Integración de pasarela de pago
Integración de CyberSource Unified Checkout
Dejamos tu web cobrando con tarjeta de crédito y débito de verdad: firma en el servidor, autenticación 3-D Secure 2 y confirmación por webhook, para que ninguna orden se pierda porque alguien cerró la ventana.
- PCI-DSS SAQ A
- 3-D Secure 2 (EMV 3DS)
- HMAC-SHA256
- Sandbox antes de producción
Antes de los precios
Qué es CyberSource y qué es Unified Checkout
CyberSource es la pasarela de pagos de Visa. Es la plataforma que varios bancos adquirentes le ofrecen a sus comercios para procesar tarjetas de crédito y débito. Si tu banco en Panamá te habló de CyberSource al aprobarte la cuenta de comercio, esta es la integración que te toca.
Unified Checkout es su formulario de pago embebido. Los campos donde tu cliente escribe la tarjeta se ven dentro de tu página, pero los sirve CyberSource: el número viaja directo a ellos y tu servidor nunca lo toca. Tu cliente no sale de tu web y tú no cargas con el riesgo de guardar tarjetas.
Tarjetas de verdad
Crédito y débito, locales y del exterior. Es lo que te falta si hoy solo puedes cobrar por transferencia o por Yappy y estás perdiendo al cliente que paga con tarjeta.
Sin cargar con los datos
Los campos de tarjeta los aloja CyberSource. Tu servidor no ve ni guarda el número, así que tu cumplimiento PCI-DSS se queda en el cuestionario más simple, el SAQ A.
Ninguna orden perdida
El webhook confirma cada cobro servidor a servidor. Si tu cliente cierra la pestaña justo después de pagar, la orden se registra igual. Es el error silencioso más común de estas integraciones.
Tres alcances, precio cerrado
La diferencia entre uno y otro no es de calidad: es cuánto tiene que hacer tu sistema solo después del cobro. Elige por volumen de operaciones, no por presupuesto.
Esencial
Cobros inmediatos en los que el cliente paga y ve el resultado en la misma pantalla. Sin estados diferidos ni sincronización con otros sistemas.
Pago único · Entrega en 5 a 7 días hábiles
- Generación del capture context y las llaves de un solo uso en tu servidor.
- Firma de cada petición con HMAC-SHA256, para que nadie pueda alterar el monto.
- Checkout embebido en tu página de cobro, con los campos de tarjeta alojados por CyberSource.
- Pantallas de pago aprobado y pago rechazado, con el mensaje que corresponde a cada caso.
- Pruebas completas en el ambiente de sandbox antes de tocar producción.
- Webhooks en el servidor
- Módulo de reembolsos
- Tarjetas guardadas
15 días de soporte tras el lanzamiento
Profesional
Tiendas y portales donde perder una orden cuesta dinero. El servidor confirma cada pago por su cuenta, aunque el cliente cierre la ventana antes de volver.
Pago único · Entrega en 10 a 14 días hábiles
- Todo lo del alcance Esencial.
- Webhook verificado: tu servidor recibe la confirmación de CyberSource y actualiza la orden solo, sin depender del navegador.
- Registro en base de datos: identificador de transacción, código de autorización, monto y estado, para que puedas auditar y conciliar.
- 3-D Secure 2 configurado: la autenticación del banco emisor, que traslada la responsabilidad del contracargo por fraude al emisor cuando se aprueba.
- Manejo de los casos que casi nadie prueba: pago duplicado, timeout y reintento.
- Acompañamiento en el paso a producción y en el primer cobro real.
- Reembolsos desde tu panel
- Integración con ERP o CRM
30 días de soporte tras el lanzamiento
Avanzado
Empresas con volumen, donde alguien de administración necesita resolver reembolsos y consultar cobros sin entrar al portal de CyberSource ni pedirle nada a un programador.
Pago único · Entrega en 18 a 25 días hábiles
- Todo lo del alcance Profesional.
- Reembolsos y anulaciones totales o parciales desde tu propio panel, con registro de quién los hizo.
- Tarjetas guardadas: tokenización del cliente para cobros de un clic y suscripciones, sin que la tarjeta pase nunca por tu base de datos.
- Conexión con tu ERP o CRM: el cobro dispara el recibo, la factura o la tarjeta en el sistema que ya usas.
- Panel de conciliación: lo cobrado en CyberSource contra lo registrado en tu sistema.
- Documentación técnica: diagramas del flujo y manual de mantenimiento, para que no dependas de nosotros.
60 días de soporte prioritario
Precios en dólares, no incluyen ITBMS (7%). El pago va en tres partes, igual que el resto de nuestros proyectos: 50% para arrancar, 30% al aprobar la demostración en sandbox y 20% al pasar a producción. Las comisiones por transacción las cobra CyberSource o tu banco adquirente y son independientes de estos honorarios.
Qué entra en cada alcance
La misma información de arriba, tarea por tarea, para que la puedas comparar sin volver a subir.
| Tarea técnica | Esencial$1,050 | Profesional$2,150 | Avanzado$3,850 |
|---|---|---|---|
| Firma criptográfica HMAC-SHA256 en el servidor | Incluido | Incluido | Incluido |
| Checkout embebido con el SDK de Unified Checkout | Incluido | Incluido | Incluido |
| Respuesta capturada en el navegador (síncrona) | Incluido | Incluido | Incluido |
| Webhook verificado en el servidor (confirmación asíncrona) | No incluido | Incluido | Incluido |
| Orden, código de autorización e ID de transacción en base de datos | No incluido | Incluido | Incluido |
| 3-D Secure 2 (EMV 3DS) | Básico | Completo | Completo |
| Reembolsos y anulaciones sin entrar al portal de CyberSource | No incluido | No incluido | Incluido |
| Tarjetas guardadas y cobros recurrentes | No incluido | No incluido | Incluido |
| Conexión con ERP, CRM o sistema contable | No incluido | No incluido | Incluido |
| Soporte tras salir a producción | 15 días | 30 días | 60 días |
Dónde está el riesgo y cómo se cierra
Una integración de pagos mal hecha no falla con un error visible. Falla cobrando de menos, registrando de más, o dejando abierta la puerta para que alguien cambie el precio desde el navegador.
Alcance PCI-DSS: SAQ A
Con el checkout embebido, el número de tarjeta, la fecha y el código de seguridad los captura CyberSource en campos que ellos controlan. Tu servidor nunca los recibe. Eso te deja en el cuestionario de autoevaluación más corto, el SAQ A, en lugar de la certificación completa que exige guardar datos de tarjeta. Es una diferencia de miles de dólares al año en auditoría.
Firma en el servidor, no en el navegador
Cada petición a la API se firma con HMAC-SHA256 usando la llave secreta del comercio, y esa llave vive solo en el servidor. Sin esto, cualquiera con las herramientas de desarrollo del navegador puede cambiar el monto, la moneda o el número de pedido antes de enviarlo. Es el fallo que más veces encontramos al revisar integraciones hechas a la carrera.
Cómo se ejecuta, día por día
El cronograma del alcance Profesional. Los otros dos se acortan o se alargan sobre esta misma secuencia, y en todos los casos apruebas en sandbox antes de que se toque producción.
Credenciales y ambiente
Recibimos tu merchant ID y las llaves de sandbox, y montamos las variables de entorno donde deben estar: en el servidor, nunca en el código del navegador.
Días 1 y 2Servidor y seguridad
La firma HMAC, la generación del capture context y el endpoint que recibe y verifica los webhooks de CyberSource.
Días 3 a 6Checkout y pruebas
El checkout embebido en tu página de cobro, las pantallas de respuesta y la batería de tarjetas de prueba, incluidas las que deben fallar.
Días 7 a 9Paso a producción
Cambio a credenciales reales, primer cobro de verdad con monto mínimo, y te entregamos accesos y guía de operación.
Días 10 a 12Condiciones y qué necesitamos de ti
- Forma de pago
- 50% para arrancar, 30% al aprobar la demostración en sandbox y 20% al pasar a producción. Los precios no incluyen ITBMS (7%).
- Lo que aportas
- Tu cuenta de comercio aprobada por el banco, el merchant ID con llaves de sandbox y producción, y acceso al servidor o repositorio del sitio.
- Qué no incluye
- Las comisiones por transacción de CyberSource y de tu banco adquirente, y el trámite de la cuenta de comercio, que lo lleva el banco.
- Garantía
- 30 días por fallas técnicas en todos los alcances, más el período de soporte de cada uno: 15, 30 o 60 días.
CyberSource es una marca registrada de Visa Inc. No somos distribuidores ni representantes de CyberSource: integramos su API en tu sitio.
Preguntas frecuentes
01 ¿Qué es CyberSource y en qué se diferencia de Yappy?
CyberSource es la pasarela de pagos de Visa: procesa tarjetas de crédito y débito y es la que varios bancos adquirentes ofrecen a sus comercios. Yappy es un botón de pago local que mueve dinero entre cuentas panameñas. No compiten, se complementan: lo habitual en una tienda en Panamá es tener los dos, Yappy para quien paga desde su banco y tarjeta para quien paga con crédito o desde el exterior.
02 ¿Cuánto cuesta integrar CyberSource en mi web?
Desde $1,050 para el cobro directo, $2,150 para la versión con webhooks y base de datos, que es la que recomendamos para una tienda, y $3,850 cuando además necesitas reembolsos desde tu panel y tarjetas guardadas. Precio cerrado por escrito antes de arrancar, en dólares y sin incluir ITBMS (7%). Las comisiones por transacción las cobra CyberSource o tu banco y van aparte de nuestros honorarios.
03 ¿Qué necesito tener antes de que empecemos?
Tres cosas: la cuenta de comercio ya aprobada con tu banco adquirente, el merchant ID con sus llaves de sandbox y producción, y acceso al servidor o repositorio de tu sitio. Si todavía no tienes la cuenta de comercio, ese trámite va primero y lo lleva el banco, no nosotros. Podemos ayudarte a entender qué te van a pedir.
04 ¿Mi servidor va a guardar números de tarjeta?
No, y ese es el punto del checkout embebido. Los campos donde se escribe el número, la fecha y el código de seguridad los sirve CyberSource dentro de tu página: los datos viajan directo a ellos y tu servidor nunca los ve ni los almacena. Eso mantiene tu cumplimiento PCI-DSS en el cuestionario más simple, el SAQ A, en vez de obligarte a la certificación completa.
05 ¿Por qué hace falta un webhook si el navegador ya me dice si el pago pasó?
Porque el navegador se puede cerrar. Si el cliente paga y cierra la pestaña antes de volver a tu sitio, la respuesta síncrona nunca llega y tú tienes un cobro en CyberSource sin orden registrada. El webhook lo manda el servidor de CyberSource al tuyo, así que la orden se actualiza igual. Es la diferencia principal entre el alcance Esencial y el Profesional, y es la razón por la que para una tienda recomendamos el segundo.
06 ¿Qué es 3-D Secure y me conviene activarlo?
Es la verificación que hace el banco que emitió la tarjeta, normalmente un código al celular del cliente. Suma un paso al pago, y en cambio traslada al emisor la responsabilidad del contracargo por fraude cuando la autenticación se aprueba. Con la versión 2 ese paso muchas veces es invisible, porque el banco decide no pedir nada si la operación le parece de bajo riesgo. Para vender en línea en Panamá, sí conviene.
07 ¿Cuándo NO conviene esta integración?
Cuatro casos. Si tu banco no te ofreció CyberSource, hay que integrar la pasarela que sí te dio. Si tu volumen es bajo y el ticket alto, cobrar por Yappy o transferencia te sale gratis y funciona. Si tu tienda es Shopify o WooCommerce y existe un módulo oficial de tu pasarela, ese módulo puede alcanzarte sin desarrollo a medida. Y si todavía no tienes cuenta de comercio, primero el banco. Te lo decimos antes de cotizar, no después.
08 ¿Funciona sobre la web que ya tengo?
Sí, siempre que tenga un servidor donde podamos correr la firma y recibir los webhooks. Trabajamos sobre WordPress, WooCommerce, desarrollos en Vue o React y sitios a medida. Lo primero es una revisión técnica sin costo: si tu sitio actual no da para hacerlo bien, te lo decimos antes de facturarte, no a mitad del proyecto.
Antes de decidir, mira también
¿Tu banco ya te dio las llaves de CyberSource?
Cuéntanos qué plataforma tiene tu sitio y qué te pidió el banco. Te decimos qué alcance necesitas y qué va a costar, por escrito y antes de arrancar. La revisión técnica no tiene costo.