Glossario

ID account

L'ID account viene restituito dal server dell'integratore durante il flusso di associazione e viene utilizzato per aiutare Google a identificare l'account sottostante in due modi. Primo, per identificare più strumenti che utilizzano lo stesso account utente sottostante per valutare rischi e attività fraudolente. In secondo luogo viene utilizzato dagli agenti dell'assistenza clienti Google per identificare l'account. Questo valore deve identificare in modo univoco l'account utente nelle richieste di associazione. Inoltre, deve essere immutabile nell'account specifico e deve essere identificabile dall'utente.

Ad esempio, se un integratore utilizza un indirizzo email per l'identità, questo può essere l'indirizzo email. Tuttavia, se l'integratore utilizza un indirizzo email per l'accesso, ma questo indirizzo può essere modificato, l'indirizzo email non è una scelta ottimale per l'ID account. Qualunque sia la scelta, il suo valore deve essere lo stesso per più tentativi di associazione con la stessa identità utente dell'integratore dei pagamenti.

Pacchetto di applicazioni Android (APK)

Il formato di file del pacchetto utilizzato dal sistema operativo Android per la distribuzione e l'installazione di app mobile.

Controllo delle versioni delle API

Questa specifica supporta il controllo delle versioni. Le versioni supportate sono configurate sul server di Google. Quando si passa dalla versione N alla versione M (dove M è una versione principale maggiore di N), l'integratore deve supportare sia N che M finché Google non verifica che è stata eseguita la migrazione di tutto il traffico a M. Le versioni vengono identificate diversamente in base al contesto. Le API Android e le API WebReindirizzamento passeranno la versione API come parametro alla richiesta. Le chiamate server-server passano la versione come parte del percorso dell'URL.

Le versioni non vengono corrette tramite flusso. Quindi, durante la migrazione da N a M, un integratore potrebbe vedere un'acquisizione con la versione M e un rimborso con la versione N per la stessa transazione. Durante l'associazione l'integratore può ricevere una richiesta di autenticazione della versione M con una richiesta di associazione della versione N.

ID associazione

associationID identifica l'associazione tra l'account del cliente e lo strumento Google. associationId è molto simile al GPT. In effetti, ha la stessa durata di un GPT e una cardinalità 1:1 rispetto a un GPT. L'elemento associationId si differenzia dal GPT per la sensibilità. Il GPT è un token sensibile utilizzato per i pagamenti. associationId è un identificatore pubblico che rappresenta la stessa relazione, ma non è così sensibile di natura.

Il valore associationId viene trasmesso all'integratore dei pagamenti nel corso associateAccount. Questo stesso valore viene passato durante la riautenticazione all'integratore. Ciò consente all'integratore di avere un contesto relativo all'account che deve essere autenticato. Se l'ID associazione viene trasmesso, lo stesso account identificato durante l'associazione originale deve essere precompilato e autenticato.

L'integratore dei pagamenti deve archiviare tutti gli ID di associazione e associarli a un determinato account dell'integratore per la durata del contratto tra l'integratore e Google.

ID richiesta di autenticazione

I metodi refreshToken, associateAccount e, facoltativamente, Capture fanno riferimento a un'autenticazione. Questo riferimento è sotto forma di requestId della specifica autenticazione a cui fa riferimento Google. Questo campo deve essere utilizzato dall'integratore dei pagamenti per verificare che il metodo sia effettivamente stato eseguito da un'autenticazione riuscita.

Per i metodi di acquisizione è possibile compilare un requestId di autenticazione. Questo accade in due casi. Se Google autentica l'utente appena prima di un'acquisizione, Google compila il campo requestId di autenticazione. Inoltre, Google spesso autentica l'utente al momento della configurazione, quando viene impostato un calendario dei pagamenti automatico. Google annota l'oggetto requestId di autenticazione in quella pianificazione e invia l'requestId insieme a ogni acquisizione associata alla pianificazione specifica.

Gli integratori dei pagamenti devono archiviare tutti gli requestIds di autenticazione per 30 giorni. Se un integratore dei pagamenti vuole controllare l'autenticazione requestIds che può essere presente in una richiesta di acquisizione, incluse quelle incluse nei piani dei pagamenti, deve archiviare tutte le requestId di autenticazione per la durata del contratto tra l'integratore e Google.

Società

Un'azienda è un concetto definito all'interno della configurazione e del contratto di Google. Un'azienda definisce la relazione tra l'integratore e Google. Le chiavi PGP e, facoltativamente, le CA radice SSL sono associate all'azienda. Soprattutto, un'azienda è associata a uno o più ID account di integratore dei pagamenti. I GPT creati all'interno di un'azienda funzionano principalmente per tutti gli ID account dell'integratore dei pagamenti all'interno dell'azienda. Esistono alcune eccezioni. Ad esempio, se il GPT è associato a un account denominato in una valuta (e non supporta le commissioni FX) e sta cercando di effettuare un acquisto su un ID account di integratore di pagamenti in una valuta diversa.

Forma di pagamento

Tutte le transazioni includono una o più forme di pagamento, ad esempio una carta di credito o il trasferimento elettronico dei fondi, che vengono utilizzate dagli utenti per pagare prodotti o servizi a Google oppure da Google per pagare gli utenti nel caso di utenti AdSense e sviluppatori Google Play. Le forme di pagamento sono spesso chiamate anche strumenti di pagamento, strumenti e metodi di pagamento.

Token di pagamento Google (GPT)

GPT è un valore casuale, sicuro per il web e con codifica Base64, generato dal server Google al momento dell'associazione e passato al server di integrazione. GPT è un identificatore privato che rappresenta il collegamento tra l'account dell'utente con l'integratore e lo strumento Google. Un GPT è un token che sostituisce le credenziali utente o un ID account. Questo token viene utilizzato durante i flussi di acquisto per identificare l'account da accreditare o addebitare ed è segreto per entrambe le parti. I tag GPT non devono mai essere inviati in testo non crittografato e devono essere criptati per garantire la privacy.

GPT è diverso da associationId perché associationId non è protetto e viene trasmesso liberamente attraverso mezzi pubblici (URL, connessioni non sicure). GPT è noto solo a Google e all'integratore.

L'integratore dei pagamenti dovrebbe archiviare tutti i GPT e associarli a un particolare account dell'integratore per la durata del contratto tra l'integratore e Google.

Idempotenza

Un'operazione idempotente può essere applicata più volte senza modificare il risultato o avere nuovi effetti collaterali oltre all'applicazione iniziale dell'operazione. In genere l'idempotenza utilizza una "chiave" per identificare la stessa richiesta. Tutte le richieste definite tra i due server utilizzano una chiave di idempotenza definita nell'intestazione della richiesta. L'intestazione della richiesta contiene un ID richiesta utilizzato come chiave di idempotenza. L'ID richiesta è univoco a livello globale. Le richieste idempotenti devono essere esattamente lo stesso corpo JSON con un'eccezione. requestTimestamp sarà diverso per ogni richiesta. Questa è una distinzione importante. Il valore requestTimestamp è l'ora in cui il server ha inviato la richiesta. È univoco per ogni tentativo. Questo riduce la possibilità di attacchi di ripetizione. Allo stesso modo, una risposta idempotente deve essere esattamente lo stesso corpo JSON, tranne per il fatto che responseTimestamp sarà diversa per ogni risposta.

Tutti i metodi server-to-server tranne il metodo Echo devono essere idempotenti. Le richieste di autenticazione all'interfaccia utente dell'integratore (ad es. Android o Web) non sono idempotenti.

Per esempi di comportamento idempotente, consulta il documento di riferimento.

Identificatore (ID)

Gli identificatori rappresentano una transazione o una comunicazione tra l'integratore dei pagamenti e Google.

Strumento

Lo strumento rappresenta un metodo di pagamento memorizzato associato a un singolo cliente Google. Esempi di strumenti includono:

• Un numero di carta di credito registrato
• Un conto bancario e un codice di avviamento bancario

Agli utenti possono essere associati più strumenti alla propria identità Google.

Micro

I valori monetari in questa API sono rappresentati utilizzando un formato chiamato "micros", uno standard di Google. I micro sono un formato a precisione fissa basato su numeri interi. Per rappresentare un valore monetario in micro, moltiplica il valore della valuta standard per 1.000.000.

Ad esempio:

• 1,23 USD = 1230000 micro USD
• 0,01$= 10.000 micro USD

Integratore pagamenti

L'integratore esterno che elabora i pagamenti per una transazione utente.

ID account integratore pagamenti

Questo identificatore rappresenta i vincoli sul contratto tra Google e l'integratore. L'ID account dell'integratore viene generato da Google e assegnato all'integratore durante la configurazione. In genere è definito "MID". Tutte le richieste e le risposte devono includere questo ID. Questo identificatore è opaco e non deve mai essere analizzato. Il formato di questo identificatore potrebbe non essere coerente per tutti i documenti di identità emessi.

Questo identificatore non cambia per tutta la durata di una transazione. Nel caso di acquisizione e rimborso, viene utilizzato lo stesso identificatore.

I vincoli dell'ID account integratore sono definiti dal contratto stesso. In genere, i vincoli riguardano la fatturazione. Ad esempio, un integratore supporta la fatturazione in dollari CAD e MXN in USD, ma richiede che le transazioni in euro siano fatturate in euro. In questo caso, verranno utilizzati due diversi ID account dell'integratore dei pagamenti, uno per la fatturazione in dollari americani e l'altro per la fatturazione in euro.

L'identificatore può essere gradualmente eliminato e sostituito con nuovi identificatori. Nel caso in cui un identificatore venga deprecato, Google interromperà l'avvio di acquisizioni per quell'identificatore. Tuttavia, l'integratore deve onorare i rimborsi per le transazioni effettuate su quell'identificatore per un anno dall'ultima avvio di acquisizione (avvio di acquisizione definito come requestTimestamp trovato in requestHeader).

PII

Le informazioni che consentono l'identificazione personale (PII) sono informazioni che identificano personalmente un individuo e qualsiasi altro dato che Google possa ragionevolmente ricollegare a tali informazioni, ad esempio il nome, l'indirizzo email, l'indirizzo postale o il numero di telefono dell'utente, da soli o in combinazione

ID richiesta

Il requestId identifica tutte le comunicazioni tra Google e l'integratore dei pagamenti.

informazioni personali sensibili

Le informazioni sensibili che consentono l'identificazione personale (SPII) sono un sottoinsieme di informazioni che consentono l'identificazione personale (PII) che presenta un rischio elevato per l'utente se vengono compromesse o utilizzate in modo improprio. Le informazioni personali sensibili spesso hanno requisiti restrittivi di gestione e archiviazione imposti da entità legali, normative o di conformità.

Token

I token aggiungono un ulteriore livello di sicurezza quando credenziali sensibili come PII o informazioni personali sensibili vengono scambiate tra Google e l'integratore.

Indirizzo utente

Al momento della creazione dello strumento, Google controlla se l'utente è un cliente di Google Payments. Ciò è indipendente dall'essere cliente di Google. Per essere cliente di Google Payments, abbiamo bisogno dell'indirizzo di fatturazione dell'utente. Alcune agenzie di regolamentazione ci impongono di conoscere l'indirizzo completo dell'utente, mentre altre richiedono un sottoinsieme di questo indirizzo.

Se l'integratore dei pagamenti ha un indirizzo registrato per questo utente, Google vorrebbe ottenere quell'indirizzo durante il flusso di associazione per precompilare il modulo per l'indirizzo per l'utente. L'utente ha la possibilità di modificare l'indirizzo precompilato. Il precompilazione dell'indirizzo dell'utente riduce le difficoltà nell'aggiunta di uno strumento e aumenta il tasso di conversione degli utenti che aggiungono questi strumenti.

Se l'indirizzo è condiviso, Google lo utilizza anche come calcolo nel proprio modello di rischio. Ciò consente al motore di gestione dei rischi di Google di comprendere l'indirizzo al quale l'utente dichiara di ricevere gli addebiti e di confrontarlo con la località IP attuale a cui si trova l'utente.

La condivisione degli indirizzi è puramente un'ottimizzazione. Non è un problema e si prevede che alcuni integratori non abbiano un indirizzo di fatturazione per l'utente o non possano condividerlo.

Codifica Base64 per Web Safe

Lo standard di codifica specificato nella sezione 5 di RFC 4648, con la codifica Base 64 con URL e il nome file Safe Alphabet, a volte indicato anche come codifica "Base64 sicura per il web" o "base64url". (È uguale alla codifica Base64 con l'alfabeto sicuro per URL e nome file della sezione 4 di RFC 3548). Tutti i valori criptati e firmati devono essere codificati utilizzando questo standard.