Come i Siti Web Accettano Pagamenti con Carta di Credito: Il Flusso Completo

Accettare carte online comporta una coreografia sicura multiparte. Ecco il flusso end-to-end.

Attori Chiave

• Cliente – Titolare della carta.
• Commerciante (Sito Web) – Vende beni/servizi.
• Payment Gateway – Ponte sicuro (Stripe, Braintree, Authorize.net, Adyen).
• Acquirer / Banca Esercente – Istituzione finanziaria del commerciante.
• Circuito Carta – Visa, Mastercard, Amex, Discover.
• Emittente / Banca Emittente – Banca del cliente.

Transazione Passo dopo Passo

1. Il cliente inserisce i dati della carta nella pagina di checkout del commerciante (campi hosted / iframe → PCI SAQ A).
2. Il gateway crittografa e tokenizza i dati (TLS 1.2+). Invia all'acquirer.
3. L'acquirer instrada al circuito carta → emittente.
4. L'emittente autorizza: Carta valida? Fondi sufficienti? Regole antifrode passate? → Restituisce codice autorizzazione (approvazione/rifiuto).
5. Il gateway trasmette il risultato al commerciante → pagina di successo o errore.
6. Compensazione e Liquidazione (T+1–3 giorni lavorativi):
   • Il commerciante invia in lotto le transazioni approvate → acquirer.
   • Acquirer → circuito → emittente.
   • L'emittente addebita l'estratto conto del titolare; i fondi si spostano sul conto del commerciante (al netto delle commissioni).
7. Evasione ordine attivata dal commerciante in caso di successo.

Compliance Critica

• PCI DSS – Obbligatorio per qualsiasi entità che tocchi i dati della carta. Usa SAQ A (campi hosted completamente) per minimizzare lo scopo.
• 3D Secure 2 (3DS2) – Strong Customer Authentication (SCA) in UE/UK; spostamento di responsabilità.
• Tokenizzazione – Conserva token, non PAN, per fatturazione ricorrente.

Stack moderni (Stripe, Braintree, Square) gestiscono il 90% di questa complessità. Non costruire da zero.