الدفع الإلكتروني الآمن في المغرب: كيف تطمئنون زبناءكم لحظة الأداء

الدفع الإلكتروني الآمن، في نظر زبونكم، هو أولًا دفع يفهمه: صفحة دفع مستضافة تحمل اسمكم وشعاركم، ومبلغ بالدرهم، وتأكيد يطلبه بنكه هو بفضل ‎3-D Secure، وبطاقة لا تمرّ عبركم أبدًا. وما تبقى يتوقف عليكم: أن تعرضوا من يشغّل الأداء، ومعلومات الاتصال بكم، وشروطكم، وألا تطلبوا أي معطى من معطيات البطاقة في رسالة، وأن تؤكدوا كل أداء دون تأخير. يتناول هذا الدليل كل نقطة من هذه النقاط، مع جمل جاهزة للنشر في موقعكم وأجوبة عن أكثر الشكوك تكرارًا.

الدفع الإلكتروني الآمن كما يراه زبونكم

لحظة الأداء، يطرح زبونكم سؤالين حتى وإن لم ينطق بهما: إلى أين تذهب بطاقتي، ومن يستخلص مالي؟ وما دام لا يجد جوابًا، فهو يتردد، وأحيانًا يتخلى. والدفع الإلكتروني الآمن يجيب عن السؤالين قبل أن يحتاج إلى طرحهما.

إلى أين تذهب بطاقته. إلى صفحة دفع تستضيفها المنصة، لا إلى موقعكم ولا إلى رسائلكم. يُدخلها بنفسه، ويطلب منه بنكه التأكيد.

من يستخلص. أنتم، بواسطة منصة الدفع الخاصة بكم. وحين تكون هذه المنصة ChariPay، فالجواب الدقيق هو التالي: ChariPay منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب. وينبغي أن يجد زبونكم هذه الجملة كما هي.

لا تعِدوا بدفع «آمن مئة في المئة»: فالأمان يُبرهَن عليه بما يراه الزبون ويعيشه، لا بشعار. أما ما تفعله المنصة من جهتها — المصادقة القوية، وسجل التدقيق، والامتثال — فمفصَّل في صفحة الأمان والامتثال؛ وهذا الدليل يتناول ما تعرضونه أنتم على زبنائكم.

صفحة دفع باسمكم وبألوانكم، تستضيفها ChariPay

أول إشارة ثقة بصرية: ينبغي أن يتعرّف الزبون على متجركم في الصفحة التي يدفع فيها. وهناك حالتان، حسب طريقة استخلاصكم.

• جلسة دفع في موقعكم. جلسة الدفع تأخذ ألوانكم وشعاركم: فكتلة config.frontend في الجلسة تحمل مظهرًا وشعارًا واسم مؤسستكم. فينتقل الزبون من سلة مشترياتكم إلى صفحة تشبهكم.
• رابط دفع يُرسل في رسالة. صفحة الرابط تعرض اسمكم وشعاركم، وتُضبط من إعدادات حسابكم.

وفي الحالتين يظهر المبلغ بالدرهم: فكل شيء بالدرهم المغربي (MAD)، دون أي تحويل للعملة. والزبون الذي يقرأ المبلغ المضبوط لطلبيته تحت اسم متجركم لا يشعر بأنه غادر محلكم. وتجدون العرض الكامل في صفحة الدفع المستضافة.

وقاعدة دمج لا يُلتفّ عليها أبدًا: صفحة الدفع لا توضع أبدًا داخل iframe مخفي. فينبغي أن يرى الزبون أين يُدخل بطاقته.

وأبسط طريقة أن تروا صفحتكم كما سيراها زبونكم. ابدؤوا في وضع الاختبار: ثلاثة حقول (الاسم، والبريد الإلكتروني المهني، والمؤسسة)، ورابط تفعيل يصلكم بالبريد لاختيار كلمة المرور، ثم بوابة التاجر حيث تضبطون صفحتكم وتنشئون، إن كنتم تدمجون عبر API، مفتاح الاختبار بعد إعادة مصادقة. ادفعوا ببطاقة الاختبار ‎4918 9141 0719 5005، CVV 123، وأي تاريخ انتهاء مستقبلي، ورمز ‎3-D Secure 555: هذه البطاقة هي الوحيدة المقبولة، ولا يتحرك أي مال حقيقي. الأمر مجاني، بلا حد زمني ودون موافقة تنتظرونها.

التأكيد لدى بنكه: دور ‎3-D Secure

تمرّ الأداءات بالبطاقة عبر مصادقة ‎3-D Secure: يؤكّد حامل البطاقة العملية لدى بنكه، وهو ما يحمي التاجر من معظم حالات عدم الأداء والنزاعات.

وبالنسبة إلى زبونكم، يعني ذلك خطوة إضافية، وهذا خبر سار: بعد إدخال بطاقته، يرى بنكه يطلب منه تأكيد الأداء بالوسيلة التي يعتمدها. فبنكه هو الذي يتحقق من أنه صاحب البطاقة فعلًا، لا أنتم ولا المنصة. اشرحوا ذلك في جملة واحدة في صفحة الطلب: فالمشتري الذي يرى بنكه يتدخل يطمئن، شرط أن يكون متوقعًا لذلك.

ولهذه الخطوة إخفاقاتها كذلك: التخلي أثناء المصادقة، ورفض البنك المُصدِر، وبيانات خاطئة، والاشتباه في الاحتيال. وكثير من البطاقات المغربية مغلقة افتراضيًا أمام الدفع الإلكتروني. وقراءة التاجر لهذه الإخفاقات، وما يمكنه تحسينه، في ‎3-D Secure ونسب النجاح. أما ما يستطيع المشتري فعله بنفسه بعد الرفض فمشروح في رفض البطاقة في الدفع الإلكتروني، وهو رابط مفيد ترسلونه إلى زبون عالق.

بطاقة زبونكم لا تمرّ عبركم أبدًا

هذه أقوى حجة، وهي صحيحة: يُدخل زبونكم بطاقته في صفحة الدفع المستضافة، داخل نطاق حاصل على شهادة PCI DSS المستوى 1: لا ترون أبدًا رقم بطاقة، ويُختصر استبيان التقييم الذاتي الخاص بكم تبعًا لذلك — وهو ما يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم.

المنصة حاصلة على شهادة PCI DSS المستوى 1 تُجدَّد كل سنة. وPCI DSS هو معيار أمن بيانات البطاقات الذي ينشره PCI Security Standards Council، وقد وُضع، كما يصفه المجلس، لتعزيز أمن بيانات حسابات بطاقات الدفع وتشجيع الاعتماد الواسع لتدابير متّسقة لأمن البيانات في العالم كله. والمستوى الأول هو الأكثر تطلبًا. وهذه الشهادة صفة للمنصة لا لمتجركم: فلا تكتبوا أبدًا أن موقعكم «حاصل على شهادة PCI DSS». أما ما يمكنكم كتابته فهو أنكم لا ترون ولا تحفظون أي رقم بطاقة؛ ومن جهة المنصة، أرقام البطاقات لا تُكتب أبدًا في قاعدة البيانات.

ولمعرفة ما يعنيه PCI DSS من جهة التاجر، اقرؤوا معيار PCI DSS للتجار.

طمأنة زبنائكم قبل الأداء: ما ينبغي عرضه

تُبنى الثقة قبل صفحة الدفع: في موقعكم، أو صفحة المنتج، أو حسابكم على الشبكات. تأكدوا أن كل عنصر من هذه العناصر ظاهر حيث يقرّر الزبون الشراء.

• من يشغّل الأداء. جملتان بسيطتان، مثلًا: «تمرّ أداءات هذا المتجر عبر ChariPay. وChariPay منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب.» والتفاصيل في صفحة من يشغّل ChariPay، التي يمكنكم الإحالة إليها.
• معلومات الاتصال بكم. اسم المؤسسة، والهاتف، والبريد الإلكتروني، ووسيلة للتواصل يُجاب فيها فعلًا.
• شروط البيع والاسترداد. ما يحدث إن لم يناسب المنتج، وكيف يُسترَدّ المبلغ للزبون.
• المبلغ الإجمالي بالدرهم. شاملًا التوصيل إن كان مؤدًّى عنه، قبل أن يصل الزبون إلى صفحة الدفع.
• طريقة الأداء. «أداء بالبطاقة مع ‎3-D Secure، في صفحة دفع مستضافة»: فيعرف الزبون ما ينتظره.

ولا تضيفوا أي شارة أو ختم أو شعار شهادة لم تحصلوا عليه بأنفسكم، ولا تكتبوا أن متجركم «حاصل على شهادة»: فالزبون اليقظ سيتحقق، والختم المزيّف يهدم الثقة التي كان يُفترض أن يبنيها.

ما لا تطلبونه أبدًا من زبون

القاعدة الأكثر طمأنة هي أيضًا الأبسط: لا تطلبون أبدًا رقم بطاقة، ولا رمز الأمان (CVV)، ولا رمزًا تلقاه من بنكه، لا في رسالة ولا بالهاتف ولا بالبريد الإلكتروني. ولا صورة بطاقة أيضًا، ولو «للتحقق». فالمكان الوحيد الذي يُدخل فيه زبونكم بطاقته هو صفحة الدفع المستضافة — صفحة متجركم أو صفحة رابط دفع ترسلونه إليه.

اكتبوا ذلك بوضوح في موقعكم وفي رسائلكم التلقائية:

لن نطلب منكم أبدًا رقم بطاقتكم، ولا رمز الأمان، ولا رمزًا تلقيتموه من بنككم، لا في رسالة ولا بالهاتف ولا بالبريد الإلكتروني. وللأداء، استعملوا فقط صفحة الدفع الخاصة بمتجرنا أو رابط الدفع الذي نرسله إليكم.

هذه الجملة تحمي زبناءكم ممن قد ينتحل اسمكم، وتحميكم أنتم أيضًا. أما أشكال الاحتيال التي تستهدف التاجر مباشرة — لقطة شاشة أداء مزيّفة، وإعادة توجيه مزوَّرة، والاستيلاء على بوابة التاجر — فتُعالَج في الاحتيال في الدفع الإلكتروني.

بعد الأداء: التأكيدات والمتابعة

اللحظة التي تلي الأداء مهمة بقدر التي تسبقه: فالزبون الذي لا يصله خبر يقلق، ويكتب إليكم.

1. 1في بوابة التاجر. يصبح الرابط «مدفوعًا»، ويُشعركم إشعار بالاستخلاص في بوابة التاجر. وبالنسبة إلى الجلسة، تُقرأ الحالة عبر API.
2. 2في خادمكم. أكّدوا الطلبية عند استلام الويب هوك، لا عند إعادة التوجيه وحدها: فإعادة التوجيه تعني أن المشتري عاد، لا أن الأداء قد تمّ.
3. 3للزبون. أرسلوا رسالة التأكيد الخاصة بكم بمجرد تأكيد الأداء: المبلغ، ومرجع طلبيتكم، وما يلي — التحضير، أو الشحن، أو الموعد.

مثال:

وصلنا أداء طلبيتكم رقم 1042 (349 درهمًا)، شكرًا لكم! نحن نحضّرها وسنكتب إليكم بمجرد شحنها. هل من سؤال؟ يكفي أن تردّوا على هذه الرسالة.

الرد على الشكوك ورصد مواضع التخلي

بعض الأسئلة تتكرر؛ فحضّروا أجوبتها مرة واحدة، في صفحة مساعدة أو في ردودكم المحفوظة.

• «لماذا يطلب مني بنكي رمزًا؟» «إنها ‎3-D Secure: بنككم يتحقق من أنكم أنتم من يؤدي. ولا تعطوا هذا الرمز لأي أحد، ولا لنا.»
• «من يستخلص في هذه الصفحة؟» «متجرنا، بواسطة ChariPay، منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب.»
• «هل مرّ أدائي؟» «يصلكم تأكيدنا بمجرد تأكيد الأداء. وإن لم يصلكم منا شيء، فاكتبوا إلينا قبل أن تؤدّوا مرة ثانية.»

ولمعرفة أين يتردد زبناؤكم، قيسوا بدل التخمين. تعرض بوابة التاجر قمع رابط أو جلسة — كم فتحوا الصفحة، وكم أدخلوا بطاقتهم، وكم أتمّوا — وتكشف وحدة «مسار الزبون» في API ملخص القمع وتفاصيل أحداث مورد ما. فتحٌ كثير وبطاقات مُدخلة قليلة: الصفحة أو المبلغ يثيران تساؤلًا. وبطاقات مُدخلة كثيرة وأداءات مكتملة قليلة: انظروا من جهة المصادقة ورفض البنوك. والطريقة كاملة في ‎3-D Secure ونسب النجاح.

أسئلة شائعة

كيف أعرف أن الدفع الإلكتروني آمن؟

انظروا أين تُدخلون بطاقتكم ومن يستخلص. فالأداء الجدي يتم في صفحة دفع باسم المتجر، بمبلغ واضح، ويطلب منكم بنككم التأكيد عبر ‎3-D Secure. واحذروا كل من يطلب رقم بطاقتكم أو رمزًا بنكيًا في رسالة أو بالهاتف، أيًّا كان الاسم الذي يتقدم به.

لماذا يطلب بنك زبوني منه رمزًا؟

إنها مصادقة ‎3-D Secure: يؤكد حامل البطاقة الأداء لدى بنكه، وهو ما يحمي التاجر من معظم حالات عدم الأداء والنزاعات. والرمز يأتي من بنكه، لا منكم ولا من المنصة. نبّهوا زبناءكم إلى هذه الخطوة في صفحة الطلب: فالمشتري الذي يتوقعها يعيشها ضمانةً لا عائقًا.

هل يمكنني وضع شعاري في صفحة الدفع؟

نعم. جلسة الدفع تأخذ ألوانكم وشعاركم: فعبر API، تحمل كتلة config.frontend مظهرًا وشعارًا واسم مؤسستكم. وصفحة رابط الدفع تعرض اسمكم وشعاركم، المضبوطين من إعدادات حسابكم. ويمكنكم التحقق من كل ذلك في وضع الاختبار قبل إرسال أول رابط حقيقي إلى زبون، فترون الصفحة كما سيراها هو تمامًا.

هل أرى أرقام بطاقات زبنائي؟

لا. يُدخل زبونكم بطاقته في الصفحة المستضافة، داخل نطاق حاصل على شهادة PCI DSS المستوى 1: لا ترون أبدًا رقم بطاقة، ويُختصر استبيان التقييم الذاتي الخاص بكم، وهو ما يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم. ومن جهة المنصة، أرقام البطاقات لا تُكتب أبدًا في قاعدة البيانات. لذا يمكنكم كتابة ذلك في موقعكم.

ماذا أعرض في موقعي لطمأنة الزبون قبل الأداء؟

من يشغّل الأداء، بالجملة الدقيقة عن ChariPay وChari Money؛ ومعلومات الاتصال بكم كاملة؛ وشروط البيع والاسترداد؛ والمبلغ الإجمالي بالدرهم قبل صفحة الدفع؛ وطريقة الأداء، بالبطاقة مع ‎3-D Secure في صفحة مستضافة. ولا تضيفوا أي شارة أو ختم لم تحصلوا عليه بأنفسكم، فالزبون اليقظ يتحقق من ذلك.

هل يمكن لزبون أن يؤدي لي بإرسال بطاقته في رسالة؟

لا، ولا ينبغي أبدًا أن تقبلوا ذلك أو تطلبوه: لا رقم بطاقة، ولا رمز أمان، ولا رمزًا بنكيًا، ولا صورة بطاقة، لا في رسالة ولا بالهاتف ولا بالبريد الإلكتروني. أرسلوا له بدلًا من ذلك رابط دفع: يُدخل بطاقته بنفسه في الصفحة المستضافة، ويؤكد لدى بنكه، ويصلكم الإشعار حين يصبح الرابط «مدفوعًا».

كيف أعرف أين يتخلى زبنائي عن الأداء؟

تعرض بوابة التاجر قمع رابط أو جلسة: كم فتحوا الصفحة، وكم أدخلوا بطاقتهم، وكم أتمّوا. وتكشف وحدة «مسار الزبون» في API الملخص نفسه وتفاصيل الأحداث. قارنوا المراحل في ما بينها: فالفجوة بين الفتح والإدخال لا تُعالَج كالفجوة بين إدخال البطاقة والأداء المكتمل، ولكل منهما أسبابها الخاصة.

الخطوة التالية

خصّصوا صفحة الدفع باسمكم وشعاركم، ثم أجروا أداءً تجريبيًا من هاتف، بخطوة ‎3-D Secure، لتعيشوا بالضبط ما سيعيشه زبونكم: ابدؤوا في وضع الاختبار. وحدّثوا بعد ذلك ما يرد في موقعكم — من يشغّل الأداء، وما لا تطلبونه أبدًا — مستندين إلى صفحة الأمان والامتثال.

Sources

• PCI Security Standards Council — PCI DSS — اطُّلع عليه في 2 أكتوبر 2026