GUIA TPV VIRTUAL INSTITUCIONES

Transcripción

1 GUIA TPV VIRTUAL INSTITUCIONES Versión 2

2 1. INTRODUCCIÓN 2. OPERATIVA 3. INSTALACIÓN 3.1. ACCESO BÁSICO 3.2. ACCESO BÁSICO + NOTIFICACIÓN 3.3. ACCESO BÁSICO + NOTIFICACIÓN + TARJETA 3.4. RESPUESTA ON-LINE 3.5. SERVICIO TÉCNICO DE SOPORTE A LA INSTALACIÓN

3 1. INTRODUCCIÓN El TPV Virtual Instituciones de CatalunyaCaixa es una aplicación informática que permite el cobro de notificaciones con tarjeta mediante Internet. Además, a posteriori, reporta los pagos realizados mediante el envío ficheros estandarizados (cuadernos 57 y 60). Permite la gestión del pago con tarjetas Visa, MasterCard y Maestro (tanto para clientes como para no clientes de CatalunyaCaixa) y por sistema de Banca Electrónica (sólo para clientes del servicio Línea Total de CatalunyaCaixa). El TPV virtual soporta los idiomas castellano y catalán y opera en moneda euro. Permite la personalización con el logo y texto descriptivo vinculados a la Institución. Además, es configurable para que, o bien solicite al pagador los datos de la notificación y de la tarjeta financiera, o bien obtenga estos datos de la web de la Institución. Puesto que la instalación sólo requiere de un enlace ( link ) a un servidor de CatalunyaCaixa, puede ser implementado en cualquier website o plataforma con independencia del sistema operativo y del lenguaje de programación. La comunicación con el TPV virtual se realiza siempre debajo entorno de conexión segura SSL. El TPV virtual de Caixa de Catalunya implementa de manera obligatoria la introducción del CVV2 de la tarjeta (serie de tres números situados en la parte posterior de la tarjeta), ya que se ha demostrado como un método eficaz contra el fraude. Además, opcionalmente, también permite activar los protocolos 3DSECURE de autenticación de clientes, promovidos por las marcas de tarjetas VISA (VERIFIED by VISA) y MasterCard (MASTERCARD SECURECODE). Pàg. 3

4 2. OPERATIVA El usuario que quiera pagar una notificación, tiene que acceder a la web de la Institución que lo ha emitido. Ésta deberá tener habilitado uno botón, ó similar, que esté vinculado a la opción de pago por Internet. El TPV Virtual Instituciones de CatalunyaCaixa está habilitado para solicitar al pagador todos los datos referidos a la notificación y tarjeta financiera. Además, si la Institución lo desea, estos datos pueden ser facilitados por la propia web institucional en el momento de realizar la llamada al TPV Virtual. A continuación adjuntamos diferentes pantallas que muestran el proceso con más pasos. El primero solicita al pagador que escoja el sistema de pago que desea para liquidar su notificación. Este puede ser vía tarjeta financiera (para clientes y, también, para no clientes de CatalunyaCaixa) o por sistema de Banca Electrónica (sólo para clientes del servicio Línea Total de CatalunyaCaixa). LOGO Pàg. 4

5 Para los clientes que hayan escogido el pago con tarjeta financiera, la siguiente pantalla solicita la introducción de datos referidos a la notificación. Éstos pueden ser la Referencia + Identificación + Importe: LOGO O bien, sólo el número del Código de Barras de la notificación si se dispone de esta información. LOGO Pàg. 5

6 Una vez validados los datos introducidos, se solicitarán los referidos al pago con tarjeta. LOGO A continuación se gestionará el pago con tarjeta: Pàg. 6

7 Y por último, si el usuario lo desea, se confeccionará e imprimirá un recibo del pago de la notificación: LOGO Pàg. 7

8 3. INSTALACIÓN En esta guía se facilita la información necesaria para que la Institución, o su servicio de informática, realicen la instalación del TPV virtual en la web institucional. La instalación consiste básicamente en introducir en la web unas instrucciones informáticas que ejecuten en remoto el software del TPV virtual, residente en un servidor seguro de CatalunyaCaixa. Es recomendable que el seguimiento de estas instrucciones sea ejecutada por el personal especializado que realiza el mantenimiento de la web institucional. En la página de pago de la web institucional habrá que incluir un botón, ó similar, para que los usuarios lo asocien al pago con tarjeta. El botón deberá estar vinculado en el formulario de pago oculto que se detalla a continuación. Cuando el usuario seleccione este botón, el comercio tendrá que enviar el formulario de pago de la operación al servidor de CatalunyaCaixa en la siguiente dirección: La ventana o frame donde se abra el TPV Virtual debe tener barras de desplazamiento vertical y horizontal para poder adaptarse a las diferentes páginas de autenticación que, opcionalmente, pudiesen mostrarse al usuario en procesos posteriores. Los datos que tendrá que contener el formulario de pago son: NOMBRE DEL CAMPO DESCRIPCIÓN FORMATO BÀSICO ACCESO BÀSICO + NOTIFICACIÓN BÀSICO + NOTIFICACIÓN+ TARJETA language IDIOMA DEL PAGADOR ca_es per català es_es per castellà X X X fuc emisora sufix referencia identificacion importe pan NÚMERO DE COMERCIO (código fijo facilitado por CatalunyaCaixa) CODIGO ENTIDAD EMISORA SUFIJO DE LA NOTIFICACIÓN REFERENCIA DE LA NOTIFICACIÓN IDENTIFICACIÓN DE LA NOTIFICACIÓN IMPORTE DE LA NOTIFICACIÓN NÚMERO DE LA TARJETA FINANCERA Màx. 9N X X X 6N ó 8N --- X X 3N -campo opcional (solo informar si la emisora lo requiere) --- X X Máx. 13N --- X X Máx. 10N --- X X ,99 (las dos últimas posiciones siempre deberán estar informadas. Si no hay decimales se deberán poner 2 ceros) --- X X 16N a 19N X Pàg. 8

9 NOMBRE DEL CAMPO DESCRIPCIÓN FORMATO BÀSICO ACCESO BÀSICO + NOTIFICACIÓN BÀSICO + NOTIFICACIÓN+ TARJETA data FECHA DE CADUCIDAD DE LA TARJETA FINANCERA 4N (formato AAMM) X cvv2 CODIGO CVV2 DE LA TARJETA (3 dígitos de seguridad impresos detrás de la tarjeta) 3N X En función de los datos sobre la notificación y el usuario que se capturen en la web institucional, el llamamiento al TPV Virtual se puede realizar mediante tres tipos de acceso diferentes: Acceso Básico Acceso Básico + Notificación Acceso Básico + Notificación + Tarjeta 3.1. ACCESO BÁSICO En este caso la web institucional hace una llamada al TPV Virtual de CatalunyaCaixa para que éste solicite al usuario todos los datos referidos tanto a la notificación como a la tarjeta para realizar el pago. En la llamada, los únicos campos que es preciso informar son los referidos al Número de Comercio ( fuc ) y al idioma ( language ) en que se quiere que esté personalizado el TPV Virtual. Ejemplos: a) Si se realiza una llamada via GET: b) Si se realiza una llamada via POST: <form action= method= POST > <input type= hidden name= language value= es_es /> <input type= hidden name= fuc value= /> </form> Pàg. 9

10 3.2. ACCESO BÁSICO + NOTIFICACIÓN En este caso la web institucional hace una llamada al TPV Virtual facilitándole los datos de la notificación. La aplicación de CatalunyaCaixa, para procesar el pago, solicitará al pagador su número de tarjeta, caducidad y CVV2. En la llamada, los campos que es preciso informar son los básicos (Número de Comercio - fuc - y el idioma - language -), además de los referidos a la notificación (Código entidad emisora - emisora -, Referencia e Identificación de la notificación - referencia e identificacion -, e importe de la operación - importe -). Ejemplos: a) Si se realiza una llamada vía GET: = &identificacion= &importe=8,41 Si opcionalmente fuese necesario informar el Sufijo, se debería añadir &sufix=123 En la llamada vía GET no es necesario informar la emisora. b) Si se realiza una llamada vía POST: <form action= method= POST > <input type= hidden name= language value= es_es /> <input type= hidden name= fuc value= /> <input type= hidden name= emisora value= /> <input type= hidden name= referencia value= /> <input type= hidden name= identificacion value= /> <input type= hidden name= importe value= 8,41 /> </form> Si opcionalmente fuese necesario informar el Sufijo, se tendría que añadir: <input type= hidden name= sufix value= 123 /> 3.3. ACCESO BÁSICO + NOTIFICACIÓN + TARJETA En este caso la web institucional hace una llamada al TPV Virtual facilitandole todos los datos necesarios para hacer el pago. De acuerdo con la normativa de los sistemas de tarjetas VISA y MASTERCARD, todas aquellas empresas que capturen, transmitan o procesen información referida a tarjetas financieras tienen que cumplir y certificarse debidamente a ciertos requerimientos de seguridad recogidos en un protocolo llamado PCI ( Por esta razón, el acceso BÁSICO + NOTIFICACIÓN + TARJETA sólo estará disponible a aquellas instituciones que dispongan de la homologación a PCI. Para más información sobre este programa de seguridad, es preciso que se pongan en contacto con sus gestores a CatalunyaCaixa. Pàg. 10

11 En la llamada, los campos que se han de informar son, además de los básicos (Número de Comercio - fuc - y el Idioma - language -), los referidos a la notificación (Código entidad emisora - emisora -, Referencia e Identificación de la notificación - referencia y identificacion, e importe de la operación - [importe] -) y los relacionados con el sistema de pago (número tarjeta pan, fecha caducidad fecha - y código de seguridad CVV2 cvv2 ). En este acceso no está permitido el envío de datos vía GET. Ejemplo de llamada vía POST: <form action= method= POST > <input type= hidden name= language value= es_es /> <input type= hidden name= fuc value= /> <input type= hidden name= emisora value= /> <input type= hidden name= referencia value= /> <input type= hidden name= identificacion value= /> <input type= hidden name= importe value= 8,41 /> <input type= hidden name= pan value= /> <input type= hidden name= data value= 1208 /> <input type= hidden name= cvv2 value= 123 /> </form> Si opcionalmente fuese necesario informar el Sufijo, se debería añadir: <input type= hidden name= sufix value= 123 /> 3.4. RESPUESTA ON-LINE Para todos los pagos de notificaciones realizados la Institución recibirá, a posteriori, ficheros estandarizados (cuadernos 57, 60 ó 65) con el detalle de la notificación pagada. Aun así, adicionalmente, si la Institución lo solicita a su gestor de CatalunyaCaixa, se puede enviar una respuesta en on-line (en el momento en que se realiza el pago) con el resultado del proceso de pago. La respuesta se enviará a la URL que solicite la Institución o, en caso de error en el envío, a una dirección de correo electrónico. Este servicio sólo estará disponible para pagos de notificaciones realizados con tarjeta financiera. El mensaje se enviará mediante una petición https simulando un formulario vía post, bajo el campo datos, a la URL que solicite la Institución. Si la petición http devuelve un error, se enviará el mismo mensaje vía correo electrónico a una dirección de correo electrónico de la Institución. Este correo electrónico también contendrá la respuesta del error de comunicaciones que ha devuelto el servidor de la Institución, para que las sede equipo informático pueda conocer rápidamente la naturaleza de la incidencia. Pàg. 11

12 El mensaje enviado tendrá el siguiente formato: <?xml version="1.0" encoding="utf-8"?> <data> <tpv> <tpv_amount>10136</tpv_amount> <tpv_order>4110</tpv_order> <tpv_merchantcode> </tpv_merchantcode> <tpv_terminal>001</tpv_terminal> <tpv_authorization>749454</tpv_authorization> <tpv_date>13/01/2009</tpv_date> <tpv_hour>15:41</tpv_hour> <tpv_card_number>450797********0913</tpv_card_number> <tpv_response>0000</tpv_response> </tpv> <ccat> <ccat_suffix></ccat_suffix> <ccat_issuer>088006</ccat_issuer> <ccat_reference> </ccat_reference> <ccat_identification> </ccat_identification> <ccat_amount>10136</ccat_amount> </ccat> <signature>4055b86efff91049f281e9a83e1b02298ae774ef</signature> </data> El mensaje irá firmado con un hash en el campo <signature>. Para calcular el hash se utilizará una clave secreta facilitada previamente por CatalunyaCaixa, el propio mensaje enviado y el algoritmo criptográfico SHA-1. El hash se calculará mediante el algoritmo SHA-1 de la siguiente forma: signature = SHA-1(<data><tpv> <tpv> <ccat> </ccat><data> + clau_secreta) En caso de error en al envío del post, la Institución recibirá un mensaje de correo electrónico similar al del siguiente ejemplo: Pàg. 12

13 En la respuesta on-line, el campo <tpv_response> informa de cuál ha sido el resultado del pago hecho con tarjeta. Los valores posibles son: Códigos de respuesta enviados por el banco emisor de la tarjeta CODIGOS DE RESPUESTA PARA INDICAR QUE LA TRANSACCION HA SIDO APROBADA CODIGO DESCRIPCION BREVE COMENTARIO 000 TRANSACCION APROBADA Transacción autorizada por el banco emisor de la tarjeta 001 TRANSACCION APROBADA PREVIA IDENTIFICACION DE TITULAR Código exclusivo para transacciones Verified by Visa o MasterCard SecureCode. La transacción ha sido autorizada y, además, el banco emisor nos informa que ha autenticado correctamente la identidad del titular de la tarjeta TRANSACCION APROBADA Transacción autorizada por el banco emisor. CODIGOS DE RESPUESTA PARA INDICAR QUE LA TRANSACCION HA SIDO DENEGADA CODIGO DESCRIPCION BREVE COMENTARIO 101 TARJETA CADUCADA Transacción denegada porque la fecha de caducidad de la tarjeta que se ha informado en el pago, es anterior a la actualmente vigente. 102 TARJETA BLOQUEDA TRANSITORIAMENTE O BAJO SOSPECHA DE FRAUDE Tarjeta bloqueada transitoriamente por el banco emisor bajo sospecha de fraude. o 104 OPERACIÓN NO PERMITIDA Operación no permitida para ese tipo de tarjeta. 107 CONTACTAR CON EL EMISOR El banco emisor no permite una autorización automática. Es necesario contactar telefónicamente con su centro autorizador para obtener una aprobación manual. 109 IDENTIFICACIÓN INVALIDA DEL COMERCIO O TERMINAL Denegada porque el comercio no está correctamente dado de alta en los sistemas internacionales de tarjetas. 110 IMPORTE INVALIDO El importe de la transacción es inusual para el tipo de comercio que solicita la autorización de pago. 114 TARJETA NO SOPORTA EL TIPO DE OPERACIÓN SOLICITADO Operación no permitida para ese tipo de tarjeta. 116 DISPONIBLE INSUFICIENTE El titular de la tarjeta no dispone de suficiente crédito para atender el pago. 118 TARJETA NO REGISTRADA Tarjeta inexistente o no dada de alta por el banco emisor. 125 TARJETA NO EFECTIVA Tarjeta inexistente o no dada de alta por el banco emisor. 129 ERROR CVV2/CVC2 Código exclusivo para transacciones en las que se solicita el código de 3 dígitos CVV2 (tarj.visa) o CVC2 (tarj.mastercard) del reverso de la tarjeta. Es erróneo el código CVV2/CVC2 informado por el comprador. Pàg. 13

14 CODIGOS DE RESPUESTA PARA INDICAR QUE LA TRANSACCION HA SIDO DENEGADA CODIGO DESCRIPCION BREVE COMENTARIO 167 CONTACTAR CON EL EMISOR: SOSPECHA DE FRAUDE Debido a una sospecha de que la transacción es fraudulenta el banco emisor no permite una autorización automática. Es necesario contactar telefónicamente con su centro autorizador para obtener una aprobación manual. 180 TARJETA AJENA AL SERVICIO Operación no permitida para ese tipo de tarjeta TARJETA CON RESTRICCIONES DE DEBITO O CREDITO Tarjeta bloqueada transitoriamente por el banco emisor. 184 ERROR EN AUTENTICACION Código exclusivo para transacciones Verified by Visa o MasterCard SecureCode. La transacción ha sido denegada porque el banco emisor no pudo autenticar debidamente al titular de la tarjeta. 190 DENEGACION SIN ESPECIFICAR EL MOTIVO Transacción denegada por el banco emisor pero sin que este dé detalles acerca del motivo. 191 FECHA DE CADUCIDAD ERRONEA Transacción denegada porque la fecha de caducidad de la tarjeta que se ha informado en el pago, no se corresponde con la actualmente vigente. CODIGOS DE RESPUESTA PARA INDICAR QUE LA TRANSACCION HA SIDO DENEGADA Y QUE, ADEMAS, EL BANCO EMISOR CONSIDERA QUE LA TARJETA ESTA EN UNA SITUACION DE POSIBLE FRAUDE Y, POR ELLO, SOLICITA DE RETENERLA FISICAMENTE O DE ACTIVARLA VIRTUALMENTE EN LISTAS NEGRAS CODIGO DESCRIPCION BREVE COMENTARIO 201 TARJETA CADUCADA Transacción denegada porque la fecha de caducidad de la tarjeta que se ha informado en el pago, es anterior a la actualmente vigente. Además, el banco emisor considera que la tarjeta está en una situación de posible fraude y, por ello, solicita de retenerla físicamente o de activarla virtualmente en listas negras. 202 TARJETA BLOQUEDA TRANSITORIAMENTE O BAJO SOSPECHA DE FRAUDE Tarjeta bloqueada transitoriamente por el banco emisor o bajo sospecha de fraude. Además, el banco emisor considera que la tarjeta está en una situación de posible fraude y, por ello, solicita de retenerla físicamente o de activarla virtualmente en listas negras. 204 OPERACION NO PERMITIDA 207 CONTACTAR CON EL EMISOR Operación no permitida para ese tipo de tarjeta. Además, el banco emisor considera que la tarjeta está en una situación de posible fraude y, por ello, solicita de retenerla físicamente o de activarla virtualmente en listas negras. El banco emisor no permite una autorización automática. Es necesario contactar telefónicamente con su centro autorizador para obtener una aprobación manual. Además, el banco emisor considera que la tarjeta está en una situación de posible fraude y, por ello, solicita de retenerla físicamente o de activarla virtualmente en listas negras. Pàg. 14

15 CODIGOS DE RESPUESTA PARA INDICAR QUE LA TRANSACCION HA SIDO DENEGADA Y QUE, ADEMAS, EL BANCO EMISOR CONSIDERA QUE LA TARJETA ESTA EN UNA SITUACION DE POSIBLE FRAUDE Y, POR ELLO, SOLICITA DE RETENERLA FISICAMENTE O DE ACTIVARLA VIRTUALMENTE EN LISTAS NEGRAS CODIGO DESCRIPCION BREVE COMENTARIO TARJETA PERDIDA O ROBADA 280 ERROR CVV2/CVC2 Tarjeta bloqueada por el banco emisor debido a que el titular le ha manifestado, con anterioridad, que le ha sido robada o perdida. Además, el banco emisor considera que la tarjeta está en una situación de posible fraude y, por ello, solicita de retenerla físicamente o de activarla virtualmente en listas negras. Código exclusivo para transacciones en las que se solicita el código de 3 dígitos CVV2 (tarj.visa) o CVC2 (tarj.mastercard) del reverso de la tarjeta. Es erróneo el código CVV2/CVC2 informado por el comprador. Además, el banco emisor considera que la tarjeta está en una situación de posible fraude y, por ello, solicita de retenerla físicamente o de activarla virtualmente en listas negras. 290 DENEGACION SIN ESPECIFICAR EL MOTIVO Transacción denegada por el banco emisor pero sin que este dé detalles acerca del motivo. Además, el banco emisor considera que la tarjeta está en una situación de posible fraude y, por ello, solicita de retenerla físicamente o de activarla virtualmente en listas negras. Códigos de respuesta enviados por la propia plataforma de pagos de DE CATALUNYACAIXA CODIGOS DE RESPUESTA PARA INDICAR QUE LA TRANSACCION HA SIDO RECHAZADA POR LA PLATAFORMA DE PAGOS DE CATALUNYACAIXA CODI DESCRIPCIÓ BREU COMENTARI 904 FORMATO ERRONEO 909 ERROR DE SISTEMA 912 EMISOR NO DISPONIBLE 913 TRANSMISION DUPLICADA 928 TIME-OUT EXCEDIDO El formato del mensaje enviado es erróneo. Para localizar el campo afectado por el error será necesario seguir las instrucciones de LOCALIZACION DE ERRORES del MANUAL DE INSTALACIÓN DEL TPV VIRTUAL. Error en la estabilidad de la plataforma de pagos de CatalunyaCaixa o en la de los sistemas de intercambio de Visa o MasterCard. El centro autorizador del banco emisor no está operativo en estos momentos. Se ha procesado recientemente una transacción con el mismo número de pedido (Ds_Merchant_Order). El banco emisor no da respuesta a la petición de autorización dentro del time-out predefinido TARJETA NO EXISTE Tarjeta inexistente CHECK-DIGIT ERRONEO Tarjeta no cumple con el check-digit (posición 16 del número de tarjeta calculada según algoritmo de Luhn). Pàg. 15

16 CODIGOS DE RESPUESTA PARA INDICAR QUE LA TRANSACCION HA SIDO RECHAZADA POR LA PLATAFORMA DE PAGOS DE CATALUNYACAIXA CODI DESCRIPCIÓ BREU COMENTARI 9912 EMISOR NO DISPONIBLE El centro autorizador del banco emisor no está operativo en estos momentos SERVICIO TÉCNICO DE SOPORTE EN LA INSTALACIÓN CatalunyaCaixa pone a disposición de la Institución que deseen instalar el TPV virtual el Servicio Técnico de Soporte a la Instalación que atenderá, de manera totalmente gratuita, cualquier consulta técnica u operativa sobre la suya instalación y funcionamiento. Tel. (34) Horario de atención telefónica: INVIERNO: 16 Septiembre a 30 Junio Lunes a Jueves 8:00 h.- 18:00 h. Viernes 8:00 h.- 15:00 h. VERANO: 1 Julio a 15 Septiembre Lunes a Viernes 8:00 h.- 15:00 h. tpvvirtual@itece.es Pàg. 16