EPC QR-код: стандарт SEPA-платежей объяснён

EPC QR-код не содержит ссылку. В нём зашит SEPA-перевод, записанный коротким блоком обычного текста, и банковское приложение, распознающее формат, считывает его и заполняет форму перевода. Ни один сервер не задействован, ничего не запрашивается, и информация о сканировании до вас никак не доходит.

Именно этот факт определяет всё остальное в том, как используются такие коды. Такой код нельзя сократить, нельзя перенаправить и нельзя посчитать сканирования, потому что нигде в процессе нет ни одного запроса. Стандарт за этим - EPC069-12 Европейского платёжного совета, на немецкоязычных рынках такие коды обычно называют GiroCode, и в формате стоит разобраться досконально до того, как вы напечатаете тысячи таких кодов на счетах. Про то, что вообще может нести QR-код в общем случае, статья что такое QR-код рассказывает подробно.

Что на самом деле содержит полезная нагрузка

Полезная нагрузка - это последовательность строк в фиксированном порядке, каждая из которых отдельный элемент. Парсер читает строку 1, ожидает там BCD, читает строку 4, ожидает там SCT, и сдаётся, если хотя бы одно из этого отсутствует.

Есть два правила, которые сбивают с толку. Структурированный референс и произвольный текст исключают друг друга: заполните одно поле, оставьте другое пустым. А сумма необязательна, и это правильный выбор для кода на пожертвование, где сумму решает плательщик, но неправильный выбор для счёта, где нужна точная сумма, заполненная заранее.

Весь блок ограничен 331 байтом. Руководство EPC069-12 также фиксирует уровень коррекции ошибок M и ограничивает символ версией 13, так что у печатаемого кода есть известный потолок по количеству модулей. Если вы собираете это в коде, а не кликаете в генераторе, документация библиотеки Segno показывает порядок полей и правила кодирования в виде, которое можно проверить на практике.

Почему его нельзя сократить или отследить

Отслеживаемый QR-код работает за счёт того, что кодирует URL, которым владеете вы. Сканирование открывает этот URL, ваш редирект отвечает, вы считаете запрос, и посетитель попадает туда, куда сейчас указывает ссылка. Статья динамические против статических QR-кодов разбирает этот механизм целиком.

Здесь ничего из этого не работает. Банковское приложение - это не браузер. Оно разбирает текст, сопоставляет его с форматом и открывает форму платежа локально на устройстве. Перехватывать нечего, потому что нет никакого HTTP-запроса, так что:

• Счётчика сканирований не существует нигде. Ни в вашем инструменте, ни в банковском.
• Ничего нельзя перенаправить. Неверный IBAN означает перепечатку.
• Обёртывание полезной нагрузки в короткую ссылку полностью её ломает, потому что парсер видит https там, где ожидает BCD.

Я видел, как команда потратила неделю, пытаясь получить атрибуцию для платёжного кода, прежде чем кто-то наконец прочитал спецификацию. Честный ответ таков: платёжная сторона и сторона измерения - это два разных кода, и если в макете есть место только для одного, побеждает платёжный.

Измерять можно всё, что вокруг него. Если в рассылке идёт счёт с платёжным кодом, разместите на письме отдельную отслеживаемую короткую ссылку - на клиентский портал, условия или страницу поддержки - и считывайте вовлечённость по ней. QR-функции Elido охватывают отслеживаемую половину листа, а платёжный код остаётся именно таким, каким его требует стандарт.

Где это работает, а где нет

Поддержка живёт в конкретных банковских приложениях, поэтому покрытие неравномерно - куда неравномернее, чем можно подумать по спискам стран. Австрийские и немецкие приложения читают эти коды уже много лет, финские и нидерландские в целом надёжны, бельгийская поддержка тоже хороша. За пределами этого списка тестируйте перед тем, как отправлять код в печать тиражом.

Есть два соседних формата, с которыми его часто путают. Швейцарский QR-bill - это отдельная спецификация со своим макетом и швейцарским крестом в центре символа; это не EPC-код, и приложения из еврозоны не распознают его как платёж. А платёжная ссылка от процессинга банковских карт - это вообще не то же самое: это обычный URL внутри QR-кода, ведущий на размещённую страницу оплаты, и он ведёт себя как любая другая веб-ссылка, включая всё, что можно отследить.

Про более широкий вопрос - что регулируемый платёжный или кредитный бизнес вообще может показывать клиентам - статья сокращатели URL для финтеха рассказывает о той части, где задействована ссылка.

Как сделать код без сожалений

Шесть проверок в том порядке, в котором они экономят вам деньги.

1. Проверяйте IBAN до генерации, а не после печати. Проверка контрольной суммы ничего не стоит, а перепечатка тиража стоит денег.
2. Осознанно решите вопрос с суммой. Фиксированная - для счетов, пустая - для плакатов с пожертвованиями, где должна быть возможна любая сумма.
3. Предпочитайте структурированный референс произвольному тексту. Он короче, автоматически сверяется в вашей бухгалтерии и держит полезную нагрузку компактной.
4. Тестируйте минимум в трёх банковских приложениях на обеих мобильных платформах. Парсеры по-разному строго относятся к необязательным полям.
5. Подбирайте размер напечатанного кода под расстояние, с которого его будут сканировать - точно так же, как для любого другого кода. Арифметику для этого содержит статья каким должен быть размер QR-кода.
6. Делайте поверхность матовой. Глянцевый лак поверх платёжного кода на счёте под офисным освещением - это гарантированное обращение в поддержку.

Проблема с наклейкой

Есть один реальный вектор мошенничества, и он физический, а не цифровой. Статический платёжный код, напечатанный на счёте, парковочном автомате, вывеске рыночного прилавка или благотворительном плакате, можно заклеить наклейкой с другим IBAN. Ничто в самом коде этому не противостоит, потому что полезная нагрузка - это и есть бумага.

Меры защиты тоже физические. Печатайте код прямо внутри макета счёта, там, где наклейка была бы заметна, а не на отдельном клейком стикере. Показывайте текстом рядом с кодом имя получателя и последние цифры IBAN, чтобы плательщик мог сверить. И в инструкции по подтверждению платежа просите людей читать имя, которое показывает их банковское приложение, прежде чем подтверждать перевод, потому что именно этот экран - единственное место, где подмена становится видимой. Статья безопасны ли QR-коды и что такое квишинг на самом деле разбирает более широкий паттерн атаки, большая часть которого применима и к кодам-ссылкам, напечатанным где-то ещё на той же странице.

Успокаивающая часть в том, что платёж всё равно требует подтверждения человеком в авторизованном банковском приложении. Код лишь заполняет форму, он никогда не переводит деньги сам.

Читайте цикл опорных статей

Эта статья входит в кластер функций. Про весь процесс печати вокруг любого кода, который вы генерируете, QR-кампания с нуля - опорная статья, а руководство по QR-кодам в документации рассказывает про генерацию отслеживаемого варианта через API.

Связанные статьи в блоге

• Динамические против статических QR-кодов: когда что уместно
• Что такое QR-код и что он может нести
• QR-коды и GDPR: что собирает сканирование
• Сокращатели URL для финтех-команд
• Каким должен быть размер QR-кода?