Digitaalinen maksuliikenne ymmärrettävästi, standardi kerrallaan.
Brevixoo kokoaa yhteen pikamaksujen protokollat, maksuyhdyskäytävien turvallisuusperiaatteet ja avoimen pankkitoiminnan rajapintastandardit. Analyysimme perustuvat säädöksiin, teknisiin spesifikaatioihin ja julkisiin lähteisiin.
- 01Maksun aloitusKauppias luo maksupyynnön rajapinnan kauttaAPI
- 02Pankin valinta ja ohjausMaksaja ohjataan oman pankkinsa palveluunPISP
- 03Vahva tunnistaminenKaksi toisistaan riippumatonta tekijääSCA
- 04Maksunsaajan varmennusNimi ja IBAN tarkistetaan ennen hyväksyntääVoP
- 05PikasiirtoVarat maksunsaajalle sekunneissaSCT Inst
- 06Tilan vahvistusAllekirjoitettu ilmoitus kauppiaan järjestelmäänWebhook
Mitä nykyaikainen maksuinfrastruktuuri edellyttää
Maksu, joka käyttäjälle näyttää yhdeltä napautukselta, on taustalla usean järjestelmän, sopimuksen ja säädöksen yhteistyötä. Jäsennämme kokonaisuuden neljään toisiaan tukevaan osa-alueeseen.
Pikamaksujen protokollat
Pikamaksussa varat siirtyvät maksajan tililtä maksunsaajan tilille muutamassa sekunnissa ympäri vuorokauden. Euroalueella tämä toteutuu SEPA Instant Credit Transfer -järjestelmän (SCT Inst) avulla.
- EU:n pikamaksuasetus (EU) 2024/886
- Selvitysjärjestelmät TIPS ja RT1
- ISO 20022 -sanomarakenne
- Maksunsaajan varmennus (VoP)
Maksuyhdyskäytävän turvallisuus
Maksuyhdyskäytävä on kauppiaan ja rahoitusjärjestelmän välinen rajapinta. Sen turvallisuus rakentuu salauksesta, tunnistamisesta, eheyden varmistamisesta ja jatkuvasta valvonnasta.
- TLS 1.2+/1.3 ja keskinäinen TLS (mTLS)
- Tokenisointi ja PCI DSS v4.0
- Allekirjoitetut webhook-ilmoitukset
- Idempotenssi ja uusintayritykset
Avoimen pankkitoiminnan rajapinnat
PSD2 velvoitti pankit avaamaan maksutilien rajapinnat valtuutetuille kolmansille osapuolille. Rajapintojen yhteentoimivuus perustuu yhteisiin standardeihin ja varmenteisiin.
- Berlin Group NextGenPSD2
- OAuth 2.0 ja FAPI-turvaprofiilit
- eIDAS-varmenteet (QWAC, QSealC)
- RTS (EU) 2018/389 – SCA ja turvallinen viestintä
Rahoitustietojen tietosuoja ja compliance
Avoin pankkitoiminta siirtää rahoitustietoja uusille toimijoille. Vastuullinen käsittely edellyttää selkeää oikeusperustetta, tietojen minimointia ja teknisiä suojakeinoja koko arvoketjussa.
- GDPR (EU) 2016/679
- PSD2:n nimenomainen suostumus
- DORA (EU) 2022/2554
- PSD3 ja maksupalveluasetus (PSR)
Kuusi kontrollia, joita jokaisen integraation tulisi sisältää
Seuraavat periaatteet ovat alan vakiintunutta hyvää käytäntöä riippumatta siitä, käsitelläänkö korttimaksuja, tilisiirtoja vai molempia. Ne eivät korvaa palveluntarjoajan omaa dokumentaatiota.
Kuljetuskerroksen salaus
Kaikki liikenne TLS 1.2:lla tai uudemmalla, mieluiten TLS 1.3:lla. Palvelinten välisessä liikenteessä keskinäinen TLS-tunnistus (mTLS) varmistaa molempien osapuolten identiteetin.
Tokenisointi
Arkaluonteiset tunnisteet, kuten korttinumerot, korvataan tokeneilla, joilla ei ole arvoa käsittely-ympäristön ulkopuolella. Tämä rajaa PCI DSS -auditoinnin piiriin kuuluvaa ympäristöä.
Viestien eheys
Maksun tilasta kertovat webhook-ilmoitukset allekirjoitetaan (esim. HMAC-SHA256) ja niihin liitetään aikaleima. Vastaanottaja tarkistaa allekirjoituksen ja hylkää vanhentuneet viestit.
Idempotenssi
Jokaiselle maksupyynnölle annetaan yksilöllinen idempotenssiavain. Verkkokatkon jälkeinen uusintayritys ei tällöin luo kaksoisveloitusta.
Avainten hallinta
Salausavaimet ja API-tunnukset säilytetään erillisessä avainhallinnassa tai HSM:ssä, niitä kierrätetään säännöllisesti ja pääsy rajataan vähimmän oikeuden periaatteella.
Valvonta ja poikkeamat
Riskipohjainen tapahtumaseuranta, lokien keskitetty keruu ja dokumentoitu poikkeamaprosessi. Rahoitusalalla DORA-asetus asettaa näille vaatimuksille sitovan kehyksen.
Rajapintojen yhteinen kieli
Avoin pankkitoiminta toimii vain, jos sadat pankit ja palveluntarjoajat puhuvat samaa teknistä kieltä. Alla keskeiset standardit ja säädökset, joihin eurooppalainen ekosysteemi nojaa.
- Direktiivi (EU) 2015/2366 – PSD2
- Määrittelee maksutoimeksiantopalvelut (PIS) ja tilitietopalvelut (AIS) sekä pankkien velvollisuuden tarjota niille pääsy maksutileihin.
- Delegoitu asetus (EU) 2018/389
- Sääntelystandardit vahvasta asiakkaan tunnistamisesta sekä yhteisistä ja turvallisista avoimista viestintästandardeista.
- Berlin Group NextGenPSD2
- Laajasti käytetty eurooppalainen rajapintakehys, joka yhtenäistää tili-, maksu- ja suostumusrajapintojen rakenteen.
- OAuth 2.0 ja FAPI
- Valtuutusprotokolla sekä OpenID Foundationin finanssialalle laatimat korotetun turvatason profiilit.
- eIDAS-varmenteet
- Kolmannet osapuolet tunnistautuvat pankeille hyväksytyillä verkkosivuvarmenteilla (QWAC) ja sähköisillä leimoilla (QSealC).
- ISO 20022
- Kansainvälinen rahoitusalan sanomastandardi, jota SEPA-maksut ja eurooppalaiset selvitysjärjestelmät käyttävät.
Pikamaksuasetuksen ja maksupalvelupaketin keskeiset päivämäärät
EU:n pikamaksuasetus (EU) 2024/886 muuttaa pikasiirrot poikkeuksesta perustasoksi. Samanaikaisesti valmistellaan PSD2:n seuraajia, PSD3-direktiiviä ja maksupalveluasetusta (PSR).
Vastaanottovelvoite ja hintojen yhdenvertaisuus
Euroalueen maksupalveluntarjoajien on kyettävä vastaanottamaan pikamaksuja, eikä pikamaksu saa maksaa enempää kuin tavallinen tilisiirto.
Lähetysvelvoite ja maksunsaajan varmennus
Euroalueen maksupalveluntarjoajien on tarjottava pikamaksujen lähettämistä ja maksunsaajan nimen varmennusta (Verification of Payee).
PSD3 ja PSR: alustava poliittinen yhteisymmärrys
Euroopan parlamentti ja neuvosto pääsivät alustavaan sopuun maksupalvelupaketista. Lopulliset kompromissitekstit julkaistiin huhtikuussa 2026.
Euroalueen ulkopuoliset jäsenvaltiot: vastaanotto
Vastaanottovelvoite ja hintojen yhdenvertaisuus laajenevat euroalueen ulkopuolisiin jäsenvaltioihin.
Maksu- ja sähkörahalaitokset
Maksulaitosten ja sähkörahalaitosten vastaanottovelvoite alkaa; euroalueella myös lähetysvelvoite.
Euroalueen ulkopuolinen lähetys ja VoP
Lähetysvelvoite ja maksunsaajan varmennus euroalueen ulkopuolisissa jäsenvaltioissa.
Lähteet: asetus (EU) 2024/886; Euroopan keskuspankin ja oikeudellisten asiantuntijoiden julkaisemat yhteenvedot. Yksityiskohtainen analyysi: Pikasiirrot: SEPA Instant ja EU:n pikamaksuasetus.
Syvemmälle maksuliikenteen rakenteisiin
Kukin teknologia-alue käsittelee yhden kokonaisuuden arkkitehtuurin, standardien ja riskienhallinnan näkökulmasta.
Digitaalinen maksujenkäsittely
Maksun elinkaari aloituksesta selvitykseen: maksunvälittäjät, maksunkäsittelijät, tilisiirtopohjaiset maksut ja täsmäytys.
Lue lisää →Turvalliset tunnistautumisprotokollat
Vahva asiakastunnistaminen (SCA), pankkitunnisteet, OAuth 2.0 / FAPI ja dynaaminen linkitys PSD2-ympäristössä.
Lue lisää →Transaktioinfrastruktuuri
SEPA-maksujärjestelmät, TIPS ja RT1, ISO 20022 -sanomat, idempotenssi, saatavuus ja häiriönsietokyky.
Lue lisää →Uusimmat analyyttiset oppaat
Perusteelliset, lähteisiin nojaavat oppaat avoimesta pankkitoiminnasta, pikasiirroista ja rahoitustietojen tietosuojasta.
ISO 20022 -sanomastandardi ja reaaliaikaisen maksuliikenteen tulevaisuus Euroopassa
Siirtymä ISO 20022 -sanomiin, rikkaan tiedon sanomarakenteet sekä se, miten SEPA ja kansainväliset selvitysjärjestelmät hyödyntävät standardoituja tietovirtoja.
Lue opas →Biometrinen tunnistautuminen ja vahva asiakastunnistaminen (SCA) digitaalisissa transaktioissa
Miten biometriikka, FIDO2/WebAuthn-standardit ja dynaaminen linkitys yhdistetään niin, että ne täyttävät PSD2:n ja tulevan maksupalveluasetuksen SCA-vaatimukset.
Lue opas →DORA-asetus ja finanssialan digitaalinen häiriönsietokyky: mitä maksupalveluntarjoajien on tiedettävä
ICT-riskienhallinta, poikkeamaraportointi, häiriönsietokyvyn testaus ja kolmansien osapuolten riskit. Käytännön katsaus DORA-asetuksen (EU) 2022/2554 velvoitteisiin maksuinfrastruktuurien näkökulmasta.
Lue opas →PSD3 ja avoin pankkitoiminta: miten maksupalvelupaketti muuttaa yritysten ja kuluttajien rajapintoja
PSD3-direktiivi ja maksupalveluasetus (PSR) uudistavat avoimen pankkitoiminnan rajapinnat, suostumusten hallinnan, vahvan tunnistamisen ja petostentorjunnan. Analyysi rakenteellisista muutoksista ja niiden vaikutuksista API-ekosysteemiin.
Lue opas →Kysymys maksuteknologiasta?
Otamme mielellämme vastaan aiheehdotuksia, korjauksia ja tutkimusyhteistyön tiedusteluja.