Pay by link – na czym polega i czy to bezpieczne?

Pay by link to usługa polegająca na wygenerowaniu unikalnego odnośnika URL, który po kliknięciu przenosi klienta bezpośrednio do gotowego formularza z danymi do opłaty za konkretne zamówienie. To bardzo bezpieczne rozwiązanie, ponieważ proces autoryzacji odbywa się w zamkniętym środowisku certyfikowanego operatora bramki, a dane kupującego są szyfrowane zgodnie z wymogami unijnej dyrektywy PSD2.

Więc zamiast ręcznie wpisywać numer konta, nazwę odbiorcy i kwotę na podstawie papierowej faktury, po prostu klikasz w adres z wiadomości e-mail lub komunikatora. Wybierasz BLIK, podajesz dane z karty płatniczej albo klikasz w ikonę swojego banku. Całość zajmuje dosłownie kilkanaście sekund. A my jako sprzedawcy od razu dostajemy w panelu sklepu powiadomienie o zaksięgowaniu środków. Prawda jest zresztą absolutnie taka, że nikt dzisiaj nie chce tracić czasu na żmudne przepisywanie cyferek do aplikacji bankowej. Wymagamy wygody. Szybkości. Bezpieczeństwa transakcji. Płatności pay by link dają to wszystko w jednym pakiecie.

Jak dokładnie działa płatność przez link w sklepie internetowym?

Mechanika tego procesu opiera się na wymianie danych między serwerem sprzedawcy a systemem operatora płatności. Kiedy klient finalizuje koszyk, sklep wysyła żądanie API do bramki płatniczej. Zawiera ono identyfikator zamówienia oraz dokładną kwotę do zapłaty. System operatora generuje w ułamku sekundy bezpieczną sesję. Tworzy unikalny adres URL. Ten adres trafia z powrotem do sklepu internetowego i jest wyświetlany klientowi w postaci przycisku “Zapłać”.

Po kliknięciu w ten przycisk użytkownik opuszcza środowisko sklepu. Przeglądarka ładuje stronę utrzymywaną bezpośrednio na serwerach instytucji finansowej. To bardzo ważny detal techniczny. Sklep e-commerce nigdy nie ma fizycznego dostępu do danych logowania klienta ani do pełnego numeru jego karty kredytowej. Odpowiada za to wyłącznie podmiot posiadający odpowiednie licencje KNF. Po udanej autoryzacji w aplikacji bankowej, bramka wysyła do sklepu tak zwany webhook. To krótki komunikat serwerowy ze statusem “Opłacone”. System magazynowy od razu zmienia status zamówienia na gotowe do pakowania.

Z perspektywy wdrożeniowej to banalnie proste. Zrobiliśmy na wdrożeniu u jednego z klientów z branży meblarskiej na warszawskim Targówku mały test. Właściciel upierał się przy tradycyjnych przelewach. Po dwóch dniach księgowość zablokowała się na ręcznym dopasowywaniu wpłat od klientów, którzy notorycznie robili literówki w tytułach przelewów. Zmieniliśmy te zasady na robocie. Wpięliśmy najprostszą wtyczkę pay by link. Problem zniknął do zera w przeciągu godziny.

Kto najczęściej korzysta z linków do płatności?

Zastosowanie tej metody wykracza daleko poza klasyczne sklepy internetowe z koszykiem. Obserwujemy masowe wykorzystanie odnośników do zapłaty w wielu gałęziach biznesu.

• Branża B2B i hurtownie. Przedstawiciel handlowy przyjmuje zamówienie przez telefon, generuje fakturę proforma w systemie ERP, a oprogramowanie automatycznie wysyła SMS do kontrahenta z prośbą o uregulowanie zaliczki przed wysłaniem tira z towarem.
• Małe firmy usługowe i freelancerzy. Korepetytorzy, hydraulicy, czy trenerzy personalni nie potrzebują terminali płatniczych. Wysyłają klientowi link na WhatsAppie tuż po zakończonej usłudze.
• Działy windykacji. Zamiast wysyłać groźne pisma z numerem konta, firmy windykacyjne dołączają do maila przycisk pozwalający dłużnikowi uregulować zaległość jednym kliknięciem, bez konieczności logowania się do zewnętrznych paneli.
• Sprzedawcy w mediach społecznościowych. Butiki na Instagramie czy Facebooku rzadko posiadają pełnoprawny sklep e-commerce. Prowadzą sprzedaż przez wiadomości prywatne. Wygenerowanie linku w aplikacji operatora i wklejenie go w okno czatu to dla nich jedyna droga do szybkiego sfinalizowania transakcji.

Czy pay by link to bezpieczna metoda dla kupującego?

Zdecydowana większość takich transakcji jest całkowicie chroniona i weryfikowana na wielu poziomach. Wynika to wprost z rygorystycznych wymogów prawnych nakładanych na instytucje finansowe. Każda legalnie działająca bramka płatnicza w Polsce musi spełniać standardy dyrektywy PSD2. Wymusza ona stosowanie silnego uwierzytelniania klienta (SCA). Oznacza to, że samo kliknięcie w link i podanie danych nie wystarczy do ściągnięcia pieniędzy z konta. Musisz potwierdzić operację w aplikacji mobilnej banku za pomocą biometrii, kodu PIN lub jednorazowego hasła SMS.

Kolejna warstwa ochrony to certyfikat SSL na stronie operatora. Gwarantuje on szyfrowanie przesyłanych danych. Kiedy wpisujesz numer karty na stronie bramki, dane te są zamieniane w ciąg znaków, którego nie da się podsłuchać w otwartej sieci Wi-Fi. Dodatkowo certyfikowani operatorzy posiadają standard PCI DSS. To globalny wymóg dla firm przetwarzających dane kart płatniczych. Proces audytu jest na tyle brutalny, że żadna firma krzak nie jest w stanie go przejść.

Warto też wspomnieć o procedurze chargeback. Jeśli opłacisz zamówienie kartą poprzez otrzymany link, a sprzedawca okaże się oszustem i nie wyśle towaru, masz prawo zgłosić się do swojego banku. Zgłaszasz reklamację. Bank kontaktuje się z operatorem karty i wymusza zwrot środków bezpośrednio z konta nieuczciwego sprzedawcy. To potężne narzędzie ochrony konsumenta.

Jakie zabezpieczenia chronią transakcje z użyciem linków?

Wewnątrz systemów bankowych i bramek płatniczych działają zaawansowane filtry antyfraudowe. Analizują one dziesiątki parametrów w ułamkach sekund. Sprawdzają adres IP kupującego. Weryfikują historię przeglądarki. Badają szybkość wpisywania danych. Jeśli algorytm zauważy anomalię, na przykład próbę opłacenia polskiego zamówienia z nigeryjskiego adresu IP o czwartej nad ranem, transakcja zostanie automatycznie zablokowana i oznaczona do ręcznej weryfikacji.

Chociaż prawdę mówiąc brakuje nam twardych danych z tego tygodnia, wydaje się to tylko jedną z możliwych hipotez na najbliższe miesiące, że operatorzy będą musieli jeszcze mocniej dokręcić śrubę w autoryzacji biometrycznej. Ataki z użyciem sztucznej inteligencji próbują omijać stare filtry. Dlatego banki powoli odchodzą od kodów SMS na rzecz potwierdzeń w aplikacjach mobilnych powiązanych z konkretnym modelem telefonu.

Dlaczego sprzedawcy wysyłają linki zamiast prosić o przelew tradycyjny?

Powód jest skrajnie prozaiczny. Pieniądze. Kiedy klient dostaje maila z numerem konta bankowego, musi podjąć wysiłek. Skopiować 26 cyfr. Zalogować się do banku. Ustawić datę. Wpisać kwotę. Wkleić numer zamówienia. Na każdym z tych etapów może popełnić błąd lub po prostu zrezygnować z zakupu, odkładając to na później. Porzucone koszyki to największa zmora polskiego handlu internetowego.

Pay by link eliminuje tarcie. Klient klika, skanuje twarz w telefonie i gotowe. Płatność jest bezbłędna. Kwota zgadza się co do grosza. Tytuł przelewu jest poprawny. System księgowy sprzedawcy automatycznie paruje wpłatę z fakturą. Nikt nie musi rano przeglądać wyciągów bankowych i ręcznie odhaczać opłaconych paczek. Zmniejszenie udziału czynnika ludzkiego w księgowości drastycznie obniża koszty prowadzenia biznesu. Widzimy to u każdego klienta B2B, który przechodzi z papieru na automatyczne bramki API.

Gdzie najłatwiej paść ofiarą oszustwa na fałszywy link do zapłaty?

Oszuści perfekcyjnie opanowali socjotechnikę. Wykorzystują stres, pośpiech i nasze zaufanie do znanych marek. Największym zagrożeniem nie jest technologia pay by link sama w sobie, ale fałszywe odnośniki wysyłane poza oficjalnymi kanałami sklepów.

Klasyczny scenariusz to sprzedaż na popularnych platformach z ogłoszeniami lokalnymi. Wystawiasz stare buty. Po pięciu minutach dostajesz wiadomość na WhatsApp od rzekomego kupca. Twierdzi on, że już opłacił zamówienie i wysyła ci link do odbioru pieniędzy. Klikasz. Strona wygląda identycznie jak panel firmy kurierskiej. Proszą cię o zalogowanie się do banku, by potwierdzić tożsamość. Podajesz login, hasło i pesel. W tym momencie przestępca siedzący przy komputerze loguje się na twoje prawdziwe konto bankowe i czyści je do zera. To jest bez mała najgorsza opcja z wszystkich. Zawsze sprawdzaj, kto wysyła ci adres url do kliknięcia.

Drugi wariant to masowe wysyłki wiadomości SMS. Oszuści podszywają się pod firmy kurierskie lub dostawców prądu. Informują o niedopłacie w wysokości zaledwie 2,50 zł. Grożą wstrzymaniem dostawy paczki lub odcięciem licznika. Link w SMSie prowadzi do fałszywej bramki płatniczej. Znowu schemat się powtarza. Podajesz dane karty na podstawionej stronie, a przestępca podłącza twoją kartę do portfela Apple Pay na swoim telefonie.

Jak rozpoznać fałszywą wiadomość SMS z wezwaniem do zapłaty?

Zwracaj uwagę na detale. Zobacz, z jakiego numeru przyszedł komunikat. Prawdziwe firmy zazwyczaj korzystają z bramek SMS i wyświetlają swoją nazwę jako nadawcę. Jeśli dostajesz wezwanie do zapłaty z losowego numeru komórkowego, zapala się czerwona lampka. Spójrz na sam odnośnik. Oszuści stosują literówki w nazwach domen. Zamiast inpost.pl, widzisz lnp0st.pl lub inpost-paczka-odbior.com. Nigdy nie ufaj skróconym linkom typu bit.ly w oficjalnej komunikacji biznesowej.

Prawdziwa bramka płatnicza nigdy nie poprosi cię o podanie numeru PESEL czy pełnego hasła do banku. Jeśli strona po kliknięciu w link wymaga wpisania loginu i hasła do bankowości, natychmiast zamknij kartę przeglądarki. To próba phishingu. Banki stosują szyfrowane połączenia i autoryzację w aplikacji, a nie na zewnętrznych stronach www.

Czym różni się pay by link od płatności BLIK na numer telefonu?

Choć obie metody służą do szybkiego przekazywania pieniędzy, ich mechanika i przeznaczenie w biznesie mocno się różnią. Zestawienie tych różnic najlepiej obrazuje poniższa tabela.

Płatności BLIK na numer telefonu są świetne do rozliczania się ze znajomymi za pizzę. W profesjonalnym sklepie internetowym generują potężny chaos. Wyobraź sobie, że masz sto zamówień dziennie i stu klientów wysyła ci BLIKa. Połowa nie wpisze numeru zamówienia. Będziesz dzwonić do każdego z pytaniem, za co zapłacił. Płatność linkiem rozwiązuje ten problem systemowo, narzucając klientowi gotowy i niezmienny formularz zlecenia.

Jak wygenerować link do płatności dla swojego klienta?

Wdrożenie tego rozwiązania w małej firmie nie wymaga wiedzy programistycznej. Większość polskich operatorów oferuje gotowe narzędzia w panelu klienta. Zakładasz konto u wybranego dostawcy. Przechodzisz weryfikację KYC (Know Your Customer). Przesyłasz skany dokumentów firmowych. Po aktywacji konta logujesz się do panelu.

Znajdujesz zakładkę “Generator linków”. Wpisujesz kwotę. Dodajesz krótki opis, na przykład “Faktura VAT 23/2023”. System wypluwa krótki adres URL. Kopiujesz go i wklejasz do maila klienta. Gotowe. Jeśli prowadzisz sklep na popularnym oprogramowaniu SaaS, sprawa jest jeszcze prostsza. Wchodzisz w ustawienia płatności, podajesz klucze API od operatora i system sam zacznie generować odnośniki dla każdego nowego zamówienia bez twojej ingerencji.

Zastanawiacie się zresztą, dlaczego to na produkcji czasami wywala błędy na testach integracyjnych? Sam się nad tym borykałem dzisiaj u siebie w biurze. Prawda jest taka, że deweloperzy często zapominają o ustawieniu poprawnego adresu powrotnego w konfiguracji wtyczki. Klient płaci, ale po transakcji ląduje na pustej białej stronie zamiast na podziękowaniu za zakupy. Warto przeklikać proces od A do Z samemu, z własną kartą kredytową, zanim wpuścimy żywy ruch na stronę.

Z jakimi kosztami wiąże się obsługa takich transakcji?

Operatorzy bramek płatniczych nie pracują za darmo. Pobierają prowizję od każdej udanej transakcji. Standardowa stawka na polskim rynku oscyluje w okolicach prawie dwóch procent dla nowych i małych sklepów. Im większy obrót generujesz, tym mocniej możesz negocjować tę stawkę. Duże podmioty e-commerce schodzą do poziomu ułamka procenta.

Struktura tych kosztów jest dość złożona i zależy od wybranej metody pod linkiem. Jeśli klient wybierze szybki przelew z banku, prowizja zazwyczaj jest stała. Jeśli jednak zdecyduje się zapłacić kartą kredytową, do gry wchodzą dodatkowe opłaty. Mowa tu o opłacie interchange pobieranej przez bank wydawcę karty oraz opłacie systemowej dla organizacji płatniczych takich jak Visa czy Mastercard. Operator bramki dolicza swoją marżę na samym szczycie tego łańcucha pokarmowego.

Mimo to, koszty te zwracają się z nawiązką. Zmniejszona liczba porzuconych koszyków, brak pomyłek księgowych i błyskawiczne księgowanie wpłat rekompensują prowizję na poziomie finansowym i operacyjnym. Zmuszanie klientów do tradycyjnych przelewów w ramach oszczędzania na prowizji to rzeźbienie w błocie. Konkurencja zje cię żywcem, oferując zakupy szybsze o trzy minuty.

Sprawdź własne procesy rozliczeniowe w firmie jeszcze dzisiaj. Ile czasu tracisz na ręczne wystawianie faktur i czekanie na zaksięgowanie przelewów? Zadzwoń do operatora płatności, poproś o ofertę na pay by link i przestań tracić godziny na papierkową robotę, którą algorytm wykonuje w dwie sekundy.

Najczęściej zadawane pytania (FAQ)

Źródła

1. Komisja Nadzoru Finansowego – https://www.knf.gov.pl
2. Narodowy Bank Polski – https://www.nbp.pl
3. Związek Banków Polskich – https://zbp.pl
4. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
5. Główny Urząd Statystyczny – https://stat.gov.pl