Что такое H2H-процессинг и H2H в банкинге: host-to-host простыми словами

Коротко: H2H (host-to-host) в банкинге — прямое автоматическое подключение систем компании к банку для отправки платёжных файлов и получения выписок без входа в интернет-банк. В процессинге у H2H второе значение: H2H-процессинг — это серверная API-интеграция мерчанта с платёжным провайдером, при которой клиент не уходит со страницы оплаты мерчанта. Идея одна — система общается с системой, — но задачи, требования к безопасности и комплаенсу разные.

В статье-глоссарии разбираем оба значения, технологии, когда что уместно и что проверить перед запуском.

H2H в корпоративном банкинге

В корпоративном банкинге host-to-host связывает ERP, казначейскую или учётную систему компании напрямую с бэк-офисом банка. Вместо ручной загрузки платёжных пачек через интернет-банк система компании отправляет файлы автоматически и получает обратно статусы и выписки.

Типичные потоки по банковскому H2H-каналу:

• Исходящие платежи: оплата поставщикам, зарплата и возвраты в виде файлов платёжных поручений.
• Отчёты о статусе: подтверждения и отказы по каждому платежу.
• Выписки: итоговые и внутридневные выписки по счёту для сверки.
• Уведомления: сообщения о зачислениях и списаниях по мере движения денег.

Распространённые форматы и протоколы

• ISO 20022 XML: pain.001 — инициирование кредитового перевода, pain.002 — отчёт о статусе платежа, camt.053 — выписка на конец дня, camt.054 — уведомления о дебете и кредите.
• Унаследованные форматы SWIFT MT: выписки MT940 и MT942 по-прежнему широко используются.
• Транспорт: SFTP с шифрованием и подписью файлов (часто PGP), API конкретного банка, EBICS в ряде европейских стран и SWIFT FileAct для компаний с несколькими банками.

Когда банковский H2H оправдан

• Вы делаете много платежей в день, и ручные загрузки дают ошибки и задержки.
• Нужна внутридневная видимость остатков и поступлений для казначейства или планирования ликвидности.
• Вы делаете выплаты в масштабе, например как маркетплейс или платёжный провайдер, который рассчитывается с мерчантами.
• Нужна сквозная сверка выписок банка с вашим реестром.

Цена — трудозатраты на запуск и ответственность: сертификаты, ротация ключей, проверка файлов и мониторинг становятся вашей задачей. Многие начинают с одного банка, а потом подключают провайдера мультибанковской связи.

H2H в процессинге

В платёжной индустрии, особенно у PSP и P2P-процессоров, H2H-процессинг означает интеграцию, при которой сервер мерчанта вызывает API провайдера напрямую и сам отрисовывает платёжный интерфейс. Клиент остаётся на сайте или в приложении мерчанта, а провайдер возвращает реквизиты или результат через API и вебхуки.

Это отличается от:

• Платёжной страницы провайдера (HPP): клиента перенаправляют на страницу, которой управляет провайдер.
• Встроенных полей или SDK: компоненты провайдера стоят внутри оплаты мерчанта, но чувствительные данные собирают на стороне провайдера.

Преимущества H2H-процессинга

• полный контроль над дизайном, языком и шагами оплаты;
• меньше перенаправлений, что может повысить конверсию на мобильных;
• проще объединить нескольких провайдеров за одной кассой;
• больше данных для маршрутизации и антифрода.

Обязанности, которые приходят вместе с H2H

• PCI DSS: если данные карт проходят через ваши серверы, вы в полной зоне PCI DSS. Многие мерчанты используют H2H только для некарточных методов — банковских переводов, кошельков, локальных методов, — а карты оставляют на полях провайдера.
• Безопасность: подпись запросов, белые списки IP, ротация секретов и проверка вебхуков обязательны.
• Обработка ошибок: тайм-ауты, повторы и ключи идемпотентности нужно спроектировать так, чтобы повтор никогда не приводил к двойному платежу.
• Поддержка: без страницы провайдера статусы и сбои клиентам объясняет ваша поддержка.

Провайдеров с серверной интеграцией можно найти в разделе H2H-процессинг каталога, рядом с разделами карточный эквайринг и шлюзы и P2P-процессинг.

Архитектура безопасности H2H-канала

В каком бы смысле ни использовался термин, рабочий H2H-канал обычно сочетает несколько уровней защиты:

• Взаимная аутентификация: клиентские сертификаты или SSH-ключи с обеих сторон, чтобы каждая система точно знала, с кем общается.
• Целостность сообщений: цифровая подпись файлов или тел запросов (например, PGP для банковских файлов, HMAC-подписи для API-вызовов и вебхуков), чтобы изменение суммы или номера счёта было замечено.
• Шифрование: TLS при передаче, а для банковских файлов — шифрование самого файла, чтобы он оставался защищённым на промежуточных серверах.
• Сетевые ограничения: фиксированные IP-адреса, белые списки, а для банков иногда отдельные VPN-туннели.
• Разделение обязанностей: тот, кто формирует платёжную пачку, не должен её утверждать и отправлять; многие компании сохраняют двойное подтверждение даже при автоматической передаче.
• Журнал аудита: каждый файл, запрос и ответ хранится с временем и хешем, чтобы потом разбирать споры и расхождения сверки.

Переход с ручной загрузки на H2H: план по шагам

1. 1.Опишите текущие потоки: какими платежами, выписками и уведомлениями вы обмениваетесь сегодня, с объёмами и временем отсечки.
2. 2.Выберите первый поток: выписки — безопасный старт, потому что это только чтение; исходящие платежи — следующим шагом.
3. 3.Согласуйте спецификацию с банком или провайдером: версии форматов, соответствие полей, кодировки и правила именования.
4. 4.Сделайте проверку до отправки: отклоняйте файл у себя, если итоги, IBAN или валюты не совпадают с реестром.
5. 5.Работайте параллельно: несколько циклов сохраняйте ручную загрузку как запасной путь и сравнивайте результаты.
6. 6.Переключитесь и мониторьте: оповещения о пропущенных выписках, отклонённых файлах и необычных суммах.

Банковский H2H и H2H в процессинге: сравнение

• Кто подключается: компания и её банк — против мерчанта и его платёжного провайдера.
• Главная задача: отправка платёжных файлов и получение выписок — против приёма платежей и выплат клиентам в реальном времени.
• Типичные форматы: файлы ISO 20022 и MT через SFTP или EBICS — против JSON по HTTPS API с вебхуками.
• Ключевые риски: подмена файлов и управление ключами — против зоны PCI DSS, двойных платежей и поддельных вебхуков.

Чек-лист перед H2H-интеграцией

1. 1.Уточните, в каком смысле контрагент использует термин. H2H в предложении банка и в прайсе PSP — разные продукты.
2. 2.Получите полную спецификацию: форматы, адреса, аутентификацию, окружения и время отсечки.
3. 3.Решите, кто хранит ключи и сертификаты и как они ротируются.
4. 4.Спроектируйте идемпотентность и сверку до запуска, а не после (см. дубли вебхуков и порядок событий).
5. 5.Договоритесь о мониторинге и контактах на случай инцидента с обеих сторон.
6. 6.Протестируйте сбои: отклонённые файлы, частичные пачки, тайм-ауты и поздние статусы (матрица тестов платёжной интеграции).
7. 7.Для карт подтвердите свою зону PCI DSS, прежде чем выбирать H2H вместо полей провайдера.

Вопросы и ответы

Что такое H2H в банкинге?

Host-to-host — защищённое автоматическое подключение систем компании к банку для отправки платёжных поручений и получения выписок, обычно через SFTP, EBICS или API банка в форматах ISO 20022 или MT.

Что такое H2H-процессинг?

Серверная интеграция мерчанта с платёжным провайдером: мерчант показывает свою форму оплаты и общается с провайдером через API, а не перенаправляет клиента на платёжную страницу.

H2H безопаснее платёжной страницы провайдера?

Не автоматически. Платёжная страница переносит большую часть нагрузки по безопасности на провайдера. H2H даёт больше контроля, но делает вас ответственным за защиту данных, ключей и сообщений.

Нужен ли PCI DSS для H2H?

Если данные держателей карт проходят через ваши системы — да, в полном объёме. Для некарточных методов PCI DSS может не применяться, но требования безопасности из договора с провайдером остаются.

Где найти H2H-провайдеров?

Смотрите раздел H2H-процессинг в Nominal hub и сравнивайте методы и регионы провайдеров. Для подключения к банкам — провайдеры бизнес-счетов и BaaS.