Совершение платежей картами с помощью Apple Pay
Apple Pay можно использовать для оплаты покупок в магазинах, в приложениях и на сайтах.
Оплата с помощью карт в магазинах
Если iPhone или Apple Watch включены и обнаруживают зону действия NFC, а приложение Apple Wallet задано по умолчанию для платежей и бесконтактных транзакций, устройство предлагает пользователю запрошенную карту (если задан автоматический выбор этой карты) либо карту по умолчанию из Apple Wallet (этим можно управлять в Настройках). Пользователь также может открыть Apple Wallet и выбрать карту, а если устройство заблокировано, то:
дважды нажать боковую кнопку на устройствах с Face ID (если по умолчанию задано приложение Apple Wallet);
дважды нажать кнопку кнопку «Домой» на устройствах с Touch ID (если по умолчанию задано приложение Apple Wallet);
использовать функции Универсального доступа, чтобы пользоваться Apple Pay, когда экран заблокирован.
Затем перед передачей информации пользователь должен подтвердить свое намерение выполнить платеж и пройти аутентификацию одним из этих способов:
биометрическая аутентификация;
пароль или код‑пароль устройства;
двойное нажатие боковой кнопки на разблокированных часах Apple Watch.
Без аутентификации пользователя платежная информация не отправляется.
Когда личность пользователя подтверждена, для обработки платежа используются учетный номер устройства и уникальный код безопасности. Ни Apple, ни устройство пользователя не отправляют продавцам полные номера карт. Однако Apple может получать анонимные данные, например о времени и месте выполнения транзакций. Эта информация помогает улучшать Apple Pay и другие сервисы Apple.
Оплата с помощью карт в приложениях
Apple Pay также можно использовать для платежей в приложениях для iOS, iPadOS, macOS, watchOS и visionOS. Когда пользователи совершают платежи в приложениях через Apple Pay, компания Apple получает зашифрованную информацию о транзакции, чтобы направить платеж конкретному разработчику или продавцу, в адрес которого пользователь делает платеж. Прежде чем отправить ее разработчику или продавцу, Apple заново шифрует ее с использованием ключа, назначаемого каждому разработчику. Это помогает гарантировать, что только авторизованный разработчик, владеющий парой ключей, может расшифровать эту информацию. Apple Pay сохраняет анонимную информацию о транзакции, например примерную сумму покупки. Эта информация не может привести к пользователю и не содержит данных о том, что именно было куплено.
Apple Pay работает не только в магазинах, но и в приложениях для iOS, iPadOS, macOS, watchOS и visionOS. Когда пользователь совершает оплату в приложении, Apple получает зашифрованные данные о транзакции. Затем Apple отправляет эти данные соответствующему разработчику или продавцу. Перед этим Apple повторно шифрует данные ключом, уникальным для данного разработчика. Это гарантирует, что только авторизованный разработчик может получить доступ к данным. Apple Pay сохраняет анонимные данные, например о сумме покупки. Но эти данные не связываются с пользователями и не позволяют определить, что именно было приобретено.
Когда приложение запускает платежную транзакцию Apple Pay, серверы Apple Pay получают зашифрованную транзакцию с устройства раньше, чем ее получит продавец. Затем серверы Apple Pay повторно шифруют транзакцию с использованием ключа, назначаемого каждому продавцу, после чего ретранслируют ее продавцу.
Когда приложение запрашивает оплату, оно вызывает API, чтобы определить, поддерживает ли устройство Apple Pay и есть ли у пользователя кредитные или дебетовые карты, которыми можно оплатить покупку в платежной сети, поддерживаемой продавцом. Приложение запрашивает информацию, необходимую для обработки и выполнения транзакции, например расчетный адрес, адрес доставки и контактные данные. Затем приложение запрашивает у iOS, iPadOS, macOS, watchOS или visionOS доступ к Apple Pay. На соответствующем экране запрашивается информация о приложении и другие необходимые сведения, например об используемой карте.
В это время приложение получает данные о городе, регионе/штате и почтовом индексе, позволяющие вычислить итоговую стоимость доставки. Полный набор запрошенной информации не предоставляется приложению, пока пользователь не авторизует платеж одним из этих способов:
биометрическая аутентификация;
пароль или код‑пароль устройства;
двойное нажатие боковой кнопки на разблокированных часах Apple Watch.
После авторизации платежа информация, представленная в листе Apple Pay, передается продавцу.
Оплата с помощью карт в блиц-приложениях
Блиц-приложение — это небольшой фрагмент приложения, позволяющий пользователю быстро выполнить определенную задачу (например, взять напрокат велосипед или оплатить парковку), не загружая все приложение. Если блиц-приложение поддерживает платежи, пользователь может выполнить вход с Apple (если эта возможность настроена разработчиком), а затем совершить платеж через Apple Pay. Когда пользователь совершает платеж в блиц-приложении, все принимаемые меры безопасности и защиты конфиденциальности аналогичны тем, которые принимаются при оплате в приложении.
Как пользователи авторизуют, а продавцы проверяют платежи в приложениях
Для обеспечения безопасности платежей в приложениях пользователи и продавцы передают информацию на серверы Apple Pay, в Secure Element, на устройство и в API приложения. Сначала пользователь авторизует платеж в приложении. Затем приложение запрашивает криптографическое значение функции антиповтора от серверов Apple Pay. Серверы отправляют это значение вместе с другими данными транзакции в Secure Element для создания учетных данных платежа, которые шифруются ключом Apple. Затем чип Secure Element возвращает учетные данные платежа на серверы Apple Pay для расшифровки, сравнения значений функции антиповтора со значениями, изначально переданных серверами Apple Pay, и повторного шифрования учетных данных платежа ключом продавца. После этого серверы возвращают учетные данные на устройство, которое возвращает их в API приложения, а API передает их в систему продавца для обработки. Наконец, продавец проверяет учетные данные платежа и подтверждает транзакцию.
В API должны быть указаны идентификаторы поддерживаемых продавцов с соответствующими полномочиями. Приложение также может отправить на подпись чипу Secure Element дополнительные данные, например номер заказа или удостоверение покупателя, чтобы гарантировать, что транзакция не будет связана с другим пользователем. Для этого разработчик приложения может указать данные о конкретном приложении (applicationData) в запросе платежа. Хеш этих данных включается в зашифрованные платежные данные. Затем продавец должен убедиться, что хеш его данных applicationData совпадает с хешем, включенным в платежные данные.
Оплата с помощью карт на сайтах
Apple Pay можно использовать для совершения платежей на сайтах с устройств, перечисленных далее:
устройства, использующие биометрическую аутентификацию;
Apple Watch;
компьютеры Mac с чипом Apple и клавиатурой Magic Keyboard с Touch ID.
Транзакции Apple Pay также можно начать на Mac и закончить на iPhone, на котором включен Apple Pay, или на Apple Watch, если они используют ту же учетную запись iCloud. Если пользователь передает платежную информацию этим способом, Apple Pay Handoff передает платежную информацию между Mac и авторизованным устройством по протоколу сквозного шифрования службы идентификации Apple (IDS). Клиент IDS на Mac использует для шифрования ключи устройств пользователя, поэтому никакое другое устройство не может расшифровать эту информацию. У Apple нет доступа к этим ключам.
Запрос обнаружения устройств для передачи Apple Pay через Handoff содержит тип и уникальный идентификатор кредитных карт пользователя, а также ряд метаданных. Учетный номер устройства, назначенный карте пользователя, не передается: он продолжает надежно храниться на iPhone или Apple Watch пользователя. Apple также безопасно передает недавно использованные пользователем контактные данные, адреса доставки и адреса плательщика через Связку ключей iCloud.
Когда пользователь авторизует платеж, то платежный токен, уникально зашифрованный для каждого сертификата сайта продавца, безопасно передается с iPhone или Apple Watch пользователя на его Mac, а затем на сайт продавца.
Примечание. Запрашивать и совершать оплату могут только устройства, находящиеся поблизости друг от друга. Близость определяется по оповещениям Bluetooth® Low Energy (BLE).
Для использования Apple Pay на сайте также необходимо, чтобы этот сайт был зарегистрирован в Apple. После регистрации домена проверка доменного имени выполняется только после того, как Apple выдаст сертификат клиента TLS. Сайты, поддерживающие Apple Pay, должны:
предоставлять свой контент по HTTPS;
получить безопасный сеанс продавца (уникальный для каждой транзакции) от сервера Apple, используя выданный Apple сертификат клиента TLS.
Данные сеанса связи продавца подписываются компанией Apple. После того как подпись сеанса связи продавца подтверждена, сайт может запросить, есть ли у пользователя устройство с поддержкой Apple Pay и активирована ли на нем кредитная, дебетовая или предоплаченная карта. Никакие другие данные не предоставляются. Если пользователь не хочет делиться этой информацией, можно отключить запросы о доступности Apple Pay в настройках конфиденциальности Safari на устройствах iPhone, iPad и Mac.
Если сайт использует новейшую версию SDK JS для Apple Pay, транзакции Apple Pay также можно начинать из любого стороннего веб‑браузера в любой операционной системе на поддерживающем Apple Pay iPhone или iPad с iOS 18, iPadOS 18 или новее. Для этого необходимо отсканировать код с помощью камеры устройства, чтобы установить соединение с сайтом. Когда сайт предоставляет этот код, между сайтом и серверами Apple устанавливается безопасное соединение WebSocket. После сканирования кода устанавливается еще одно безопасное соединение WebSocket между устройством с поддержкой Apple Pay и серверами Apple. Таким образом создается необходимое двунаправленное соединение между сайтом и устройством с поддержкой Apple Pay, в котором серверы Apple работают как ретранслятор. Затем любой обмен данными между этими двумя сторонами выполняется по обычной процедуре онлайн-транзакций Apple Pay.
После подтверждения сеанса связи продавца применяются те же меры обеспечения конфиденциальности и безопасности, как и при оплате в приложении.
Автоматические платежи и токены продавцов
Устройства с iOS 16, iPadOS 16, macOS 13 и новее могут использовать токены продавцов Apple Pay, которые обеспечивают безопасные платежи на всех устройствах пользователя. Обновленный экран платежей через Apple Pay повышает удобство платежей, авторизованных заранее. API Apple Pay также поддерживает новые типы транзакций, позволяя разработчикам настраивать экран платежей для различных задач, таких как подписки, регулярные счета, платежи по рассрочке и автоматическое пополнение баланса карт.
Токены продавцов не уникальны для каждого устройства, поэтому при удалении платежной карты с устройства пользователь может продолжить совершение регулярных платежей.
Платежи нескольким продавцам
В iOS 16 и новее Apple Pay поддерживает возможность указывать суммы покупок для нескольких продавцов в одном платежном листе Apple Pay. Это позволяет пользователям совершать несколько покупок одновременно — например, оплатить билеты на самолет, аренду автомобиля и отель одним платежом, распределив его между продавцами.