت قواعد 2020 واستبدلتها. فئات الترخيص أربع: مؤسسة مدفوعات صغيرة وكبيرة، ومؤسسة نقود إلكترونية صغيرة وكبيرة. وما زال محتوى كثير، بينه محتوى مكاتب محاماة، يستشهد بالنص الملغى.

والتحقق لا يستغرق أكثر من دقيقة. البنك المركزي ينشر سجلًا عامًا بمزوّدي خدمات المدفوعات المرخّصين قابلًا للبحث بالاسم. قيد HyperPay فيه باسم Hyperpay Inc Saudi Information Systems Technology Company، بنشاط مؤسسة نقود إلكترونية، برقم موحّد 7016872546، وانتهاء ترخيص في 29/12/2029. ولديها تصريحان من مدفوعات السعودية: مزوّد خدمات تقنية المدفوعات، ومزوّد خدمات إلكترونية للتجار في نطاق بوابة الدفع.

اطلب من أي مزوّد الاسم الدقيق للكيان المدوّن على الترخيص، ثم ابحث عنه بنفسك. وإن كان الكيان الذي ستوقّع معه شركة أمًّا خارج المملكة لا الكيان السعودي المرخّص، فتلك مسألة تستحق سؤالًا مباشرًا. وإذا أردت هذه المحادثة معنا، ابدأ مع فريقنا.

كيف تحمي البوابة بيانات البطاقة؟

عبر طبقتين مختلفتين في الوظيفة. بروتوكول 3-D Secure يضيف خطوة تحقق من هوية حامل البطاقة عبر تبادل بيانات بين التاجر والبنك المُصدِر قبل الموافقة، فينقل جزءًا من عبء الاحتيال. أما التوكنة فتستبدل رقم البطاقة برمز بديل لا قيمة له خارج سياقه، فيقلّ ما تحتفظ به أنظمتك أصلًا.

صفحة مدى الرسمية تصف خدمة التجارة الإلكترونية بأنها تعمل عبر بروتوكول الحماية ثلاثي الأبعاد، بصيغة عامة. المواصفة التقنية التفصيلية تُوزَّع على البنوك والمزوّدين المرخّصين وليست منشورة، فلا توجد وثيقة عامة تسمّي إصدارًا بعينه. من يخبرك بغير ذلك، اطلب منه الوثيقة.

والتوكنة تعمل في اتجاهين. في الاشتراكات والدفع المتكرر يحل التوكن محل رقم البطاقة فتحاسب عميلًا عائدًا دون تخزين بياناته. وفي المحافظ، تصف صفحة مدى إضافة بطاقة مدى إلى Apple Pay بوصفها خدمة قائمة على التحقق الحيوي والتوكنة، وهنا يلزم أن يكون مزوّدك قادرًا على فكّ تشفير رمز المحفظة.

والطبقة الثالثة قواعد الاحتيال: حدود المبالغ، وأنماط السرعة، ومطابقة الجغرافيا، وقرار متى تُشدَّد المصادقة ومتى تُخفَّف حفاظًا على معدل الإتمام. هذا ما يتولاه نظام منع الاحتيال Protect.

صفحة دفع مستضافة أم ربط مباشر؟

المفاضلة بين التحكم والالتزام، وهي قرار أمني أكثر منه قرار تصميم. الصفحة المستضافة تنقل المشتري إلى بيئة المزوّد. الحقول المستضافة المدمجة تُبقي صفحتك كما هي لكن تُقدَّم خانات البطاقة من خوادم المزوّد. الربط المباشر خادم إلى خادم يعني أن رقم البطاقة يلامس أنظمتك أنت.

نوع الربط	من تمرّ بيانات البطاقة عبر أنظمته	الأثر على نطاق امتثالك	المقايضة
صفحة دفع مستضافة	المزوّد وحده	الأصغر، فمناولة بيانات البطاقات مُسنَدة بالكامل	أقل تحكم، مع تغيّر ظاهر في النطاق لحظة الدفع
حقول مستضافة مدمجة	المزوّد وحده	صغير، لكن صفحتك نفسها تحتاج حماية	يبدو الدفع جزءًا من متجرك، مقابل انضباط صارم في ما يعمل على تلك الصفحة
ربط مباشر عبر API	أنظمتك أولًا، ثم المزوّد	الأكبر، فأنظمتك تدخل بالكامل في النطاق	تحكم كامل، مقابل أثقل التزام تشغيلي مستمر
الدفع المتكرر بالتوكنة	لا أحد بعد العملية الأولى	يتحدد بطريقة التقاط العملية الأولى	مناسب للاشتراكات، ولا يقلّص نطاق الالتقاط الأول

أغلب من يعتقد أنه يحتاج ربطًا مباشرًا تكفيه حقول مدمجة. السبب المعلن غالبًا شكل صفحة الدفع، والحقول المدمجة تحلّه. الحالات التي تبرّر البناء المباشر أضيق: تدفقات تفويض غير اعتيادية، أو منطق تحصيل مجزّأ أو مؤجّل لا يعبّر عنه مزوّدك، أو بيئة مُصدَّقة تشغّلها بالفعل.

كيف يغيّر اختيارك نطاق امتثالك لـPCI DSS؟

المعيار ينطبق على أي كيان يخزّن بيانات حاملي البطاقات أو يعالجها أو ينقلها، وأنت من ضمنهم. وكلما أزحت قدرًا أكبر من هذا النشاط إلى مزوّدك، صغرت مجموعة الأنظمة التي عليك تأمينها وإثبات امتثالها. الربط المستضاف أو المدمج هو أكبر تقليص متاح، ولا يضيف كلفة تُذكر وقت البناء.

وأهم ما يجب ضبطه هنا هو الإصدار، لأن أغلب المحتوى المنشور متأخر عنه. الساري والوحيد الفعّال حاليًا هو PCI DSS v4.0.1، وقد نُشر في 11 يونيو 2024 كمراجعة محدودة دون إضافة متطلبات أو حذفها. تقاعد v3.2.1 في 31 مارس 2024، وتقاعد v4.0 في 31 ديسمبر 2024، ولا وجود لإصدار باسم v4.0.2.

وهناك نقطة بنيوية تُربك كثيرين: المعيار نفسه لا يتضمن «مستويات» أصلًا، فهو معيار تقني واحد. المستويات التي يستشهد بها التجار والمزوّدون تضعها كل علامة بطاقات على حدة، لا مجلس المعايير. والتحقق من المستوى الأول لمزوّد الخدمة يمرّ بتقييم ميداني سنوي يجريه مُقيّم أمني مؤهل وينتج عنه تقرير امتثال وشهادة موقّعة، مع فحوص ثغرات خارجية ربع سنوية.

HyperPay تحمل هذه الشهادة من المستوى الأول، وشهادتي ISO/IEC 27001:2022 وISO 22301. أما مسار التحقق الخاص بك فيحدده البنك المستحوذ والعلامات التي تقبلها، فاطلب تأكيدًا كتابيًا بالمسار المنطبق قبل أن تبدأ البناء. إعادة الهندسة إلى ربط أقل نطاقًا بعد الإطلاق مكلفة.

أسئلة شائعة حول بوابة الدفع الإلكتروني:

متى تُخصم أموال العميل فعليًا؟

عند التحصيل، لا عند التفويض. التفويض يحجز جزءًا من الرصيد المتاح ويترك المال في حساب العميل. التحصيل هو مطالبتك بالمبلغ، وبعده تبدأ المقاصة. أما وصول المال إلى حسابك أنت فيحدث في مرحلة التسوية اللاحقة وفق ما تنص عليه اتفاقيتك مع المزوّد.

لماذا يظهر مبلغ محجوز ثم يختفي دون استرداد؟

لأن العملية فُوِّضت ولم تُحصَّل، أو أُلغيت قبل التسوية. الحجز يقلّل الرصيد المتاح دون أن ينقل مالًا، فحين يحرّره البنك المُصدِر يختفي السطر المعلّق من الكشف. لا يظهر مبلغ وارد لأن لا مبلغ خرج أساسًا.

متى يمكن الإلغاء ومتى يلزم الاسترداد؟

الإلغاء ممكن ما دامت العملية لم تُسوَّ بعد، أي بين التفويض والتحصيل غالبًا، وهو فوري ولا يترك أثرًا على كشف العميل سوى اختفاء الحجز. بعد التسوية يصبح الإلغاء مستحيلًا، ويلزم استرداد وهو عملية عكسية مستقلة تحتاج مقاصة خاصة بها فتستغرق أيامًا.

هل تحتاج بوابة الدفع إلى ترخيص من البنك المركزي السعودي؟

من يقدّم ربطًا تقنيًا ودعمًا فقط لا يحتاج ترخيصًا، بحسب التعميم رقم 46004436 الصادر في 24 يوليو 2024. لكن التعاقد مع التجار وإجراءات اعرف عميلك ومكافحة غسل الأموال والتسوية النهائية في حساباتهم يجب أن تتم عبر مزوّد مرخّص أو بنك. بوابة تقنية بحتة لا تستطيع قانونًا تسوية إيراداتك.

هل يبقى عليّ التزام بـPCI DSS إذا استخدمت صفحة مستضافة؟

نعم، لكنه أقل بكثير. الصفحة المستضافة تنقل تخزين بيانات البطاقة ومعالجتها ونقلها إلى مزوّدك، فتصغر مجموعة الأنظمة الداخلة في نطاق امتثالك. لكنك تبقى تاجرًا خاضعًا للمعيار، ويحدد البنك المستحوذ والعلامات التي تقبلها مسار التحقق المنطبق عليك.

هل بوابة الدفع هي نفسها الحساب التجاري؟

لا. الحساب التجاري هو الترتيب الذي يقبل البنك المستحوذ بموجبه عمليات البطاقات نيابةً عنك ويموّلك. البوابة هي الطبقة التقنية التي تنقل العملية إليه. كثير من المزوّدين يجمعون الاثنين في عقد واحد، ومن هنا يأتي الخلط.