Arquitectura de pagos en iGaming

Arquitectura de pagos en iGaming

1) El papel de los pagos en P&L y cumplimiento

• Conversión de depósito (Auth Rate, Friction, 3DS/SCA) y velocidad de retiro (T + 0/T + 1).
• Costo: MDR/interchange, peajes PSP/bancos, FX/conversión, anticongelante/charjbeki.
• Riesgo y regulación: KYC/AML, límites y Juego Responsable (RG), PSD2/SCA/GDPR/PCI DSS.
• Fiabilidad: tolerancia a fallas, fallas PSP, separación de riesgos y SLAs estables.

2) Paisaje objetivo

Los canales de entrada son: tarjetas (Visa/Mastercard/MIR/UnionPay), APM (Apple/Google Pay), open banking/instant payments (SEPA Instant, Faster Payments, Pix, UPI), e-monederos, vales, terminales de efectivo (locales).
Los canales de salida son: SEPA/ACH/FPS salientes, Pix/UPI, tarjeta-a-tarjeta (APROT/Original Credit Transfer), billeteras, rieles locales; para «cash at cage» - pago fuera de línea.
Capas intermedias: Orquestador PSP, antifraude, gateway de cumplimiento (KYC/AML/sanciones), Ledger (juego/efectivo), almacén de tokens, conciliación (Reconciliation), informes.

3) Dominios funcionales

3. 1 Aceptación de pagos (Acquiring)

Enrutamiento inteligente: selección de PSP por BIN/país/banco/cheque de riesgo/valor; cascada (Retry → Alt-PSP) y partes approvals.
3DS/SCA: orquestación dinámica (frictionless vs challenge), TRA/Whitelisting, PSD2-exclusiones (LVA, MOTO, MIT).
Tokenización: cajas fuertes y tokens de red (NTokens), COF/CIT/MIT framing, tarjetas vaulted.
UI/UX: localización de divisas, autocartera APM por GEO/UA, «1-clic» después de KYC, tarifas/límites transparentes.

3. 2 Pagos (Payouts)

Reglas de prioridad: velocidad (instant/near-instant), costo, disponibilidad del canal.
Anti-arb y RG: conclusiones diferidas (cool-off), comprobaciones de la fuente de fondos, velocity-limites, depósito de ganancias controvertidas (fraud/AML).
KYT (Know Your Transaction): monitoreo de patrones (mulling/obnal), comunicaciones de dispositivos y tarjetas, listas de excepciones.

3. 3 Antifraude y riesgo

Señales: device fingerprint, biometría conductual, crédito BIN/debit, proxy/VPN, velocity, rantime events del núcleo del juego (win→withdraw anormalmente rápido).
Puntuación: reglas híbridas ML + (características weighted, control SHAP), A/B en la política de umbral.
Estrategia 3DS: dirigimos sólo el cheque de alto riesgo/alto; optimizamos el «challenge rate» y el «frictionless share».
Charjbeki: alerta temprana, Orden Insight/CAA, RDR/ODR (vendor), datos de evidencia (KYC, IP, trace de inicio de sesión, registro de juegos).

3. 4 KYC/AML/Sanciones/PEP

Tiering: L0 (email/teléfono) → L1 (ID/edad) → L2 (Proof of Address/SOW/SOF) → L3 (EDD).
Sanciones/RER: orquestación de proveedores, fuzzy-match, auto-escalada.
Monitoreo transaccional: reglas + ML, scripts SAR/AMB, informes de umbral, bordes para puentes de efectivo/criptomonedas (si corresponde).
Frecuencia de actualización de KYC: riesgo-base; los events (cambio de dispositivo/canal/comportamiento) desencadenan refresh.

3. 5 Ledger, carteras y contabilidad

Dos cuentas: Ledger de juego (balance, apuestas, ganancias, obligaciones de bonificación) y Ledger de dinero (depósitos/retiros/comisiones/impuestos).
Pasivos diferidos: Bonos/giros/botes/progresivos - como pasivos.
Conciliaciones: T + 0/T + 1 con PSP/latas, descomposición discovery, auto-creación de ajustes.
Multivalute/FX: contabilidad de spot/conversión, guía de cursos (proveedor), PnL por FX-delta.

4) Requisitos no funcionales

Disponibilidad y escala

Orquestador Active-Active (multi-región), failover PSP automático, degradación con preservación sana.
SLO/SLA: recepción ≥ 99. 95%, autorización media <3 s, éxito en cascada <7 s; pagos instant ≤ 60 s (share), near-instant ≤ 15 min.

Seguridad y privacidad

PCI DSS: segmentación de zonas, reducción de «Cardholder Data Environment» (CDE), tokenización, pruebas de escaneo/espuma.
GDPR/contrapartes locales: minimización de datos, DSR/eliminación, auditoría de accesos.
Seguridad de cadena de suministro: compilaciones firmadas, SBOM, SAST/DAST, claves/secretos (HSM/KMS), registros de seguimiento.

5) Orquestación y enrutamiento PSP

Algoritmo de enrutamiento (referencia)

1. Pre-puntuación: GEO, BIN/IIN, perfil de riesgo, cheque.
2. Reglas de costo/éxito: histórico Auth Rate × Fee → score PSP.
3. Salud técnica: latency/errores/bauns - realtime penalty.
4. Política 3DS/SCA: TRA/Exemptions → selección de flow.
5. Cascada: PSP-A → PSP-B → APM → banca abierta; mantenemos la idempotencia.

Smart Retry

Compartimos los «códigos reason», aplicamos el tiempo-backoff, cambiamos la estrategia 3DS, la cuenta gateway, la lista BIN-white/negra.
Almacenamos «payment intent» e idempotency key para evitar la doble carga en Ledger.

6) Arquetipos regionales (recetas rápidas)

UE/Reino Unido: PSD2/SCA, SEPA Instant, Faster Payments, tarjetas + banca abierta; el alto peso de la estrategia 3DS y los afiliados.
Estados Unidos: tarjetas + ACH (comprobaciones en dos pasos), PayPal/Cash App; Reten en pagos P2P instantáneos, la administración de charjback es crítica.
LATAM: Pix (Brasil), SPEI (México), PSE (Colombia), vales/efectivo; la ruta es APM-heavy, antifraude por dispositivos y documentos.
Turquía/CA: ARM locales/puentes criptográficos (si está permitido), transferencias bancarias; alto peso específico de AML/sanciones.
India/Asia: UPI, e-monederos, redes locales de tarjetas; límites, velocity y riesgo real-time.

7) Juego responsable (RG) en el circuito de pago

Límites: depósitos/pérdidas/tiempo/retiros; cool-off y auto-exclusión → bloquear todos los canales de pago.
Affordability: Comprobación de disponibilidad de gastos (open banking/indicadores de crédito): solicitudes suaves.
Comercialización: prohibición «sin riesgo»; Bonos T&C transparentes; control de afiliados/fuente de tráfico.

8) Informes, análisis y pronóstico

Informes Diarios: Autorizaciones, Declines by reason, Chargeback rate, Refund rate, Payout time, Net Payment Margin.
Conciliación cruzada: Ledger ↔ PSP Payouts ↔ Banco; triangulación de anomalías.
Predicciones: estacionalidad de la conversión, elasticidad por comisión/umbral de Frod, necesidad de capital de trabajo para los pagos.

9) KPI/métricas (puntos de referencia)

Auth Rate (mapas): EU 85-92%, US 80-88%, LATAM 70-85% (antes de la orquestación).
Share of Instant Payouts: ≥ el 70% en cheques «light».
Chargeback Rate: < 0. 5% por cuenta, 0. 9% por volumen (depende del producto/región).
3DS Challenge Rate: <10-20% (segmento), Frictionless ≥ 70%.
Concentración PSP: Índice Herfindahl <0. 35 (diversificación).
OPEX en pagos (en% del depósito): corredor objetivo 1. 2–2. 0% con orquestación madura.

10) Incidentes y resiliencia

Playbooks: Declines masivos (issuer/PSP outage), degradación de 3DS ACS, retrasos Pix/UPI, bancos de vacaciones, estallido de charjbacks.
Fichi de la sostenibilidad: el término "balance grace" por un período corto (sólo para perfiles seguros), APM auto-switch, "payouts' cuando el banco falla," circuito breaker "para anomalías.
Comunicaciones: status page, plantillas de notificación, compensaciones/vales.

11) Hojas de verificación de cumplimiento

PCI DSS

• Segmentación CDE, tokenización, PAN fuera de aplicaciones.
• Certificación anual, escaneos, pruebas de espuma, registros de acceso.

GDPR/Privacy

• Minimización de datos, DSR/eliminación, DPIA para antifraude, encriptación en tránsito.
• DPA con PSP/proveedores, flujos transfronterizos.

KYC/AML

• Políticas CDD/EDD, sanciones/RER, KYT, scripts NAT/SAR.
• Límites de umbral y revisiones; Registro de soluciones.

RG/Marketing

• Límites/autoexclusión, discleimers visibles.
• Auditoría de afiliados, prohibición de la orientación juvenil.

12) Referencia arquitectónica (capas)

1. Checkout Layer (UI/localización/APM Discovery).
2. Payment Orchestrator (routing, retries, rules, A/B).
3. Risk Engine (device, behavior, ML, 3DS policy).
4. Compliance Hub (KYC, sanctions, KYT, RG).
5. Wallet & Ledgers (juego/efectivo, bonos de pasivo).
6. Reconciliation & Reporting (PSP/banco/GL, impuestos).
7. Observability & Security (metrics/logs/traces, PCI/GDPR).
8. Data/ML (modelos Frod, puntuación LTV, personalización de límites).

13) Hoja de ruta para la aplicación

Fase 0 (2-4 semanas): auditoría de PSP/métricas actuales, GAP por PCI/KYC/RG, producción de KPI, selección de orquestador.
Fase 1 (6-8 semanas): recepción multi-PSP + banca abierta/APM, antifraude básico, política 3DS, tokenización.
Fase 2 (8-12 semanas): instant payouts, KYT, conciliación completa T + 0/T + 1, informes CFO.
Fase 3 (12 + semanas): ML-frod, enrutamiento dinámico por costo/éxito, affordability, «circuit breaker» en tiempo real.

14) Lo que es importante recordar

La arquitectura de pago es la orquestación: la combinación correcta de canales, PSP y antifraude aumenta la conversión y reduce los costos.
Seguridad/Cumplimiento (PCI, GDPR, KYC/AML, RG) - Fundación; sin ellos, escalar es peligroso.
Conciliaciones y contabilidad - soporte para CFO/auditoría: T + 0/T + 1, trazabilidad completa, ledgers separados.
La regionalidad decide: abrir los raíles locales (Pix/UPI/SEPA Instant/FPS) y adaptar la estrategia UX y 3DS al banco emisor/región.