Kortgebyr.dk - prissammenligning af betalingsløsninger

Interessant, så det vil sige at en dansk webshop som udgangspunkt betaler ~3,95% + €0,28 til Paymill (Wirecard bank)?

Det er selvfølgelig nice at man kan have betalingsvinduet på sin egen side (a la. epay/stripe/paymill) og undgå redirects, men det øger desværre også risikoen for kortsvindel betragteligt (MITM-angreb og hacking).

Vi har tænkt os at medregne udbetalingstider, valutaveksling og chargebacks, don't worry :) Det ville være super hvis epay eller quickpay evt. kunne give os lidt statistik på chargebacks. En anden ting er Epays fraud fighter (0,3 kr / transaktion), hvor mange bruger reelt denne feature og skal den med i udregningen?

imponeret Ulrik 

Lucas - Hosting4Real:

Med wirecard 3.95% + 0.28EUR til paymill ja, og 4.15% + 0.28EUR hvis du ryger til acceptance bank (en del af Lufthansa) (Hvilket man højest sandsynligt gør, da Paymill er ved at stoppe kontrakt med Wirecard).

Du har ikke større risiko for kortsvindel eller hacking - siden der har implementeringen modtager aldrig disse data, alt bliver krypteret via clienten når du klikker på 'betal' - du laver egentligt bare en postback i Javascript, som så beregner checksum etc, ud fra dine data, kalder Paymills API, og det er så dem der modtager dataen.

Jeg tror ikke der er større chance for hacker angreb hos Paymill end som Epay etc.

Spørgsmålet om Epays fraud fighter ved jeg ikke om den skal tælles med, men hvis man ikke kan komme udenom exchange rate etc, skal det selvf. tælles med i beregningen - ihvertfald efter min mening. - især når kursen altid er fast. som f.eks 1% - uanset hvad valuta man omregner til.

@Lucas, Tak for info, tjek evt. denne tråd på stackexchange. Der er desværre en risiko for man-in-the-middle angreb hvor en hacker f.eks. hacker din webshop og spoofer epays betalingsvindue, sender kortdata til egen server og gennemfører købet for kunden. Cardholder kan ikke se om iframen kommer fra epay (ssl) eller ulrikmoe.dk og webshop-ejeren får sine penge, så hvem skal opdage angrebet? Jeg kan gennemføre et sådan angreb og jeg er ikke hacker.

@John. Mange tak. Vi er ikke altid enige, så det betyder noget at det kommer fra dig :)

Ulrik Moe:

@Lucas, Tak for info, tjek evt. denne tråd på stackexchange. Der er desværre en risiko for man-in-the-middle angreb hvor en hacker f.eks. hacker din webshop og spoofer epays betalingsvindue, sender kortdata til egen server og gennemfører købet for kunden. Cardholder kan ikke se om iframen kommer fra epay (ssl) eller ulrikmoe.dk og webshop-ejeren får sine penge, så hvem skal opdage angrebet? Jeg kan gennemføre et sådan angreb og jeg er ikke hacker.

Når du gennemføre en betaling med eks. Paymill, er der ikke nogen iframe eksisterende.

Det er en lang diskussion, men for at give dig et svar. Paymills løsning er udover det ovennævnte MITM-angreb også sårbar overfor XSS-angreb. Moderne browsere beskytter iFrames således at javascript ikke kan stjæle input, men da Paymill ikke bruger en iframe kan du som kortholder ikke vide om shopejer, en hacker, eller en spoofer på dit lokale (ukrypterede) netværk kopier dine kortoplysninger med javascript.

Ulrik Moe:

Det er en lang diskussion, men for at give dig et svar. Paymills løsning er udover det ovennævnte MITM-angreb også sårbar overfor XSS-angreb. Moderne browsere beskytter iFrames således at javascript ikke kan stjæle input, men da Paymill ikke bruger en iframe kan du som kortholder ikke vide om shopejer, en hacker, eller en spoofer på dit lokale (ukrypterede) netværk kopier dine kortoplysninger med javascript.

Men man kan jo også altid bruge SSL :) Selv det kan hackes.. Vi burde egentligt bare stoppe med at bruge online kort betaling i hele verdenen ;)

@Klaus. Email-deling og footer er en god ide, tak for det. Jeg tror ikke facebook deling gør den helt store forskel for vores side.

@Martin, Swedbank, Valitor og Handelsbanken vil komme på listen i løbet af ugen. Vi er dog udfordret ved at det kun er Teller som har lagt deres listepriser på nettet. Hvis nogen sidder inde med data som vi kan bruge så må i gerne sende dem anonymt :)

@Kjeld. Helt sikkert. De fleste programmeringssprog bruger desværre punktum som decimaladskiller (tak USA), men du har helt ret - vi ændrer det til komma og bruger punktum som 1000 separator.