Какие данные участвуют в оплате и что из них хранится

Кто что видит в этой схеме

Страница, которую вы читаете, — статичный справочник без единой формы ввода. Она не принимает ни денег, ни личных данных: оформление идёт в отдельном окне платёжного сервиса, и реквизиты карты набираются там же, на его защищённой странице. При переводе по коду они не набираются вообще нигде — подтверждение происходит внутри вашего банковского приложения.

На стороне выдачи о покупателе остаётся минимум, необходимый, чтобы довезти строку и разобрать возможное обращение: адрес почты и номер заказа. Ни имени, ни списка сайтов, которые вы потом откроете, в этом наборе нет и быть не может — доступ выдаётся до того, как вы им воспользуетесь, и никак с вашим поведением не связан.

• Адрес почты — единственное, что спрашивают: без него строку некуда доставить.
• Номер заказа — нужен при обращении по возврату и больше нигде.
• Реквизиты карты остаются у платёжного сервиса и на страницы парка не попадают.
• Учётной записи не заводится. Логина и пароля у доступа нет, входить некуда.

Строка доступа — это и есть ваш пароль

После выдачи вся защита сводится к тому, кто знает адрес. Второго фактора у строки нет, восстановить её «по номеру телефона» нельзя, и любой, кому она попала, получает тот же перечень серверов. Поэтому письмо со строкой стоит хранить так же, как хранят пароли, а пересылку в общий чат считать раздачей доступа, а не любезностью.

Средства защиты у самой записи бывают, но включает их та сторона, которая её выдала: это упакованная строка, которую после добавления нельзя посмотреть и переслать, ограничение на число устройств и привязка к одному аппарату. У случайной ссылки из общего чата обычно нет ни одного из них — и это одна из причин, по которым такие ссылки быстро перестают работать.

Что видит сервер, когда клиент ходит за перечнем

Оплата и работа доступа — разные истории, и путать их не стоит. При походе за перечнем серверов приложение передаёт не ваши платёжные данные, а короткий служебный набор: название и версию приложения, отпечаток устройства и обратный адрес запроса. По отпечатку и ведётся счёт зарегистрированных аппаратов.

Подробный разбор этого набора — что в него входит, что из него следует и чего сервер выдачи не видит — лежит на отдельной странице что уходит на сервер подписки. Там же объясняется, почему это не имеет отношения к содержимому вашего трафика.