Uang pembeli tidak pernah lewat Konek QR.
Kami hanya menangani kabar pembayaran, bukan uangnya. Di sini kamu bisa melihat jalur uang, jalur data, apa yang tidak pernah kami minta, dan cara kami menjaga akun serta QRIS-mu.
Uang dan kabarnya lewat jalan yang berbeda.
Pembeli membayar ke QRIS akun merchant milikmu sendiri. Penyedia e-wallet itu yang memproses dan mencatat dananya ke akun merchant-mu. Konek QR tidak tersambung ke jaringan pembayaran, tidak punya rekening penampung, dan tidak bisa menarik, menahan, atau mengembalikan dana.
Uangnya
- Pembeli
- Akun merchant kamu
Langsung, tanpa singgah di Konek QR.
Kabarnya
- HP kasir
- Konek QR
- Sistemmu (webhook) dan Telegram
Hanya informasi pembayaran, bukan uangnya.
Kalau Konek QR sedang gangguan
Pembayaran tetap masuk ke akunmu. Yang tertunda hanya kabarnya: Listener menyimpannya di HP, dan HP tetap melapor ke server milikmu kalau kamu memasang heartbeat ke sana.
Saldo Konek QR itu terpisah
Saldo prabayar yang kamu isi sendiri, hanya untuk biaya Konek QR setelah kuota gratis. Tidak bisa ditransfer atau ditarik, dan tidak pernah diambil dari uang pembeli.
Pencairan ke bank
Mengikuti aturan penyedia akun merchant-mu. Tidak ada biaya withdraw dari Konek QR, karena tidak ada yang perlu ditarik dari kami.
Data apa yang lewat, dan berapa lama disimpan.
Rinciannya ada di Kebijakan Privasi.
Dari HP kasir
Nominal, aplikasi asal, waktu, dan teks notifikasi pembayaran, ditandatangani HMAC dengan nonce dan timestamp. Teks mentah disimpan 30 hari, setelah itu hanya nominalnya.
Dari pembeli
Konek QR tidak menerima nomor rekening, kartu, atau saldo pembeli. Aplikasi pembayarnya yang memproses pembayaran.
Ke sistemmu
Event yang kamu pilih, lewat webhook bertanda tangan atau Telegram. Event bisa dibaca ulang lewat API selama 30 hari.
Di situs ini
Tanpa cookie dan tanpa pelacak pihak ketiga. Pilihan bahasa dan tema hanya disimpan di browsermu.
Yang tidak pernah kami minta.
Kalau ada yang mengaku dari Konek QR dan meminta salah satu hal ini, itu bukan kami. Laporkan ke [email protected].
- Password, PIN, atau OTP akun merchant atau bankTIDAK PERNAH
- Login ke akun atau portal merchant-muTIDAK PERNAH
- Bayar verifikasi ke QRIS selain milikmu sendiriTIDAK PERNAH
- Isi saldo lewat chat atau rekening pribadiTIDAK PERNAH
- Akses SMS, chat, kontak, atau lokasi HP-muTIDAK PERNAH
- Foto KTP, atau dokumen apa pun lewat chatTIDAK PERNAH
Pengaman yang bisa kamu lihat.
Ancaman terbesar bagi merchant adalah QRIS yang ditukar diam-diam, sehingga pembayaran lari ke orang lain. Sebagian besar pengaman di bawah ini ada untuk itu.
Akun
- Kode OTP ke email sebelum pendaftaran dilanjutkan.
- 2FA dengan aplikasi authenticator (TOTP), plus kode cadangan.
- Verifikasi ulang untuk aksi sensitif: ganti QRIS, buat API key, ubah webhook, ganti email atau password.
- Password di-hash dengan argon2id dan dicek ke daftar password yang pernah bocor.
- Email pemberitahuan setiap ada API key baru atau 2FA berubah.
QRIS
- Kepemilikan dibuktikan dengan membayar nominal kecil ke QRIS-mu sendiri.
- QRIS yang tersimpan disegel; setiap QR dibuat dari isi yang tersegel itu.
- Menambah QRIS butuh verifikasi ulang dan mengirim email ke pemilik akun. Di akun yang sudah pernah punya QRIS terverifikasi, QRIS tambahan bisa dipakai 24 jam setelah terverifikasi.
- Satu QRIS terverifikasi hanya untuk satu akun.
- Halaman bayar selalu menampilkan nama terdaftar, NMID, dan provider.
Integrasi
- API key hanya disimpan sebagai hash, dengan scope per key.
- Secret webhook disimpan terenkripsi.
- Webhook hanya ke HTTPS, tanpa redirect, dengan penjaga anti-SSRF.
- expectedNmid menolak tagihan kalau QRIS-nya bukan yang kamu harapkan.
- HP yang dipasangkan bisa diputus kapan saja dari dashboard.
Tidak ada tempat untuk judi online.
Penggunaan untuk judi online dan penipuan dilarang. Aturan lengkapnya di Kebijakan Penggunaan Terlarang.
Deteksi berbasis skor
Pola transaksi yang tidak wajar, kata kunci judi di nama, deskripsi, atau domain, perilaku akun, dan laporan pembayar menambah skor risiko.
Tindakan bertingkat
Dari review admin, pembatasan QR live, sampai akun ditutup dan NMID masuk daftar hitam. Setiap keputusan tercatat.
Tombol Laporkan
Ada di setiap halaman bayar. Pembeli juga bisa melapor lewat email.
Menemukan celah keamanan?
Kirim rinciannya ke [email protected] dengan judul "Keamanan": apa yang kamu temukan, langkah untuk mengulanginya, dan dampaknya menurutmu.
Uji hanya dengan akunmu sendiri dan mode uji. Jangan mengakses data merchant lain, jangan mengganggu layanan, dan beri kami waktu memperbaikinya sebelum dipublikasikan.
Sambungkan QRIS kamu, terima pembayaran pertama hari ini.
Daftar gratis, unggah QRIS statis, lalu coba di mode uji sebelum menerima uang sungguhan.