Crypto Card Issuing API: een praktische handleiding over hoe het in de praktijk werkt

Het opzetten van een kaartprogramma op de traditionele manier betekent dat er een sponsorbank, een betaalverwerker, een personalisatiebureau en een compliance-afdeling nodig zijn, die contract voor contract worden samengesteld. Men noemt hiervoor een periode van achttien maanden.

Een API voor kaartuitgifte is het argument dat je dat niet meer hoeft te doen. Het lost het werk niet zozeer op, maar verschuift het grotendeels naar de balans van iemand anders. Wat overblijft, is de moeite waard om te begrijpen voordat je tekent.

Key Takeaways

• Met een API voor het uitgeven van cryptokaarten kan een bedrijf betaalkaarten aanmaken en beheren die gekoppeld zijn aan cryptovaluta, meestal zonder een eigen kaartlicentie, bankondersteuning of betaalverwerkingssysteem te hoeven hebben.
• UPay Business biedt de mogelijkheid om fysieke en virtuele Visa-kaarten uit te geven via één enkele API, rekent cryptobetalingskosten van minder dan 1 procent (tegenover de 3 tot 5 procent die het bedrijf rekent voor traditionele grensoverschrijdende betalingen) en accepteert BTC, ETH, USDT en meer dan 50 andere activa in de TRC20-, ERC20- en BSC-categorieën.
• UPay Business publiceert een termijn van ongeveer vijf minuten voor crypto-afwikkeling en T+0 of T+1 voor de uitbetaling in fiatgeld, afhankelijk van het kanaal, met bankafwikkeling op T+1. Dit zijn verschillende stappen, geen tegenstrijdigheid, dus vraag na op welke stap uw transactie eindigt.
• In de eigen ontwikkelaarsdocumentatie van UPay wordt een testomgeving beschreven, een geldigheidsperiode van 60 seconden per aanvraag voor een digitale handtekening en verplichte IP-toegang tot whitelists. De URL van de productieomgeving wordt niet openbaar gemaakt.
• De nalevingseisen die u overneemt zijn reëel: identiteitsverificatie, transactiemonitoring, sanctiescreening, de Travel Rule van 3,000 Amerikaanse dollar in de Verenigde Staten en PCI DSS v4.0.1, momenteel de enige actieve versie, waarvan de 51 toekomstgerichte eisen op 31 maart 2025 van kracht zijn geworden.
• Wat de registraties betreft, neem de gegevens over die UPay zelf vermeldt: een vergunning voor het verlenen van financiële diensten in Hongkong, een principiële goedkeuring als aanbieder van virtuele activa in Litouwen en registraties voor financiële dienstverlening in de Verenigde Staten en Canada.

Wat is een API voor het uitgeven van cryptokaarten?

Een API voor het uitgeven van cryptokaarten is een set programmeerbare eindpunten waarmee een bedrijf betaalkaarten kan aanmaken, financieren, blokkeren en annuleren die gekoppeld zijn aan het cryptosaldo van een klant, zonder zelf de onderliggende systemen te hoeven bezitten.

De aanbieder onderhoudt de relaties die moeilijk te verkrijgen zijn: netwerklidmaatschap, de uitgifteovereenkomst, de verwerking en de conversie. U behoudt de klant, het merk en de bestedingsregels.

De conversiestap is waar het crypto-gedeelte plaatsvindt. De kaart is een gewone kaart op een gewoon netwerk; wat de aanbieder toevoegt, zet een cryptosaldo om in betaalvaluta tijdens de autorisatie, zodat de handelaar een normale transactie ziet en de klant een crypto-debet.

Hoe de workflow werkt, stap voor stap

Onboarding en identiteitscontrole. Uw applicatie verzamelt de klantgegevens en verstuurt deze via de verificatie-endpoints van de provider. Het resultaat wordt asynchroon teruggestuurd, dus zorg voor een status die in behandeling is in plaats van een definitief ja of nee.

Het saldo aanvullen. De klant stort cryptovaluta op de rekening die de kaart gebruikt. Bij UPay is dat een opwaardering vanuit de UPay-wallet in plaats van een automatische incasso, dus het saldo is iets dat uw klant constant op peil houdt.

Uitgifte en activering. Een virtuele kaart wordt snel uitgegeven. Een fysieke kaart moet worden geproduceerd en verzonden. Daarom omvatten de kaartverwerkingspunten van UPay naast registratie ook activering en logistieke tracking.

Autorisatie. Wanneer de klant betaalt, stuurt het netwerk een autorisatieverzoek. De provider controleert het saldo en uw bestedingsregels, voert de conversie uit en keurt de transactie goed of af. Alles wat u wilt beheren, moet u van tevoren instellen.

Afwikkeling en reconciliatie. Verwerkte transacties worden via het netwerk aan de handelaar overgemaakt, terwijl uw kant de reconciliatie uitvoert aan de hand van webhooks. De webhookfeed is het overzicht en het dashboard is de samenvatting.

In onze toelichting op hoe USDT-betalingen werken, leggen we uit wat een ketenbevestiging u precies vertelt, en dat is de input voor die afstemming.

Wat de API-documentatie van UPay daadwerkelijk publiceert

Dit staat er in de ontwikkelaarsdocumentatie en op de zakelijke pagina's van UPay zelf.

Wat een koper vraagt	Wat UPay zelf publiceert	Waar het staat
Welke kaarten kan ik uitgeven?	Fysieke en virtuele Visa-kaarten via één enkele API.	UPay Business-website
Is er een zandbak?	Een testomgeving is beschikbaar; de stagingomgeving is niet beschikbaar en de URL van de productieomgeving wordt niet openbaar gemaakt.	UPay API-referentie
Hoe wordt een verzoek geverifieerd?	Elk verzoek wordt ondertekend en een handtekening is 60 seconden geldig voordat deze opnieuw gegenereerd moet worden.	UPay API-referentie
Zijn er netwerkbeperkingen?	IP-adressen die de oproep versturen, moeten op de whitelist staan ​​en reacties mogen alleen afkomstig zijn van de daarvoor aangewezen adressen.	UPay API-referentie
Wat kan ik met een kaart doen?	Registreren, activeren, opwaarderen, vergrendelen en ontgrendelen, annuleren, facturen opvragen, een handelswachtwoord instellen, logistiek volgen, 3D Secure bevestigen, een bestedingsbedrag autoriseren	UPay API-referentie
Wat dekt de API nog meer?	Verkoper, Account, Klantengroep, Klant, Adres, Kaart, Portemonnee, Acquirer, Uitgave, IFrame, bestandsupload, regiolijst, codelijst en webhookgroepen	UPay API-referentie
Is de documentatie in het Engels?	De primaire referentie is in vereenvoudigd Chinees; een volledige Engelstalige versie is te vinden op upay-api-en.readme.io (https://upay-api-en.readme.io/)	UPay API-referentie, beide edities
Hoe weet ik of er iets is gebeurd?	Webhook-meldingen voor kaart-, portemonnee-, acquisitie- en uitbetalingsgebeurtenissen	UPay API-referentie
Wat zijn de verwerkingskosten?	Minder dan 1 procent op cryptobetalingen, tegenover 3 tot 5 procent voor traditionele grensoverschrijdende betalingen.	UPay Business-website
Hoe snel wordt geld verwerkt?	Ongeveer 5 minuten op de blockchain (“~ 5 minuten”); uitbetaling in fiatgeld T+0 of T+1, afhankelijk van het kanaal; bankafwikkeling T+1	De UPay Business-website en de pagina voor cryptobetalingen.

Het is de moeite waard om beide te lezen voordat je de omvang van het werk bepaalt: de whitelist beperkt waar je code wordt uitgevoerd, en een signature window van 60 seconden beperkt hoe vaak de code opnieuw probeert uit te voeren.

UPay Business publiceert een verwerkingstijd van ongeveer vijf minuten voor cryptotransacties, oftewel "~ 5 minuten" in vergelijking met 1 tot 5 werkdagen voor traditionele betaalsystemen. Op de pagina voor cryptobetalingen staat dat on-chain afwikkeling "in realtime kan worden voltooid, terwijl fiat-afwikkeling doorgaans T+0 of T+1 duurt, afhankelijk van het uitbetalingskanaal", waarbij bankafwikkeling als T+1 wordt vermeld.

Het snelle cijfer betreft het on-chain gedeelte en T+0 of T+1 het gedeelte voor de uitbetaling in fiatgeld. Vraag dus na op welk gedeelte uw transactiecorridor daadwerkelijk eindigt. UPay publiceert ook als enige een ROI-cijfer in deze categorie: een besparing van 20,000 tot 50,000 Amerikaanse dollar per miljoen verwerkte transacties ten opzichte van traditionele banksystemen.

De naleving die u erft

De technologie werkt in een sprint. Het compliance-dossier duurt een kwartaal en bepaalt je lanceringsdatum.

Identiteitsverificatie. Kaartuitgifte is een gereguleerde activiteit in elke markt die relevant is voor een kaartprogramma. Daarom wordt elke kaarthouder geverifieerd voordat een kaart wordt uitgegeven. UPay publiceert hiervoor endpoints voor het indienen, opvragen en volgen van de voortgang. Uw product moet dus een status tussen 'aangevraagd' en 'goedgekeurd' weergeven.

In onze toelichting op de 'ken uw klant'-regelgeving in de cryptowereld leggen we uit wat deze controles inhouden.

Transactiemonitoring en sancties. Screening vindt plaats op basis van namen en, voor cryptovaluta, op basis van walletadressen. Het Office of Foreign Assets Control (OFAC) van het Amerikaanse ministerie van Financiën heeft adressen van virtuele valuta al sinds 2018 op de sanctielijst staan, waardoor een adres op dezelfde manier als een naam een ​​traceerbare identificatiecode is.

UPay noemt zijn infrastructuurpartners bij naam, wat meer is dan de meeste aanbieders doen: identiteitsverificatie met Sumsub, dat UPay in mei 2024 aankondigde , afwikkeling van stablecoins met StraitsX en cloudinfrastructuur met Tencent Cloud. Alle drie staan ​​vermeld op UPay Business onder "Gebouwd op vertrouwde wereldwijde partnerschappen". De genoemde partners zijn aan te vinken; "infrastructuur van enterprise-niveau" niet.

De reisregel. In de Verenigde Staten vereist 31 CFR 1010.410(f) dat de gegevens van de afzender en de begunstigde meereizen met transacties van 3,000 Amerikaanse dollar of meer. Deze regel bestond al vóór de cryptovaluta en is er ook op van toepassing.

PCI DSS. De beveiliging van kaartgegevens is gebaseerd op de Payment Card Industry Data Security Standard (PCI DSS). De Payment Card Industry Security Standards Council heeft versie 4.0 op 31 december 2024 buiten gebruik gesteld, waardoor versie 4.0.1 nu de enige actieve versie is.

Van de 64 vereisten die in versie 4.x zijn geïntroduceerd, zijn er 51 toekomstig van kracht geworden op 31 maart 2025. Een beoordeling vandaag de dag vindt dus plaats op basis van de volledige set vereisten in plaats van de overgangsvereisten.

Het gebruik van door een provider gehoste kaartvelden beperkt je mogelijkheden. Het sluit ze niet volledig uit, en de vraag die je auditor zal stellen is welke velden je eigen code daadwerkelijk aanraakt.

Licenties. Vraag naar de lijst en vergelijk deze met de officiële registers in plaats van met de marketingpagina. UPay vermeldt een vergunning voor het uitvoeren van financiële diensten in Hongkong, een principiële goedkeuring voor het aanbieden van virtuele activa in Litouwen en registraties voor financiële dienstverlening in de Verenigde Staten en Canada.

UPay heeft de identificatienummers voor deze twee bedrijven gepubliceerd: 31000257909666 voor de Amerikaanse registratie en M24993747 voor de Canadese. Zoek ze zelf op via FinCEN's MSB Registrant Search en FINTRAC's MSB-register. Als een van beide de entiteit waarmee u een contract wilt afsluiten niet oplevert, vraag dan waarom voordat u verdergaat.

De twee pagina's van UPay zelf zijn hierin niet consistent. Op de homepage staan ​​de vier licenties vermeld als zijnde in bezit; op de 'Over ons'-pagina staan ​​ze nog steeds vermeld op een tijdlijn onder 'Doelen en plannen' als te behalen licenties, gedateerd Q3 2023 en Q1 2024, naast een trustlicentie die niet op de homepage staat.

Dat is de gebruikelijke gang van zaken bij marketing door verkopers, en daarom is het register, in plaats van de pagina, de oplossing.

Uitdagingen bij het gebruik van API's voor de uitgifte van cryptokaarten

De regels verschillen per markt en per nationaliteit. Eén API geeft je geen toegang tot één product. Sanctielijsten, netwerkregels en de eigen landenlijst van de aanbieder bepalen allemaal wie je kunt bedienen.

Het conversierisico verdwijnt niet, het verplaatst zich. Conversie tijdens de autorisatie concentreert het risico voor de klant in de seconden rondom elke aankoop. Bij een volatiel beleggingsinstrument is een daling van een saldo dat een uur eerder nog toereikend leek, een melding voor de klantenservice, geen bug.

Je bouwt nog steeds de saaie helft. De API-problemen en -beheerkaarten. Afschriften, geschillenafhandeling, de 3D Secure-uitdagingsprocedure, de herinnering voor het opwaarderen en de belastingexport zijn jouw verantwoordelijkheid. Teams richten zich op de eindpunten en vergeten de rest van het product.

Uw klanten moeten hierover worden geïnformeerd. Een kaart die is opgeladen vanuit een digitale portemonnee wordt geweigerd wanneer het saldo te laag is, zonder de mogelijkheid tot rood staan ​​of automatisch opwaarderen. Vermeld dit in het onboardingproces in plaats van in de algemene voorwaarden.

Je erft de stabiliteit van de aanbieder. Een kaartprogramma is geen afhankelijkheid die je zomaar even kunt vervangen. Vraag na wat er met actieve kaarten gebeurt als de aanbieder van uitgevende partner wisselt.

Wat u moet controleren voordat u tekent

Welke markten, en op basis van welke criteria? De geschiktheid voor een kaart wordt bepaald door nationaliteit in plaats van woonplaats, en verschilt per kaart. De Premier-kaart van UPay wordt bijvoorbeeld geweigerd voor een lange lijst van landen en gebieden, waarvan de meeste onbewoond of betwist zijn.

De Platinum-kaart weigert aanvragen van een veel kortere lijst, maar die lijst omvat onder andere de Verenigde Staten, China, India, Indonesië, Pakistan, Vietnam, Turkije, Saoedi-Arabië en Israël. Deze korte lijst is de reden waarom aanvragen niet worden geaccepteerd, en beide kaarten sluiten afzonderlijk aanvragen uit van nationaliteiten die onder sancties vallen.

UPay heeft de lijst herzien en geeft aan dat deze is gebaseerd op Visa en belangrijke wereldwijde lijsten met regelgevende risico's en sancties. De meest recente versie is daarom te vinden in het Helpcentrum.

Wie is de uitgever? De kaarten van UPay worden uitgegeven door partnerinstellingen en niet door UPay zelf, en het is aan die instelling dat de regels van uw programma gebonden zijn.

UPay heeft er één genoemd: JC Credit Limited, voor hun creditcard in Hongkong, onder voorwaarden die verwijzen naar Mastercard. De huidige Premier- en Platinum-kaarten en de uitgifte van de Business API worden uitgevoerd door Visa. Vraag na welke instantie uw kaart uitgeeft.

Welke rente is van toepassing? Vraag welke rente bij goedkeuring wordt gehanteerd, welke spread wordt toegepast en wie het verschil tussen goedkeuring en afwikkeling draagt.

Hoe stapt u eruit? Vraag wat er met uw kaarthouders gebeurt als u vertrekt, wie de eigenaar is van de getokeniseerde gegevens en welke opzegtermijn van toepassing is. Het antwoord staat zelden in de documentatie.

Ben je meer geïnteresseerd in aanbieders dan in de technische aspecten? Onze gids voor platforms voor de uitgifte van cryptokaarten voor startups vergelijkt ze, en onze B2B-infrastructuur voor cryptobetalingen behandelt de afwikkeling.

Wat daadwerkelijk tijd kost

Een realistische eerste implementatie duurt drie tot vier maanden, en slechts een klein deel daarvan is engineering: de engineering beslaat enkele weken, het compliance-dossier een kwartaal. Beide zijn schattingen en geen gepubliceerde cijfers.

De verificatie van de bedrijfsstructuur van een entiteit met een gelaagde eigendomsstructuur is de stap die vaak extra tijd in beslag neemt. Zorg ervoor dat u de oprichtingsdocumenten, een eigendomsstructuur en de identificatie van de bestuurders gereed hebt.

Daarna draait het meer om beslissingen dan om code: welke uitgavencontroles je beschikbaar stelt, wat de klantenservice doet als een kaart wordt geweigerd bij een tankstation vanwege een pre-autorisatieblokkering, en hoe een klant zijn saldo aanvult nadat het op is.

De integratie zelf is het kortste gedeelte, en dat is het deel dat in onze handleiding voor API-integratie van de betaalprovider wordt behandeld.

Veelgestelde vragen

Is het integreren van een API voor het uitgeven van cryptokaarten lastig?

De integratie is niet het moeilijkste. Documentatie, een testomgeving en webhooks zorgen ervoor dat de engineering binnen enkele weken afgerond is. De verificatie van uw eigen bedrijf, de goedkeuring van de compliance-afdeling en de commerciële voorwaarden bepalen de exacte datum.

Heb ik een eigen licentie nodig om via een API kaarten uit te geven?

Meestal niet: de aanbieder en zijn uitgevende partner bezitten de licenties en u fungeert als programmamanager op basis van hun toestemmingen. Dit is een commercieel standpunt en geen juridisch advies, dus controleer dit voor elke markt die u bedient.

Hoe gaat een cryptokaart om met prijsschommelingen tussen aankoop en afrekening?

De aanbieder zet het bedrag om bij autorisatie, waardoor het saldo wordt afgeschreven tegen een koers die op dat moment geldt. Het verschil tussen autorisatie en afrekening wordt ergens naartoe verplaatst, en in het contract staat waar.

Wat is het verschil tussen een kaartuitgever en een betalingsgateway?

Met een betaalpoort kunt u geld van klanten accepteren. Bij een betaalpoort geeft u klanten een kaart waarmee ze kunnen betalen. Het zijn vergelijkbare systemen, maar met tegengestelde problemen, en veel bedrijven willen beide.

Kan ik overal kaarten aan klanten uitreiken?

Nee. Een kaartprogramma hanteert een lijst met landen en nationaliteiten die niet worden bediend, op basis van sancties en netwerkregels. Vraag de actuele lijst op voordat u een markt onderzoekt.