La seguridad en las transacciones on-line
con tarjetas de crédito

¿Es realmente seguro hacer compras on-line con tarjetas de crédito? La respuesta es, rotundamente: Sí. Siempre que la tienda virtual tenga los sistemas apropiados y el comprador tenga la preocupación de no comprar en las tiendas que no le ofrezcan esas medidas de seguridad.

Sin embargo, con demasiada frecuencia los emprendedores que quieren montar negocios en la Red desconocen los conceptos básicos que afectan a la seguridad de las transacciones electrónicas.

Vamos a analizar qué son esos conceptos y cómo funcionan.

¿Qué es una pasarela de pagos?

Es un sistema proporcionado por una entidad financiera a una tienda virtual para gestionarle los cobros on-line con tarjetas de crédito. También se le llama TPV Virtual, por realizar una función similar a la de los Terminales Punto de Venta situados en los establecimientos comerciales tradicionales.

¿Qué es un servidor seguro?

Una prestación facilitada por el ISP que nos permite trabajar con transmisión de mensajes encriptados. Generalmente, las pasarelas de pago se montan sobre servidores seguros.

Para comprobar si una tienda trabaja con servidores seguros, al margen de que la propia tienda lo anuncie en su web, basta con fijarse en los siguientes detalles:

• Cuando entramos o salimos de una conexión a un servidor seguro suele abrirse en la pantalla una ventana que lo anuncia, salvo que dicha opción esté desactivada en nuestro navegador.
• La dirección del sitio web en el que estamos cambia de http://www.sitioweb.com a https://www.sitioweb.com. Es decir, añade una "s" de "seguro" detrás de "http".
• Si utilizamos Internet Explorer, aparecerá un candado "cerrado" en la parte inferior derecha de la barra de navegación.
• Si utilizamos Netscape Navigator, aparecerá una llave "entera" en la parte inferior izquierda de la barra de navegación.

Como norma general, nunca se debe comprar con tarjeta de crédito en una tienda virtual que no trabaje con servidor seguro, ya que los datos de nuestra tarjeta viajan sin encriptar por la Red, corriendo el riesgo de que cualquiera que los intercepte los lea, y se los apropie, sin ninguna dificultad.

¿Cómo se contrata una pasarela de pagos?

• Para disponer de una pasarela de pagos basta con firmar los correspondientes contratos con la entidad financiera que nos va a prestar el servicio.
• Salvo entidades como La Caixa, que sólo permite la utilización en su pasarela de pagos de sus propias tarjetas, los contratos suelen englobar, sin restricciones, las tarjetas Visa, MasterCard y 4B, con independencia del banco que las haya emitido.
• Otras tarjetas, como American Express, requieren la firma de un contrato diferenciado con la propia entidad.
• Es conveniente chequear con nuestro ISP antes de contratar la pasarela de pagos, ya que algunos no aceptan las de ciertas entidades.

¿Qué costo tiene una pasarela de pagos?

• En general la contratación es gratuita, aunque algunos ISP's cobran una cantidad por su instalación, en mi opinión indebidamente, ya que no requiere ningún trabajo especial.
• El banco cobra una comisión por cada transacción que gestiona, variando considerablemente según el tipo de tarjeta y también de una entidad a otra.
• Por ejemplo: La Caixa cobra un 3,82% con carácter general, y Banesto cobra según la tarjeta:
  Visa, MasterCard y 4B: 4,12%
  American Express: 3,5%
  Virtual Cash: 2%

¿Qué es un protocolo de seguridad?

Es un sistema de comunicaciones que permite gestionar de una forma segura las transacciones on-line en la Red.

Hay dos tipos de protocolos de seguridad:

a) Protocolo SSL (Secure Sockets Layer o Plataforma de Transmisión Segura)
Para utilizar el Protocolo SSL es necesario:

1. Que el comerciante disponga de un certificado digital emitido por una Autoridad de Certificación (no es obligatorio, pudiendo suplirse con uno genérico del ISP que ampara a sus clientes).
2. Que el comprador utilice un navegador que admita el protocolo SSL (la mayoría de los modernos lo aceptan).

• ¿Cómo funciona el SSL?
  • Permite la identificación y autenticación del comerciante mediante certificado digital.
  • La transacción se realiza entre comprador y vendedor.
  • El comerciante envía los datos de la tarjeta del cliente al banco para su autorización.
  • Los datos viajan encriptados.
• ¿Qué seguridad proporciona el SSL?
  • El comprador tiene la garantía de que el vendedor es quien dice ser (siempre que disponga de un certificado digital) y, por tanto, sabe exactamente a quién está entregando los datos de su tarjeta.
  • La información que envía el cliente al comerciante viaja encriptada, impidiendo que pueda ser leída por alguien que pudiera apropiarse de ella.
  • Al viajar encriptados, tenemos la garantía de que los datos que envía el cliente no serán manipulados antes de llegar al comerciante.
• ¿Qué defectos de seguridad tiene el SSL?
  • Que los datos de nuestra tarjeta son conocidos y guardados por el comerciante, ya que es él quien se los traslada al banco para su aprobación.
  • Que al no estar acreditada la personalidad del cliente por una certificación digital, cualquiera puede usar los datos de una tarjeta que no le pertenece.

b) Protocolo SET (Secure Electronic Transaction o Transacción Electrónica Segura)
Este sistema fue desarrollado por Visa y MasterCard, con la colaboración de American Express, Microsoft, IBM, Netscape, VeriSign y otras empresas del sector.
Para utilizar el Protocolo SET es necesario:

1. Que el comerciante disponga de un certificado digital emitido por una Autoridad de Certificación o por la entidad emisora de la tarjeta (por ejemplo, Visa).
2. Que el comprador disponga de un certificado digital emitido por la entidad emisora de la tarjeta (por ejemplo, Visa), que incluye la firma digital de dicha institución y una fecha de expiración.

• ¿Cómo funciona el SET?
  • Permite la identificación y autenticación de comerciante y cliente mediante certificados digitales.
  • La transacción se cierra entre el comprador y el banco, por lo que el comerciante no ve ni puede conservar los datos de la tarjeta.
  • Los datos viajan encriptados.
• ¿Cuáles son los pasos de una transacción SET?
  • Cuando se va a cerrar el pedido, el cliente recibe la firma digital de la tienda y verifica su validez.
  • El cliente envía al comerciante la siguiente información firmada digitalmente:
    • Los datos del pedido (básicamente: identificación del comerciante, importe y fecha)
    • La orden de pago, con una encriptación que sólo puede leer el banco.
    • La relación entre el pedido y la orden de pago, que los liga indisolublemente.
  • El comercio recibe el pedido y verifica la validez de la firma digital.
  • El comerciante pasa al banco la orden de pago (que él no ha podido leer) con su firma digital.
  • El banco autoriza la transacción y devuelve dos confirmaciones, una para el comerciante y otra para el titular de la tarjeta.
• ¿Qué seguridad proporciona el SET?
  • Confidencialidad de los datos de la tarjeta de crédito, ya que al estar el comprador identificado ante la entidad financiera por un certificado digital emitido por ella misma, no es preciso que la información de la tarjeta de crédito viaje, con lo que nunca llega a manos del comerciante ni puede ser interceptada por nadie.
  • Integridad de los datos, ya que al viajar encriptados y protegidos por una firma digital no pueden ser alterados en el camino.
  • Autenticación del comerciante ante el comprador de que está autorizado para aceptar cobros con tarjetas de crédito.
  • Autenticación del cliente ante el comerciante como un legítimo titular de una tarjeta de crédito.
• ¿Qué problemas plantea la utilización del SET?
  • Muchos ISP no están preparados para trabajar con protocolo SET.
  • Aunque para el titular de la tarjeta es gratuito, la obtención del certificado digital tiene un coste importante para el comerciante.
  • La duración de la transacción es mayor que con SSL (suele estar entre 25 y 30 segundos).
  • Una mayor complejidad para el comerciante, ya que trabajar con SET implica, además, tener que trabajar simultáneamente con SSL, puesto que la mayoría de los clientes no tienen certificado digital, lo que les impide utilizar el protocolo SET.

Redacción Albanova.com
www.albanova.com El Portal de los Negocios en Internet