Онлайн-оплата на сайте в ОАЭ: платёжные шлюзы и подключение

Онлайн-оплата на сайте компании в ОАЭ подключается через платёжный шлюз (payment gateway): сервис, который принимает карту покупателя, проводит платёж через банк-эквайер и перечисляет дирхамы на счёт компании. Для подключения нужны три вещи: провайдер с лицензией Центрального банка ОАЭ, документы компании для проверки и сайт с обязательными страницами. Как устроен эквайринг в целом, я разбирал в статье про приём оплаты на сайте, здесь только то, что касается ОАЭ.

Кто регулирует приём платежей в ОАЭ

Платёжные сервисы в ОАЭ регулирует Центральный банк. Основной документ называется Retail Payment Services and Card Schemes Regulation (циркуляр C 15/2021). По пресс-релизу ЦБ ОАЭ, регламент опубликован в официальном вестнике 15 июня 2021 года и вступил в силу через месяц. Работающим провайдерам дали год на получение лицензии.

Регламент вводит лицензию на девять видов платёжных услуг. Для владельца сайта важны два: merchant acquiring (приём карточных платежей для продавца) и payment aggregation (агрегатор, который подключает много мелких продавцов под своим договором). Статья 2 запрещает оказывать такие услуги в стране без предварительной лицензии ЦБ. Банки, лицензированные по закону о Центральном банке, считаются получившими лицензию автоматически.

Поэтому подключайтесь к банку или к провайдеру, у которого есть лицензия ЦБ ОАЭ. Статус можно сверить в реестре лицензированных организаций на сайте ЦБ ОАЭ.

Какие платёжные шлюзы работают с компаниями в ОАЭ

В список ниже я включил только тех, у кого работа с компаниями в ОАЭ подтверждена на собственном сайте. Шлюзов в стране больше, плюс эквайринг предлагают сами банки.

• Network International, N-Genius Online. Компания запустила платформу N-Genius для бизнеса в ОАЭ. В документации есть платёжная страница, прямой API, оплата по ссылке, возвраты, Apple Pay и Google Pay, тестовая среда.
• Telr. Сообщает, что получил Retail Payment Services License от ЦБ ОАЭ (новость от 20 марта 2025 года) на эквайринг и платёжную агрегацию.
• Checkout.com. По заявлению компании от 23 мая 2023 года, получил лицензию ЦБ ОАЭ на эквайринг, платёжную агрегацию и трансграничные переводы.
• Stripe. ОАЭ есть в списке стран на странице глобальной доступности, регистрация аккаунта для компании из ОАЭ открыта.

Комиссии не привожу: они зависят от вида деятельности и оборота. Смотрите актуальный тариф у провайдера и сравнивайте процент, фиксированную часть, плату за возврат и сроки выплат.

Что нужно для подключения: документы и счёт

Список документов каждый шлюз определяет сам, цель у всех одна: проверить компанию и собственников по правилам о противодействии отмыванию денег.

В условиях Telr сказано, что для проверки могут запросить торговую лицензию, документ, удостоверяющий личность, и сведения о конечных бенефициарах. Для обработки платежей могут попросить выписку по банковскому счёту или письмо банка с подтверждением счёта. В чек-листе запуска N-Genius после тестового этапа нужно заполнить профиль компании с банковскими реквизитами и пройти проверку, после чего выдают боевые ключи.

Отсюда минимальный набор, который я прошу собрать заранее:

• торговая лицензия с видом деятельности, который соответствует тому, что продаёт сайт;
• паспорта и документы собственников и управляющего;
• реквизиты счёта компании и письмо или выписка из банка;
• рабочий домен с сайтом, где уже есть все страницы из следующего раздела.

Что ещё учесть на сайте под ОАЭ (языки, домен .ae, персональные данные), я писал в статье про сайт для бизнеса в ОАЭ.

Требования к сайту: что проверит шлюз

Самый подробный список, который я нашёл в открытом доступе, тоже в условиях Telr. Продавец должен разместить на сайте:

• полное описание товаров или услуг;
• условия возврата;
• контакты для покупателей: почту или телефон;
• адрес постоянного места деятельности в ОАЭ или Саудовской Аравии;
• валюту, в которой проходит оплата;
• ограничения на экспорт, если они есть;
• условия доставки, если товар доставляется;
• страну, где находится продавец, в момент выбора способа оплаты;
• политику конфиденциальности;
• описание того, как защищена передача данных карты.

У других шлюзов формулировки отличаются, но как черновик этот список подходит.

Платёжная страница шлюза или своя форма

Есть три способа показать покупателю форму оплаты. Первый: перенаправить его на платёжную страницу шлюза (hosted payment page). Второй: встроить эту страницу в свой сайт во фрейме. Третий: сделать свою форму, которая отправляет данные карты из браузера прямо в шлюз, или принимать карту через свой сервер по API.

От выбора зависит объём требований PCI DSS, стандарта безопасности карточных данных. По разъяснению Совета PCI SSC, упрощённая анкета SAQ A подходит, только если вся платёжная страница целиком приходит от провайдера, который сам подтвердил соответствие PCI DSS. Это редирект или фрейм. Если хотя бы часть страницы оплаты формирует ваш сайт, нужна более тяжёлая анкета SAQ A-EP.

Ответственность при этом общая. Stripe прямо пишет, что сам проходит ежегодную сертификацию, а продавец должен принимать платежи в соответствии с PCI DSS и ежегодно это подтверждать. Если ваш сервер сам принимает номера карт, по оценке Stripe, придётся выполнить более 300 мер безопасности. У Network International платёжная страница описана как вариант для малого и среднего бизнеса, который уменьшает нагрузку по PCI.

Для небольшой компании я почти всегда выбираю платёжную страницу шлюза или его фрейм. Её можно оформить логотипом и цветами.

3-D Secure, вебхуки, возвраты и Apple Pay

3-D Secure. Это протокол, по которому банк покупателя проверяет, что платит владелец карты. По описанию EMVCo, при низком риске покупатель просто нажимает «Купить», а при высоком банк запрашивает код, биометрию или другой дополнительный шаг. На платёжной странице проверку проводит сам шлюз.

Вебхуки. Это уведомление от шлюза на ваш сервер о том, что заказ оплачен, отклонён или возвращён. Покупатель может закрыть вкладку до возврата на сайт, поэтому подтверждать заказ по одному только переходу на страницу «Спасибо» нельзя. Шлюзы ведут себя по-разному. N-Genius отправляет одно уведомление на событие без повторов и ждёт ответа 200 или 201 в течение 15 секунд. Stripe в боевом режиме повторяет доставку до трёх дней, может прислать одно событие дважды и требует проверять подпись. Поэтому я всегда добавляю сверку статуса заказа через API и защиту от повторной обработки.

Возвраты. У шлюзов из списка возврат делается в личном кабинете или через API.

Apple Pay и Google Pay. В документации N-Genius у обоих способов есть отдельные инструкции, для Apple Pay указан аккаунт разработчика Apple как условие подключения через SDK или API. У каждого шлюза набор кошельков и порядок включения свои, это проверяю до подачи заявки.

Одна строка про налоги: если компания зарегистрирована плательщиком НДС, цена и документы для покупателя должны это учитывать. Подробнее в статье про НДС и электронные счета в ОАЭ.

Как я это делаю

Последовательность у меня одна для любого шлюза.

1. Выбор шлюза под бизнес. Смотрю, где вы продаёте (сайт, бот, ссылки в переписке), нужны ли подписки и повторные списания, Apple Pay, оплата по ссылке, плагин под вашу CMS. Проверяю лицензию провайдера и подходит ли ему ваш вид деятельности. Если сомнения есть, заявки подаём в два шлюза параллельно.
2. Подготовка сайта. Добавляю страницы возврата, доставки, конфиденциальности, контакты и адрес из лицензии, указываю валюту AED на странице оплаты.
3. Тестовая среда. Пока идёт проверка документов, работаю в песочнице шлюза с тестовыми ключами и тестовыми картами.
4. Вебхуки. Делаю обработчик с проверкой подписи или ключа, журналом событий и защитой от дублей. Плюс фоновая сверка статуса неоплаченных заказов через API на случай, если уведомление не дошло.
5. Страница результата. Три состояния: оплачено, отклонено с понятным текстом и кнопкой повторить, в обработке. Заказ отмечаю оплаченным только по подтверждению с сервера шлюза.
6. Уведомление в мессенджер. Каждая оплата и каждый возврат сразу приходят менеджеру в Telegram, клиенту уходит письмо. Как я настраиваю такие уведомления для заявок, описано в статье про заявки с сайта в Telegram.
7. Тестовые оплаты. Прогоняю успешный платёж, отказ банка, проверку 3-D Secure с кодом, закрытую вкладку до возврата на сайт, повторное уведомление и возврат. После перехода на боевые ключи делаю одну реальную оплату на небольшую сумму и возвращаю её.

Если оплата нужна в боте, схема та же: бот создаёт заказ в шлюзе и даёт ссылку на платёжную страницу, а вебхук подтверждает оплату. Как устроен такой бот, я разбирал в статье про бота для заявок и оплат.

Сколько стоит подключение онлайн-оплаты

Цены по моему прайсу:

• приём платежей на готовом сайте или в боте: от 25 000 ₽, от 3 дней;
• лендинг с оплатой: от 40 000 ₽, от 5 дней;
• корпоративный сайт: от 100 000 ₽, от 3 недель;
• бот для бизнеса с оплатой, записью и CRM: от 80 000 ₽, от 2 недель.

Для компаний в ОАЭ считаю в рублях или в дирхамах по договорённости. Комиссию шлюза платите провайдеру по его тарифу, в мою цену она не входит. Срок подключения я считаю с момента, когда шлюз одобрил заявку и выдал боевые ключи. Полный прайс на странице цен, сайты под ключ на странице разработки сайтов.

Частые вопросы

Можно ли принимать оплату без счёта в банке ОАЭ?

Шлюзы, документы которых я смотрел, проверяют банковский счёт компании: Telr может запросить выписку или письмо банка, N-Genius просит банковские реквизиты в профиле. Для выплат в дирхамах планируйте счёт компании в банке ОАЭ и уточните требования у выбранного шлюза.

Нужно ли мне самому проходить сертификацию PCI DSS?

Подтверждать соответствие продавец должен в любом случае, но при платёжной странице шлюза это упрощённая анкета SAQ A. Своя форма для ввода карты резко увеличивает объём требований.

Сколько ждать одобрения заявки?

Единого срока провайдеры не публикуют. Поэтому интеграцию я начинаю в тестовой среде параллельно с проверкой.

Можно ли принимать оплату в Telegram-боте?

Да. Бот создаёт заказ в шлюзе и отправляет ссылку на платёжную страницу, оплату подтверждает вебхук на сервер бота.

Коротко о главном

Онлайн-оплата для компании в ОАЭ складывается из лицензированного шлюза, банковского счёта компании, документов о собственниках и сайта с политиками, контактами и адресом из лицензии. Технически надёжнее всего платёжная страница шлюза, вебхук со сверкой статуса через API и уведомление менеджеру о каждой оплате. Тарифы и список документов уточняйте у провайдера на момент подачи заявки.

Напишите мне в Telegram кодовое слово «ДИРХАМ», и я подскажу, какой шлюз подойдёт вашему бизнесу и что подготовить к подключению.