Hosted payment page
Een afrekenpagina die bij de betaalprovider staat in plaats van in de webwinkel, zodat de server van de winkelier nooit een kaartnummer te zien krijgt.
De klant klikt op ‘Betalen’, belandt op een pagina op het domein van de provider, vult daar de kaart in en wordt teruggestuurd met een bevestiging. Het patroon is even oud als e-commerce zelf, maar PCI DSS maakte er de standaard van. Een winkelier die nooit kaartgegevens aanraakt, kan met de kortste zelfbeoordelingsvragenlijst, SAQ A, volstaan in plaats van enkele honderden eisen. De provider regelt bovendien 3-D Secure, lokale betaalmethoden en wettelijke verplichtingen die de winkelier anders zelf zou moeten bouwen.
De prijs is controle. De doorverwijzing verstoort de beleving, en elke extra paginalading in de checkout kost verkopen. Het compromis van de branche werd hosted fields: alleen het kaartinvoerveld staat in een iframe van de provider, de rest van de pagina is van de winkelier. Dat beschermt minder dan het lijkt: kaapt iemand de pagina van de winkelier, zoals bij de Magecart-aanvallen, dan kan het iframe eenvoudig door een namaakversie worden vervangen.