Эквайринг на сайте: как принимать оплату и что требуют банки

Эквайринг подключают в три шага: договор и проверка компании банком, ручная модерация сайта, интеграция с онлайн-кассой. Ставки у крупных провайдеров держатся около 2,3-3,5 процента, а выплаты приходят от следующего дня до трёх рабочих. Без кассы и чека подключения не будет.

Эквайринг на сайте со стороны владельца выглядит как кнопка «Оплатить»: нажал, ввёл карту, деньги пришли. Со стороны банка это договор, юридическая проверка компании, ручная модерация сайта, подключённая онлайн-касса и чек, который улетает покупателю в течение пяти минут. Между этими двумя картинами мира обычно проходит от трёх дней до трёх недель, и владелец сайта всё это время не понимает, почему заявку то отклоняют, то просят «доработать страницу с условиями». Ниже разберу, что именно проверяют, какие документы готовить, сколько стоит приём платежей в 2026 году, как выглядит техническая интеграция и что отваливается через год после запуска.

Подключал эквайринг примерно тридцати клиентам: студии маникюра, автосервисы, языковые школы, пара небольших магазинов на WooCommerce. Отказов на первой подаче было больше половины, и почти все по одной причине: сайт не готов, хотя владельцу кажется, что готов.

Кто вообще может подключить приём платежей

Первое, что отсекает половину желающих: самозанятый физлицом интернет-эквайринг не получит. Банки и платёжные агрегаторы работают с ИП и юрлицами. Для самозанятого остаются платёжные ссылки от сервисов вроде ЮKassa для самозанятых, Робокассы, СБП-ссылки от банка, но полноценный модуль оплаты на сайте с чеком по 54-ФЗ туда не встаёт.

Второе: вид деятельности. Есть список запрещённых и высокорисковых категорий, и он у каждого провайдера свой. Гарантированно откажут по крипте, ставкам, форекс-обучению, БАДам с медицинскими обещаниями, эзотерике. Осторожно смотрят на инфобизнес, консультации без лицензии, продажу баз данных. Если у вас обычные услуги (ремонт, обучение, доставка, ателье, техподдержка) вопросов не будет.

Третье: ОКВЭД должен соответствовать тому, что написано на сайте. Модератор открывает выписку из ЕГРИП и страницу услуг рядом. Если в выписке только 62.09, а на сайте продаются букеты, заявку вернут.

Пакет документов

Для ИП обычно достаточно паспорта, свидетельства о регистрации либо листа записи ЕГРИП, ИНН и реквизитов расчётного счёта. Для ООО добавляются устав, решение о назначении директора, выписка из ЕГРЮЛ. Некоторые провайдеры просят анкету по 115-ФЗ с описанием бизнес-модели: кто клиенты, какой средний чек, откуда идёт трафик.

Отдельно попросят подтвердить владение сайтом. Способы разные: файл в корне домена, DNS-запись TXT, письмо с почты на домене. Последний вариант самый частый, и он же самый неудобный для тех, у кого почта на бесплатном ящике. Заводить корпоративную почту всё равно придётся: банк не любит писать на mail адрес вида ivan1985 на бесплатном сервисе.

Требования к сайту: что проверяет модератор

Это тот блок, на котором заявки застревают чаще всего. Модератор проходит по чек-листу, и если хоть один пункт не закрыт, возвращает заявку с формулировкой в стиле «приведите сайт в соответствие с правилами платёжных систем». Что именно не так, пишут редко.

Что проверяют	Где должно быть	Частая ошибка
Полное наименование продавца	Футер каждой страницы	Написано только «Студия Аврора» без ИП и ФИО
ИНН и ОГРН/ОГРНИП	Футер или страница контактов	ИНН есть, ОГРНИП нет
Юридический адрес	Контакты, оферта	Указан только город
Телефон и email	Контакты	Только форма обратной связи, живых контактов нет
Описание услуг с ценами	Отдельные страницы или прайс	Везде «цена по запросу»
Публичная оферта	Отдельная страница, ссылка из футера	Оферта есть, но в PDF без даты
Условия возврата	Отдельный раздел или пункт оферты	Написано «возврат не предусмотрен»
Политика обработки ПДн	Отдельная страница	Скопирована у конкурента вместе с его реквизитами
Логотипы платёжных систем	Страница оплаты или футер	Отсутствуют, требование Visa и Mastercard по инерции живо
HTTPS на всех страницах	Весь сайт	Сертификат просрочен или mixed content

Про последнюю строку: сертификат должен быть валидным и покрывать оба варианта домена (с www и без). Бесплатного Let’s Encrypt для эквайринга достаточно, EV-сертификат за 15 000 в год никто не требует. Как поставить и автоматически продлевать бесплатный, разбирал в статье про SSL-сертификат бесплатно.

Про условия возврата стоит сказать отдельно. Формулировка «возврат денежных средств не производится» почти гарантированно приводит к отказу: она противоречит закону о защите прав потребителей, и модератор это видит. Нужен внятный порядок: в какой срок клиент может отказаться, как подаёт заявление, за сколько дней деньги возвращаются на карту (обычно от 3 до 10 рабочих дней), какая часть удерживается за фактически оказанную услугу.

Комиссии и сроки: на что смотреть кроме процента

Процент это первое, что показывают в рекламе, и последнее, что реально определяет расходы. У сайта услуг с чеком 5 000 рублей и двадцатью платежами в месяц разница между 2,5 и 2,9 процента это 400 рублей. А вот срок зачисления и абонентская плата за кассу бьют по кошельку заметнее.

Провайдер	Комиссия по картам, 2026	СБП	Зачисление	Что раздражает
ЮKassa	около 2,8-3,5%	около 0,4-0,7%	1-3 рабочих дня	Долгая модерация, много запросов документов
Т-Касса	около 2,3-3,0%	около 0,4-0,7%	на следующий день	Требует расчётный счёт в том же банке
Сбер (эквайринг)	около 2,3-2,8%	около 0,4-0,7%	1-2 рабочих дня	Тяжёлая документация, медленная поддержка
Робокасса	около 2,9-4,0%	около 0,7%	1-5 дней	Комиссия зависит от способа оплаты, легко запутаться
CloudPayments	около 2,6-3,2%	по договору	1-3 дня	Порог по обороту, малому бизнесу не всегда одобряют
Альфа и Точка	около 2,4-2,9%	около 0,5%	на следующий день	Только со своим счётом

Цифры ориентировочные, реальную ставку дают после анкеты и зависят она от оборота, отрасли и того, насколько банк вас боится. Первый месяц у новичка почти всегда идёт по верхней границе, через полгода стабильной работы ставку можно попросить пересмотреть, и это работает.

Кроме процента смотрите на четыре вещи.

• Есть ли минимальная месячная плата. У части провайдеров при обороте меньше определённой суммы списывают фиксированные 300-1 000 рублей.
• Как считается комиссия при возврате. Нормальный вариант: возвращают и комиссию тоже. Плохой: удерживают, и вы платите за платёж, которого фактически не было.
• Сколько живёт холдирование. Некоторые агрегаторы держат деньги 7-14 дней для новых клиентов, и это надо знать заранее, а не в первый месяц работы.
• Что с СБП. Комиссия там в четыре-пять раз ниже карточной, и для услуг со средним чеком от 3 000 рублей это заметная экономия. Стоит подключать оба способа сразу.

Онлайн-касса и чек: почему без этого нельзя

Здесь у владельцев сайтов чаще всего пробел в понимании. Эквайринг переводит деньги, касса выдаёт чек. Это два разных сервиса, два разных договора и два разных счёта на оплату.

По 54-ФЗ чек покупателю обязателен при расчёте с физлицом. При оплате на сайте расчёт считается совершённым в момент подтверждения платежа, и чек должен уйти покупателю в электронном виде на почту или телефон. Пробивает его не банк, а вы: через свою кассу или через облачную кассу, арендованную у оператора.

Стоимость облачной кассы в 2026 году держится в районе 2 000-3 500 рублей в месяц у АТОЛ Онлайн, Бизнес.Ру, Модулькассы и подобных. Плюс договор с ОФД (порядка 3 000 рублей в год) и фискальный накопитель, который в облачной аренде уже включён в тариф. Своя касса выгоднее при большом объёме, но её надо где-то держать включённой, а для сайта услуг с двадцатью платежами в месяц это лишняя головная боль.

Типовая схема для малого бизнеса выглядит так: агрегатор принимает платёж и сам же передаёт данные в облачную кассу, вам остаётся передать в API состав заказа. В ЮKassa это объект receipt в запросе на создание платежа, в Т-Кассе параметр Receipt при Init. Если состав не передать, платёж пройдёт, а чека не будет, и это уже нарушение с штрафом от 10 000 для ИП.

// Состав чека в запросе на создание платежа (ЮKassa, упрощённо)
$receipt = [
    'customer' => ['email' => $client_email],
    'items' => [[
        'description'     => 'Обслуживание сайта, месячный тариф',
        'quantity'        => '1.00',
        'amount'          => ['value' => '15000.00', 'currency' => 'RUB'],
        'vat_code'        => 1,           // 1 = без НДС
        'payment_subject' => 'service',
        'payment_mode'    => 'full_payment',
    ]],
];

Поле vat_code выбирается по вашей системе налогообложения, и ошибка здесь означает неверный чек. Для ИП на УСН или патенте это код 1 (без НДС). Для плательщика НДС коды другие, и путать их нельзя: налоговая видит все чеки через ОФД.

Подробный разбор кассовой части, включая случаи, когда чек не нужен, лежит в отдельной статье про онлайн-кассу на сайте по 54-ФЗ. А если объём платежей маленький и городить всю связку не хочется, есть варианты попроще, я их собрал в материале про оплату без интернет-эквайринга: счёт на оплату, платёжная ссылка, QR-код по СБП.

Техническая часть: три способа интеграции

Выбор способа определяет, сколько времени займёт подключение и как больно будет обновляться потом.

Готовый модуль CMS

Для WooCommerce, OpenCart, Битрикса и MODX у крупных провайдеров есть официальные плагины. Ставится за полчаса: установили, вписали shopId и секретный ключ, выбрали способы оплаты, включили тестовый режим.

Плюс очевиден: работает из коробки, обновляется вместе с провайдером. Минус тоже: вы получаете весь функционал модуля, включая то, что вам не нужно, и лишние обращения к API. На shared-хостинге WooCommerce с четырьмя платёжными модулями заметно проседает по времени отклика админки.

Совет из практики: ставьте только официальный модуль с сайта провайдера или из каталога WordPress. Найденные на форумах сборки с «разлоченным» функционалом это прямая дорога к сливу ключей.

Редирект на страницу банка

Самый простой вариант для сайта услуг без корзины. Ваш сайт формирует платёж через API, получает ссылку, отправляет клиента на страницу провайдера. Клиент вводит карту там, возвращается обратно на страницу успеха.

Главное достоинство: данные карты вообще не проходят через ваш сервер, PCI DSS вас не касается. Для маленького сайта на shared-хостинге это правильный выбор, и я почти всегда рекомендую именно его.

# Создание платежа и получение ссылки для редиректа
curl -X POST https://api.yookassa.ru/v3/payments 
  -u "$SHOP_ID:$SECRET_KEY" 
  -H "Idempotence-Key: $(uuidgen)" 
  -H "Content-Type: application/json" 
  -d '{
        "amount": {"value": "15000.00", "currency": "RUB"},
        "capture": true,
        "confirmation": {
          "type": "redirect",
          "return_url": "https://example.ru/thanks/"
        },
        "description": "Заказ 1042"
      }'

Заголовок Idempotence-Key обязателен: без него повторный запрос при обрыве связи создаст второй платёж, и клиент заплатит дважды. Видел такое у клиента, который скопировал пример из чужой статьи и выкинул «лишний» заголовок.

Встроенная форма или виджет

Форма оплаты открывается прямо на вашей странице во фрейме провайдера. Красиво, конверсия чуть выше, клиент не уходит на чужой домен. Требует аккуратной работы с CSP-заголовками: если у вас в .htaccess прописан жёсткий Content-Security-Policy, виджет молча не откроется, и вы будете час искать ошибку в консоли браузера.

Обработка уведомлений

Независимо от способа нужен серверный обработчик, который принимает уведомление об успешном платеже. Полагаться на возврат клиента на страницу успеха нельзя: он может закрыть вкладку сразу после оплаты, и заказ останется неоплаченным в вашей базе.

Обработчик должен проверять подпись или источник запроса. Минимальная защита выглядит так.

// Приём уведомления: проверяем IP провайдера и статус
$allowed = ['185.71.76.0/27', '185.71.77.0/27', '77.75.153.0/25'];
$ip      = $_SERVER['REMOTE_ADDR'];

if (!sf_ip_in_any_cidr($ip, $allowed)) {
    http_response_code(403);
    exit;
}

$data = json_decode(file_get_contents('php://input'), true);

if (($data['object']['status'] ?? '') === 'succeeded') {
    sf_mark_order_paid($data['object']['metadata']['order_id']);
}

http_response_code(200); // важно: без 200 провайдер будет ретраить сутки

Два момента, на которых спотыкаются регулярно. Обработчик обязан отвечать кодом 200, иначе провайдер считает доставку неудачной и повторяет уведомление по расписанию, а вы получаете десяток дублей заказа. И обработчик должен быть идемпотентным: одно и то же уведомление может прийти дважды, второй раз заказ оплачивать не надо.

Приёмка до первого реального рубля

У всех провайдеров есть тестовый режим с картами-пустышками. Проходить его надо целиком, а не «ну вроде оплатилось». Мой чек-лист приёмки платёжного модуля:

• успешная оплата тестовой картой, заказ в базе переведён в статус оплачен;
• неуспешная оплата (карта с недостаточным балансом), заказ остался неоплаченным, клиент увидел понятный текст ошибки;
• клиент закрыл вкладку сразу после оплаты, заказ всё равно отметился оплаченным по уведомлению;
• чек пришёл на почту в течение пяти минут, в нём верное наименование услуги, сумма и признак способа расчёта;
• сумма в чеке совпадает с суммой платежа до копейки;
• возврат из личного кабинета провайдера прошёл, чек возврата ушёл клиенту;
• письмо о заказе пришло вам, а не только клиенту;
• страница успеха и страница отмены открываются, на них есть навигация назад в каталог;
• оплата с телефона проходит: форма не режется по ширине, кнопка нажимается;
• в логах сервера нет 500-х на URL обработчика уведомлений.

Последний пункт проверяется руками через access-логи хостинга. Обработчик часто пишут в спешке, он падает на пустом поле metadata, а видно это только в логе.

Отдельно повторю про мобильные: две трети платежей приходят с телефона. Если тестировали только на десктопе, считайте, что не тестировали. Как формализовать такую проверку и не забыть половину пунктов на следующем релизе, писал в статье про приёмочное тестирование после правок.

Что ломается через полгода и через год

Эквайринг относится к той категории интеграций, которые тихо работают, а потом так же тихо перестают. Обнаруживается это обычно по звонку клиента «у вас оплата не проходит», то есть с задержкой в несколько дней и потерянными заказами.

Истёкший фискальный накопитель. Срок жизни ФН 15 или 36 месяцев, после чего касса перестаёт формировать чеки. Платежи при этом проходят, чеки нет, нарушение накапливается. Дата окончания известна заранее, поставьте напоминание за месяц.

Смена домена или переезд на HTTPS с другим сертификатом. В личном кабинете провайдера привязан конкретный домен и конкретный URL уведомлений. После переезда старый адрес отдаёт 404, уведомления не доходят, заказы висят неоплаченными при списанных деньгах.

Обновление CMS. Мажорное обновление WooCommerce или PHP до 8.3 ломает старые платёжные модули, которые давно не обновлялись. Обновлять такие вещи надо на копии сайта, а не на боевом в пятницу вечером.

Ротация ключей. Часть банков заставляет менять секретный ключ раз в год. Письмо об этом приходит на почту, указанную при регистрации, а её иногда указывают на уволившегося маркетолога.

Смена реквизитов или переход на другую систему налогообложения. Ставка НДС в чеке перестаёт соответствовать реальности, и об этом узнаёте из требования налоговой.

Чтобы это не всплывало внезапно, добавьте в регламент обслуживания две простые вещи. Первая: раз в месяц проводить тестовый платёж на минимальную сумму с последующим возвратом (стоит около 3 рублей комиссии, окупается многократно). Вторая: держать в календаре даты окончания ФН, домена, сертификата и договора с ОФД. У меня это отдельная строка в паспорте каждого клиентского сайта, и за пять лет ни один чек не потерялся из-за просроченного накопителя.

С чего начать, если эквайринга ещё нет

Порядок действий, который экономит недели переписки с банком:

1. Привести сайт в порядок по таблице из второго раздела: реквизиты, оферта, возврат, политика ПДн, контакты, HTTPS.
2. Выбрать провайдера по банку, где уже открыт расчётный счёт: так быстрее проверка и лучше ставка.
3. Параллельно оформить облачную кассу, чтобы не ждать её после одобрения эквайринга.
4. Подать заявку, приложить документы, ответить на уточняющие вопросы в тот же день (это реально ускоряет).
5. Поставить модуль или написать интеграцию, прогнать тестовый режим по чек-листу.
6. Провести один реальный платёж на 10 рублей своей картой и вернуть его.
7. Только после этого включать оплату для клиентов.

Средний срок от начала до первого реального платежа при подготовленном сайте: 5-10 рабочих дней. При неподготовленном легко растягивается на месяц, потому что каждый круг правок сайта это плюс два-три дня модерации.

Если сайт нужно привести в вид, который банк примет с первого раза, и потом поддерживать интеграцию в рабочем состоянии, это ровно то, чем я занимаюсь по абонентке: расценки и состав работ есть на странице тарифов. Разработку с нуля и дизайн не делаю, только обслуживание существующего сайта. Если оплата уже отвалилась и заказы висят неоплаченными, пишите через форму на главной, такие вещи разбираю в тот же день.

Частые вопросы

Что нужно для подключения эквайринга на сайт

Нужно быть юрлицом или ИП с подходящим видом деятельности, показать на сайте товары с ценами, выложить реквизиты, оферту и политику конфиденциальности, подключить онлайн-кассу. Модератор проверяет всё это руками.

Какая комиссия у эквайринга

Около 2,3-3,5 процента у крупных провайдеров, плюс отдельная ставка на возвраты и выплаты. На чеке в 5 000 рублей и двадцати платежах в месяц разница между 2,5 и 2,9 процента это несколько сотен рублей.

Что проверяет модератор банка

Наличие реквизитов, оферты и политики, описание товара или услуги с ценой, работающие контакты, отсутствие запрещённых категорий. Сайт-заглушка с одной кнопкой оплаты модерацию не проходит.

Почему без онлайн-кассы нельзя

Потому что чек покупателю обязателен по закону, и его должен пробить получатель денег. Банк это проверяет и без подключённой кассы платежи не включает.