Как подключить приём онлайн-оплат в Узбекистане: Click, Payme, Uzum и карты

Что такое эквайринг и в чём специфика рынка Узбекистана

Приём онлайн-оплат на сайте или в приложении — это связка из трёх ролей: ваш бизнес (мерчант), платёжная система или банк-эквайер, которые проводят деньги, и сам клиент с его картой или кошельком. Технически вам нужно отправить платёжной системе сумму и идентификатор заказа, дать пользователю оплатить и достоверно получить подтверждение, что деньги действительно поступили.

В Узбекистане у этой схемы есть несколько важных особенностей. Во-первых, основная масса карт — это национальные системы UZCARD и HUMO, а не Visa/Mastercard. Во-вторых, рынок поделён между несколькими крупными игроками — Click, Payme и Uzum, — у каждого свой кошелёк, своя аудитория и свой протокол. В-третьих, для приёма платежей вам почти всегда нужен оформленный субъект предпринимательства: юридическое лицо или самозанятый/ИП с расчётным счётом, потому что договор эквайринга заключается на реквизиты.

Какие платёжные системы подключают

На практике клиенту нужно дать выбор из привычных ему способов, иначе часть оплат отвалится на этапе кассы. Минимальный набор для узбекского рынка выглядит так:

• Click — крупнейшая по охвату система, кошелёк Click и оплата картой через их форму.
• Payme — популярный кошелёк и эквайринг, входит в экосистему Uzum.
• Uzum — оплата через Uzum Pay и рассрочка/BNPL, что особенно важно для товаров и крупных чеков.
• Карты UZCARD и HUMO — прямая оплата картой без установки кошелька.

Международные карты Visa и Mastercard для локального бизнеса подключаются отдельно через банк-эквайер и нужны в основном тем, кто работает с иностранной аудиторией. Для большинства проектов внутри страны связки Click + Payme + Uzum + национальные карты достаточно.

Способы интеграции

Подключение к каждой системе можно сделать тремя разными по трудоёмкости способами. Выбор напрямую влияет на сроки разработки и на то, кто отвечает за безопасность.

• Готовая платёжная форма (redirect/checkout). Вы перенаправляете клиента на страницу провайдера или открываете их виджет. Самый быстрый путь: данные карты вводятся на стороне платёжной системы, вы их не видите и не храните.
• Merchant API. Провайдер дёргает ваш сервер колбэками и проверяет заказ. Даёт полный контроль над сценарием, статусами и сверкой, но требует аккуратной серверной реализации.
• Агрегатор. Сервисы вроде Multicard, Octobank, Paynet дают одну интеграцию сразу на несколько систем. Экономит время на стыковке, но добавляет посредника в расчёты.

Как технически работают колбэки и вебхуки

Главная инженерная часть — серверная обработка. У каждой системы свой протокол, и понимание этих различий экономит недели отладки.

Payme использует Merchant API на базе JSON-RPC: провайдер вызывает на вашем сервере методы CheckPerformTransaction, CreateTransaction, PerformTransaction, CancelTransaction и CheckTransaction. Вы обязаны проверить заказ, зафиксировать транзакцию и корректно вернуть статус. Авторизация идёт по ключу мерчанта в заголовке.

Click работает по двухшаговой схеме Prepare/Complete: сначала система спрашивает, готовы ли вы принять платёж, затем подтверждает его. Каждый запрос подписан хешем из параметров и секретного ключа — подпись нужно пересчитывать и сверять на своей стороне.

Отдельно держите в голове, что статус «пользователь нажал оплатить» и статус «деньги реально поступили» — это разные события. Доступ к товару, услуге или подписке открывайте только после подтверждённого серверного колбэка, а не по редиректу клиента обратно на сайт.

Комиссии и договор

Комиссия эквайринга — это процент, который удерживает платёжная система с каждой транзакции. Точные ставки в Узбекистане индивидуальны: они зависят от оборота, ниши, способа оплаты (кошелёк дешевле, карта дороже) и условий конкретного договора, поэтому не стоит ориентироваться на чужие цифры — запрашивайте тариф у провайдера под свой профиль.

Для бизнеса итоговая стоимость складывается не только из процента, но и из скорости денег: задержка зачисления — это кассовый разрыв, который для многих критичнее лишней десятой доли процента комиссии.

Безопасность и фискализация

Если вы используете готовую форму провайдера, карта вводится на его стороне — вам не нужна сертификация PCI DSS, потому что вы не храните и не передаёте данные карт. Это главный аргумент в пользу redirect-схемы для большинства проектов. Если же вы хотите принимать карту прямо на своих страницах, требования к защите данных резко вырастают.

Базовая гигиена в любом случае: HTTPS на всех платёжных эндпоинтах, секретные ключи только на сервере (никогда в коде фронтенда или мобильного приложения), верификация подписи колбэков, идемпотентность и журналирование всех транзакций для разбора спорных ситуаций.

Что в итоге выбрать