Cómo aceptan las webs pagos con tarjeta: el flujo completo

Aceptar tarjetas online implica una coreografía segura y multiparte. Aquí tienes el flujo de principio a fin.

Actores clave

• Cliente – Titular de la tarjeta.
• Comercio (Web) – Vende bienes/servicios.
• Pasarela de pago – Puente seguro (Stripe, Braintree, Authorize.net, Adyen).
• Adquirente / Banco del comercio – Entidad financiera del comercio.
• Red de tarjetas – Visa, Mastercard, Amex, Discover.
• Emisor / Banco emisor – Banco del cliente.

Transacción paso a paso

1. Cliente introduce datos de tarjeta en la página de pago del comercio (campos alojados / iframe → PCI SAQ A).
2. Pasarela cifra y tokeniza los datos (TLS 1.2+). Envía al adquirente.
3. Adquirente enruta a la red de tarjetas → emisor.
4. Emisor autoriza: ¿Tarjeta válida? ¿Fondos suficientes? ¿Reglas antifraude OK? → Devuelve código de autorización (aprobado/denegado).
5. Pasarela comunica resultado al comercio → página de éxito o error.
6. Clearing y liquidación (T+1–3 días hábiles):
   • Comercio agrupa transacciones aprobadas → adquirente.
   • Adquirente → red → emisor.
   • Emisor carga en extracto del titular; fondos pasan a cuenta del comercio (menos comisiones).
7. Ejecución del pedido disparada por el comercio tras éxito.

Cumplimiento crítico

• PCI DSS – Obligatorio para quien toque datos de tarjeta. Usa SAQ A (campos totalmente alojados) para reducir alcance.
• 3D Secure 2 (3DS2) – Autenticación reforzada (SCA) en UE/Reino Unido; traslado de responsabilidad.
• Tokenización – Guarda tokens, no PANs, para cobros recurrentes.

Las plataformas modernas (Stripe, Braintree, Square) gestionan el 90 % de esta complejidad. No construyas desde cero.