Kostenvoranschlag für eine Zahlungsintegration

So schätzen Sie den Aufwand für eine Zahlungsintegration ein: Sandbox vs. Live-Umgebung, Rückerstattungen, Webhooks, Idempotenz, PCI-Geltungsbereich. Das Gespräch, das geführt werden muss, bevor konkrete Zahlen feststehen.

Auf dem Ticket steht „Stripe hinzufügen“. Im Text ist von einem halben Viertel die Rede.

Der Zahlungsbereich verfügt über eine öffentliche API-Oberfläche, die auf eine Seite passt, sowie über eine private Entscheidungsoberfläche, die dies nicht tut. Die Auswahl eines Anbieters ist eine einmalige Aufgabe, die einen Tag in Anspruch nimmt. Die Einrichtung des „Happy-Path“-Checkouts dauert einige Tage. Alles, was danach kommt – der Rückerstattungsablauf, die Richtlinie für Webhook-Wiederholungsversuche, die Idempotenzschlüssel, der Abstimmungsbericht, den die Finanzabteilung im zweiten Monat anfordern wird – ist die eigentliche Funktion, und nichts davon ist im Ticket aufgeführt.

Die Story mit dem Titel „Stripe integrieren“ ist selten die Story, die tatsächlich geschätzt wird. Die Story, die geschätzt wird, lautet: „Wir können Zahlungen entgegennehmen, Rückerstattungen vornehmen, nachweisen, dass wir die Zahlung erhalten haben, und eine strittige Belastung bewältigen.“ Solange die Gruppe nicht über diesen Umfang abstimmt, handelt es sich bei der Zahl lediglich um eine Schätzung, die sich auf etwas anderes bezieht.

Was in dem Raum gesagt wird

Backend: „Die Sandbox ist unkompliziert. Die Bibliothek übernimmt den Großteil der Arbeit.“

SRE: „Webhooks erfordern Idempotenz. Wie sieht unsere Strategie für Wiederholungsversuche aus, falls Stripe die Übermittlung erneut versucht?“

Finanzen: „Wie werden Rückerstattungen abgerechnet? Was ist mit Teilrückerstattungen?“

Compliance: „Verarbeiten wir Kartennummern oder bleiben wir bei SAQ-A?“

PM: „Was steht in der E-Mail wegen der fehlgeschlagenen Zahlung, und wer verfasst sie?“

Fragen, die man sich vor der Stimmabgabe stellen sollte

  • Zunächst nur in der Sandbox oder sind Live-Schlüssel von Anfang an im Geltungsbereich enthalten?
  • Rückerstattungen und Teilrückerstattungen – UI, API oder nur für Administratoren?
  • Idempotenz von Webhooks und die Behandlung von Wiederholungsversuchen – wem gehört die Deduplizierungstabelle?
  • Geltungsbereich der PCI-Vorschriften: Halten wir die SAQ-A-Anforderungen ein, wenn wir die PAN niemals berühren?
  • Abgleich: Wer erstellt den Bericht, und anhand welcher Referenzquelle?
  • Fehler-UX: Karte abgelehnt, Karte abgelaufen, 3DS-Abfrage – fällt das alles in den Geltungsbereich?

Bei einem solchen Sachverhalt ist es oft am sinnvollsten, ihn aufzuteilen. „Geld entgegennehmen“ ist ein Sachverhalt, „Geld zurückerstatten“ ein anderer und „Geld abgleichen“ ein dritter. Wenn man diese als einen einzigen Sachverhalt betrachtet, führt dies dazu, dass die Integration in Woche drei ausgeliefert wird und die Finanzabteilung in Woche acht fragt, wo der Bericht bleibt.

Stimmen Sie für „Beweisen Sie, dass wir das Geld erhalten und den Streit überstanden haben“, nicht für „Rufen Sie die Checkout-API auf“.

Siehe auch: Häufige Fehler beim Planning Poker hinsichtlich einer zu späten Aufteilung von Stories; Schätztechniken für derart ungenau definierte Aufgaben. Sehen Sie sich die anderen Beispiele für gelungene Schätzungen an oder starten Sie eine kostenlose Planning-Poker-Sitzung, sobald die Verfeinerung abgeschlossen ist.