Chi ti dice che la linea del negozio è giù e non puoi più incassare?
In breve
Quando la linea cade, il terminale di pagamento continua ad accettare: memorizza la transazione e la inoltra più tardi, così il guasto è invisibile al banco e si vede giorni dopo, in riconciliazione. La linea, il terminale, il certificato e l'ora si possono sorvegliare. Quello che il pagamento ha fatto in banca no.
La storia che gira nel mestiere ha sempre la stessa forma. È la fine di una cena, o la fine della fila, e qualcuno deve chiedere al cliente se gli dispiace scrivere il numero della carta su un foglietto. Qualunque cosa sia successa dal punto di vista tecnico, quello è il momento in cui il guasto diventa un problema dell’azienda — ed è quasi sempre il primo momento in cui qualcuno l’ha saputo.
Perché alla cassa nessuno se ne accorge?
Perché l’apparecchiatura è fatta apposta per non fare scenate. Un terminale di pagamento che non riesce a raggiungere l’acquirer di solito è costruito per continuare a incassare: memorizza le transazioni e le inoltra quando la linea torna. È una scelta sensata — tiene aperto il negozio durante un’interruzione di cinque minuti — ed è esattamente il motivo per cui un’interruzione di un’ora resta invisibile finché non diventa cara.
Poi succedono due cose che non vedi. Le transazioni memorizzate non sono autorizzazioni: alcune possono tornare indietro rifiutate, giorni dopo, quando il cliente se n’è andato da un pezzo. E la memoria ha un limite; una volta raggiunto, il terminale si ferma davvero, di solito nel momento peggiore possibile.
Intanto la cassa continua a stampare, lo schermo continua ad accendersi, e da nessuna parte la parola «offline» viene detta abbastanza forte perché un banco pieno di gente la senta.
Che cosa si può sorvegliare, e che cosa dimostra ogni controllo?
- La linea stessa, da fuori e da dentro. Da fuori scopri che il negozio è irraggiungibile; da dentro, una piccola sonda sulla rete del negozio ti dice se se n’è andata tutta la linea oppure un solo apparecchio. Sono due problemi diversi, con due telefonate diverse.
- Il gateway di pagamento e la cassa, come cose che devono rispondere: raggiungibili, sulla porta attesa, entro il tempo atteso.
- I certificati, con i giorni contati alla rovescia. È il guasto del tutto evitabile che succede lo stesso ogni anno: un apparecchio che ha funzionato tutta la settimana si rifiuta di partire il sabato perché un certificato è scaduto durante la notte. Gli avvisi devono cominciare settimane prima e alzare la voce — un messaggio, poi una telefonata — e devono continuare ad arrivare ogni giorno una volta passata la data.
- L’orologio. Un terminale o una cassa con l’ora che si è spostata mette l’ora sbagliata su ogni scontrino che stampa, cosa che non è un’emergenza per nessuno fino al giorno in cui qualcuno deve far coincidere una transazione con una telecamera o con una contestazione.
- L’indirizzo da cui il negozio arriva su internet. Quando cambia, qualcosa è cambiato: di solito la linea principale è caduta e ha preso il suo posto quella di riserva. Si continua a vendere, in silenzio, su una connessione che può essere più lenta e a consumo — ed è una cosa che vale la pena sapere il giorno stesso, non in fattura.
Quando muore la linea, chi resta a dirtelo?
Qui sta la fregatura onesta del guardare da dentro. Una sonda appoggiata sulla rete del negozio non può segnalare che la rete del negozio è giù: non ha nessuna via d’uscita. Due cose devono coprirla.
Primo, la piattaforma deve accorgersi del silenzio: una sonda che smette di riferire è essa stessa un avviso, ed è quello che trasforma «non sentiamo niente» in «il negozio è offline». Secondo, la sonda non deve perdere i minuti passati da sola: i suoi risultati vanno conservati in locale mentre il collegamento manca e rimandati quando torna, così la storia dell’interruzione sopravvive e puoi vedere esattamente quando è cominciata invece di tirare a indovinare.
Che cosa fare questa settimana
- Decidi chi riceve la telefonata. Un nome, la persona che apre il negozio, e una telefonata vera invece di una mail.
- Sorveglia la linea dai due lati — da fuori dal negozio e da una sonda dentro — così puoi distinguere un’interruzione da un apparecchio rotto.
- Metti i certificati degli apparecchi di pagamento e della cassa su un conto alla rovescia. Quello è denaro regalato.
- Confronta l’ora della cassa e del terminale con un orologio affidabile. Scrivi che cosa hai trovato.
- Se c’è una linea di riserva, fai in modo che il passaggio su di essa sia una cosa che ti viene detta, non una cosa che scopri.
Nessuno si ricorda dell’interruzione che hai risolto in dodici minuti. Tutti si ricordano di essersi sentiti chiedere di scrivere il numero della carta su un foglietto.
Cosa non possiamo dirti
- Non possiamo dirti che un pagamento è andato a buon fine in banca: quello che succede fra il terminale e l'acquirer è fuori da tutto quello che riusciamo a raggiungere, e non lasceremo intendere il contrario.
- Non possiamo vedere quante transazioni memorizzate stanno aspettando dentro un terminale, né che cosa ne ha fatto la chiusura di giornata: nessuno standard pubblica quel dato.
- Non possiamo vedere il lettore di carte in sé, ma soltanto se le cose da cui dipende — la linea, il gateway, la cassa, il certificato — stanno rispondendo.
- Non possiamo riparare una linea morta: ti diciamo che è morta, in che minuto è morta, e se è la linea oppure soltanto un apparecchio che ci sta sopra.
Le domande che fanno davvero
Se cade la linea, il terminale smette di funzionare?
Di solito no, ed è proprio questa la difficoltà. I terminali di pagamento sono costruiti per sopravvivere a una linea che cade: memorizzano la transazione e la inoltrano quando la connessione torna. Al banco sembra tutto normale. Il problema salta fuori più tardi, quando qualcuno di quei pagamenti memorizzati torna indietro rifiutato e la carta è lontana da un pezzo.
E allora come dovrebbe accorgersene il negozio?
Non dalla cassa, che si sta comportando esattamente come è stata progettata. Da fuori: qualcosa che controlla la linea e il gateway di pagamento ogni minuto e lo dice nell'istante in cui la risposta cambia. In un negozio l'avviso utile non è una mail — è un messaggio su un telefono che qualcuno ha già in mano.
Che cosa si rompe davvero, di sabato?
Tre cose, in quest'ordine: la linea internet, che è quella rumorosa; un certificato scaduto, che blocca un apparecchio al riavvio successivo ed è annunciato con settimane di anticipo a chiunque stia contando i giorni; e l'orologio, che mette in silenzio l'ora sbagliata sugli scontrini e rende difficile far quadrare la giornata.
Abbiamo una linea di riserva. Basta?
Basta per continuare a vendere, non basta per sapere. Un negozio che è passato in silenzio alla rete mobile lavora più lentamente, a volte costa di più, e nessuno se ne accorge finché non arriva la fattura. Quando cambia l'indirizzo pubblico da cui un negozio arriva su internet, quello si vede — ed è di solito il primo segnale che la linea principale se n'è andata.
Chi va svegliato, e come?
Per un negozio l'elenco onesto è corto: la persona che apre. Una telefonata è l'unico canale che non dipende da qualcuno che guardi uno schermo, e deve rispettare le ore in cui il negozio è chiuso. Tutto il resto — messaggio in chat, posta — serve a lasciare traccia e a essere letto la mattina.