Apple Pay: tokenlash va cheklovlar

1) Apple Pay onlayn nima

• DPAN (Device PAN / Device Account Number) вместо PAN;
• har bir tranzaksiya uchun bir martalik EMV-kriptogrammalar;
• Secure Enclave (SCA) da tasdiqlash.

2) Kanallar va ssenariylar

2. 1 Web (Safari, iOS/iPadOS/macOS)

Apple Pay JS / Payment Request API + domain verification.
Touch ID’siz Mac’da handoff: iPhone/Watch’da tasdiqlash qoʻllaniladi.
Mobil Safari uchun eng yaxshi UX (Sheet dan one-tap).

2. 2 In-App (iOS/iPadOS)

PKPayment (native Sheet).
App Clip/Deeplink to’liq o’rnatilmasdan «tezkor» to’lovlar uchun mumkin.

2. 3 POS

NFC (CP-tranzaksiyalar). Maqolada CNP/Web/In-App fokusi bor, lekin chardjbeklar/limitlar qoidalari oflayn rejimida boshqacha.

3) Tokenizatsiya va xavfsizlik (bu qanday ishlaydi)

DPAN token-servis orqali kartalar tarmog’ini chiqaradi; PAN qurilmadan chiqmaydi.
EMV-kriptogramma va dinamik kalit qurilmada shakllanadi → «payment token» ga ketadi.
SCA: Face/Touch ID yoki Secure Enclave (device binding) da tekshirilgan kod.
Payment token’a ning shifrlanishi PSP/ekvayerda (yoki sertifikatlash mavjud bo’lganda - kamdan-kam hollarda) amalga oshiriladi.

4) 3DS/SCA va tavakkalchilik

PSD2 mintaqalari uchun Apple Pay odatda SCA (biometric) deb hisoblanadi, bu esa approval rate ni oshiradi.
3DS «sof holda» ishga tushirilmasligi mumkin - SCA hamyon darajasida yopiq (bank/sxema/PSP hal qiladi).
«Sezgir» toifalar uchun bank Apple Pay-ga qaramay qo’shimcha tekshirishni talab qilishi/rad etishi mumkin.

5) MIT/rekurrent va COF: asosiy cheklov

Payment token Apple Pay bir martalik: kelajakda hisobdan chiqarish uchun DPAN kriptogrammasini shunchaki «qayta ishlatish» mumkin emas.
Takroriy/MIT (subsequent debits) uchun COF (Visa Token Service/MDES) tarmoq tokeni yoki sert talab qilinadi. COF у PSP.
To’g "ri sxema: Apple Pay orqali birinchi to’lov → MIT ruxsatnomasi → kartani COF (network token) da tokenlashtirish → reference bilan bo’lajak MIT.
COF va aniq consent’a MITsiz bank tomonidan rad etilishi mumkin (high decline/chargeback risk).

6) Avtorizatsiya/kapchurni bo’lish

’authorize → capture’ (ship-later/mavjudligini tekshirish) qoʻllaniladi.
Inkremental kapchurlar va reversal - sxemalar/ekvayer qoidalari bo’yicha (PSP shartnomasida aniqlashtiriladi).

7) Qaytarishlar va munozaralar

Refund xarita relslari bo’ylab harakatlanadi (DPAN/manba). Qisman qaytarish - taxminan.
Chargeback - kartalardagi kabi (INR/NAD va h.k.). Apple Pay muddatlarni/tartib-qoidalarni o’zgartirmaydi.
Xizmatni tasdiqlash/berish daftarlarini saqlang: SCA vaqti, device, IP, sessiya.

8) Rad etish limitlari, imkoniyati va tez-tez sabablari

Limitlarni emitent belgilaydi (per-txn/sutkalik/toifali); Apple global miqyosda chegara qo’ymaydi.

• MSS/vertikal (iGaming/kvazi-kesh bank/PSP tomonidan bloklanishi mumkin),
• mismatch geo (xarita/IP/merchant),
• MIT uchun COF yo’qligi,
• xato savdo konfiguratsiyasi (domain verification, merchant capabilities, supportedNetworks).
• Apple Pay’ning mavjudligi emitent bank mamlakatiga, qurilmaga, brauzerga (ko’pincha Safari) bog’liq.

9) Brend/komplayens talablari

Domain verification (saytdagi fayl-pruf).
Rasmiy tugmalar/Apple piktogrammalaridan foydalanish, «Buy with Apple Pay» matnlari.
Usulni «yashirish» mumkin emas (bu Apple Pay ekanligi aniq boʻlishi kerak).
In-App kontekstida StoreKit/Guidelinesga rioya qiling (ilovalar ichidagi kontent uchun qoidalar farq qiladi).

10) PSP orqali integratsiya: arxitektura

10. 1 Oqim (Web/In-App)

1. Kassa Apple’dan payment session soʻraydi (PSP orqali).
2. Apple Pay Sheet → foydalanuvchi tasdiqlaydi (SCA).
3. Siz payment token (shifrotext) olasiz → PSPga yuborasiz.
4. PSP tarmoqni/emitentni ochadi, avtorizatsiya qiladi.
5. Status (’authorized/succeeded/failed’) + vebxuk.
6. Kerak bo’lganda’capture ’/’ refund’qiling.
7. PSP roʻyxatlari boʻyicha kundalik recon ledjeringiz.

10. 2 Bekend minimal

API: `createPayment`, `authorize/capture`, `refund`, `webhook`, `reconcile`.
Idempotentlik (’orderId’dagi kalit), eksponensial retrajlar, kirish veb-xuklarining dedupi.
Security: signature Apple session, HMAC PSP veb-xuklarini validatsiya qilish, qattiq redirect-/return-URL.
Observability: approve rate (banklar/tarmoqlar bo’yicha),’pending → success/failed’, latentlik, Apple Pay’ning miksdagi ulushi.

11) Konversiyani oshiruvchi UX-patternlar

Dinamik Sheet: Apple Pay Sheet’ga kupon/chegirma/yetkazib bering, shunda foydalanuvchi final total’ni ko’radi.
Mobaildagi One-tap; ish stolida katta tugmani koʻrsating + iPhone tasdig’ini ko’rsating.
Follbek: Agar Apple Pay mavjud bo’lmasa (brauzer/qurilma) ,/A2A xaritalarini ko’rsating.
Recovery: tushunarli xatolar - «bank rad etdi/limit/domen verifikatsiyasi», xavfsiz takrorlash; bir necha marta rad etilganda → muqobil usul.

12) iGaming: o’ziga xos xususiyatlar va cheklovlar

Apple Pay’ning iGaming uchun mavjudligi PSP/ekvayer/emitent va yurisdiktsiyaga bog’liq.
Pasaytirilgan limitlar/selective declines, kvazi-keshga taqiq (vaucher/kripto depozitlari) mumkin.
Rekurrent/bonusli avtotasvirlar - faqat COF va o’yinchining aniq roziligi bilan MIT; ularsiz rad etish/chorjbeklar xavfi yuqori.
Alternativalarni saqlang: A2A (open banking), mahalliy hamyonlar, eCash - va tavakkalchilik/geo/bank smart-routing.

13) Solishtirish va hisobot (recon)

• ’paymentId/transactionId’,’orderId’, network (Visa/MC/...), bank (BIN), summa/valyuta, maqom/rad etish kodlari, kanal (Web/In-App), timestamps, ARN/UTR/PSP reyestrlaridan fin- havola.
• Har kuni: auto-recon (qabul qilish/qaytarish/tuzatish) + davriy full-recon.
• Alertlar: «reyestrsiz muvaffaqiyat», «ikki tomonlama capture», «capture bo’lmagan osilgan auth».

14) KPI va usulni boshqarish

Approval rate Apple Pay vs kartalar (banklar/qurilmalar/brauzerlar bo’yicha).
Mobil konvertatsiyadagi Share of Apple Pay.
Decline matrix (reason codes), retry win-rate.
Chargeback rate va hal qilingunga qadar o’rtacha vaqt.
Settlement lag va qaytarmalar (partial/full).
Degradatsiyada «dereyting» usuli triggerlari (masalan, muayyan bank/geoda approve <X%).

15) Mahsulotga olib chiqish chek-varaqasi

1. Apple Pay’ni PSP bilan ulang; domain verification, список supportedNetworks/merchantCapabilities.
2. Sheet (Web/In-App),’authorize/capture/refund’, veb-xuklar (imzo/NMAS), idempotentlik.
3. MIT/repurrent + consent uchun COF/network tokenization moslamasini moslash.
4. Smart-routing-ni yoqing: Apple Pay iOS/Safari, follbek/A2A.
5. Brend-gid (tugmalar/ikonkalar/matnlar) ni tasdiqlang.
6. Recon va alertlarni rasinxronlarga,’auth aging’, ikki tomonlama capture bo’yicha quring.
7. E2E-testlar: mobayl/desktop, partial capture/refund, decline-retries, Apple Pay’ning vaqtincha mavjud emasligi.

Mo’ljallar kartochkasi

Rels: kartochka (Visa/MC/va boshqalar); chargeback - xarita qoidalari bo’yicha.
SCA: Secure Enclave biometriyasi; 3DS odatda alohida talab qilinmaydi.
Tokenizatsiya: DPAN + bir martalik EMV-kriptogramma; rekurrent uchun - tarmoq COF-tokeni.
Статусы: `authorized/captured/succeeded/failed/refunded/voided`.
Settlement: PSP reyestrlari bo’yicha (ko’pincha T + 1/T + 2).
Cheklovlar: qurilmalar/brauzerlar/geo bo’yicha foydalanish; iGaming - PSP/emitentlar siyosati bo’yicha.

Xulosa

Apple Pay - yuqori mobil konvertatsiyaga ega kartalar ustidagi tezkor va xavfsiz qatlam va SCA «qutidan». PSP orqali domain verification, veb-xuklar, idempotentlik va recon bilan integratsiyalashuvni quring, Apple Pay’dan aqlli follbek bilan ustuvor mobil usul sifatida foydalaning. Obuna va iGaming uchun COF/tarmoq tokenlarini sozlash va consent saqlash juda muhimdir, aks holda rekurent hisobdan chiqarish beqaror bo’ladi va muvaffaqiyatsizliklar va charjbeklar xavfi ortadi.