Redsys y Bizum en tu tienda: comisiones e integración

Redsys no te cobra comisión: te la cobra tu banco. Cómo se integra el TPV virtual, qué límites tiene Bizum (0,50-5.000 € en Stripe) y qué está publicado.

Redsys no te cobra comisión: es la infraestructura técnica que usan los bancos españoles. Quien fija el precio es tu banco, con una tasa de descuento negociada que no publica nadie. Bizum se contrata por ese mismo TPV virtual o por una pasarela como Stripe, que sí publica su tarifa: 1,5 % + 0,25 € por cobro.

Casi todas las guías españolas de precios de ecommerce hablan de plataforma, hosting y diseño. Casi ninguna habla de la partida que se lleva un porcentaje de cada venta durante los próximos tres años. Aquí hablamos de eso.

Redsys no es tu pasarela de pago: es la carretera

Empecemos por deshacer la confusión que arrastra todo lo demás. Redsys Servicios de Procesamiento es la sociedad que procesa las operaciones de tarjeta de la mayoría de la banca española. Tú no eres cliente de Redsys. Tu banco lo es.

Lo que tú contratas es un TPV virtual con tu entidad. El banco te entrega tres cosas: un código de comercio (FUC) de nueve dígitos, un número de terminal y una clave secreta con la que firmarás cada petición. La pantalla de pago, el certificado, el protocolo y los códigos de respuesta son de Redsys. El precio es del banco.

Esta distinción tiene una consecuencia práctica que conviene entender antes de pedir presupuestos: no negocias con Redsys, negocias con tu oficina. Y como negocias con tu oficina, el número que te den depende de tu facturación, de tu antigüedad y de si has pedido una segunda oferta.

Lo habitual en el sector: El proveedor te dice "integramos Redsys, la comisión es del 1 %" y firmas. El 1 % es un número de folleto: nadie lo ha visto por escrito y nadie te dirá de dónde sale.

Nuestro criterio: Pides a tu banco la tasa de descuento por escrito, separada por débito, crédito de consumidor, tarjeta empresa y tarjeta de fuera del EEE. Son cuatro precios distintos, no uno.

Lo único que está publicado: la tasa de intercambio

Hay una parte del coste que sí es pública y verificable, y casi ningún artículo español la menciona.

El Reglamento (UE) 2015/751 fija topes a la tasa de intercambio, que es la parte de la comisión que el banco adquirente paga al banco emisor de la tarjeta del cliente.

Ahora, la advertencia importante: esa no es tu comisión. La tasa de intercambio es un componente del coste, no el precio final. Encima se apilan la tasa de la marca (Visa, Mastercard) y el margen del adquirente. La suma se llama tasa de descuento y es lo que se te descuenta de cada liquidación.

Y los topes tienen una letra pequeña que sí importa para una tienda online: solo cubren tarjetas de consumidor emitidas en el Espacio Económico Europeo. Una tarjeta empresa, o una tarjeta emitida fuera del EEE, queda fuera del tope. Si vendes a Reino Unido, a Latinoamérica o a empresas, tu coste medio real no se parece al de tu vecino que vende cosméticos en Valencia.

Los topes de intercambio del Reglamento (UE) 2015/751 se verificaron en EUR-Lex el 27-08-2026 y siguen vigentes. La tasa de descuento que tu banco te aplica no es pública ni comparable entre entidades: pídela por escrito antes de firmar el contrato de TPV virtual.

Cómo se integra Redsys de verdad

Redsys ofrece tres caminos: redirección, InSite (formulario embebido) y conexión REST o SOAP. Además publica módulos para WooCommerce, PrestaShop y Magento, y acepta Bizum, Apple Pay, Google Pay y PayPal por el mismo terminal.

Para la inmensa mayoría de las tiendas, la redirección es la respuesta correcta. No porque sea más elegante, sino porque saca los datos de tarjeta de tu servidor y con ellos se va gran parte del alcance PCI-DSS. Elegimos redirección para reducir superficie de riesgo, no para ahorrar horas.

La integración por redirección consiste en un formulario POST con tres campos:

Y dentro de ese JSON hay cuatro detalles que provocan el 90 % de los fallos de integración en la primera semana:

• El importe va sin separador decimal: las dos últimas posiciones son los céntimos. Un pedido de 49,90 € viaja como 4990. Multiplicar por cien mal es la forma más rápida de cobrar cien veces de más.
• La moneda es el código ISO-4217: 978 para euros.
• El número de pedido tiene de 4 a 12 caracteres alfanuméricos y los cuatro primeros deben ser numéricos. Si tu tienda genera identificadores tipo ORD-2026-001, no pasa.
• El FUC son nueve dígitos y el terminal hasta tres. Un cero a la izquierda perdido en una hoja de cálculo tumba el entorno entero.

Las pruebas se hacen contra https://sis-t.redsys.es:25443/sis/realizarPago y producción vive en https://sis.redsys.es/sis/realizarPago. Son dos URLs y dos claves distintas: cambiar la URL y olvidar la clave es un clásico del viernes por la tarde.

La notificación es la verdad, el navegador no

Aquí está la decisión de arquitectura que separa una integración que aguanta de una que sangra pedidos.

El cliente vuelve a tu tienda por una URL de retorno. Esa vuelta puede no ocurrir: cierra la pestaña, se le va la cobertura, el móvil mata el navegador. Si tu tienda marca el pedido como pagado en el retorno, perderás cobros que sí se han producido.

Confirmamos el pedido con la notificación servidor a servidor, no con el retorno del navegador. El retorno solo pinta una pantalla. La notificación, con su firma validada, es la que cambia el estado.

Y hay que validar la firma siempre. Una notificación sin verificar es un endpoint público que cualquiera puede llamar para marcar pedidos como pagados.

• El estado del pedido lo cambia la notificación firmada, nunca la URL de retorno
• La firma HMAC SHA256 se valida en cada notificación recibida, sin excepciones
• El endpoint de notificación es idempotente: dos avisos del mismo pedido no duplican el cobro ni el correo
• El código 9915 (cancelada por el usuario) se trata como abandono recuperable, no como error
• El código 913 (pedido duplicado) no genera un pedido nuevo
• El código 101 (tarjeta caducada) devuelve un mensaje que el cliente entiende, no un número
• Se distinguen los códigos 0000 a 0099 (autorizada) del resto
• Las claves de test y de producción están en variables de entorno, no en el repositorio
• Existe una conciliación diaria entre pedidos de la tienda y liquidaciones del banco

Bizum: dos caminos que no son el mismo producto

Bizum en comercio electrónico se puede activar por dos vías, y la diferencia entre ellas no es de precio: es de contrato, de límites y de quién responde cuando algo falla.

Vía Redsys. Bizum viaja por tu TPV virtual como un medio de pago más. Lo activa tu banco, se liquida con el resto, y la comisión entra en la misma negociación opaca que las tarjetas.

Vía Stripe. Stripe publica su tarifa y sus reglas. Eso es una ventaja real cuando estás decidiendo, aunque el precio de lista sea peor que el que un banco te daría con volumen.

Las restricciones operativas de Bizum en Stripe, verificadas en su documentación el 27-08-2026, son las que ninguna guía española recoge:

Tres consecuencias de diseño que salen de esa tabla:

1. Si vendes suscripciones, Bizum no te sirve como método principal. No admite pagos recurrentes. Necesitas tarjeta o adeudo SEPA detrás.
2. Si tu modelo cobra al enviar, tampoco encaja sin más. Sin captura manual no puedes autorizar hoy y cobrar en tres días.
3. Si tu ticket medio supera los 5.000 €, el botón sobra en ese carrito. Mostrar un método que va a fallar es peor que no mostrarlo.

Hay además una lista de categorías excluidas de Bizum en Stripe que sorprende a bastante gente: joyerías y relojerías, metales y piedras preciosas, galerías de arte, entidades financieras, organizaciones religiosas, organizaciones políticas, criptomonedas, juego y azar, multipropiedad, y la captación de fondos de entidades benéficas y sociales. Si tienes una ONG y contabas con Bizum para donaciones por esta vía, compruébalo antes de diseñar la página de donación, no después.

Comparémoslo con lo que la misma pasarela cobra por tarjeta en España, según su página de precios consultada el 27-08-2026:

Fíjate en la última fila. Veinte euros por disputa recibida, se gane o se pierda. En una tienda de ticket bajo, una tasa de disputa alta se come el margen antes que la comisión.

La autenticación reforzada también tiene números

El Reglamento Delegado (UE) 2018/389 regula la autenticación reforzada de cliente. Su artículo 16 permite eximir de autenticación los pagos electrónicos remotos de escasa cuantía cuando se cumplen tres condiciones a la vez: el importe de la operación no supera los 30 €, el acumulado desde la última autenticación no supera los 100 €, y no se encadenan más de cinco operaciones consecutivas sin autenticar.

El artículo 18 abre otra puerta, la del análisis de riesgo de la operación, condicionada a que la tasa de fraude del proveedor se mantenga en o por debajo de las referencias del anexo: 0,13 % en pagos electrónicos remotos con tarjeta y 0,06 % en transferencias remotas.

Lo traduzco a decisión de producto: la fricción del checkout no la eliges tú, la elige la regulación y la tasa de fraude de tu adquirente. Diseñar un paso de autenticación que se ve bien en el móvil no es cosmética, es conversión.

Qué cuesta integrar esto y qué IVA lleva

Aquí hay una asimetría fiscal que conviene tener clara antes de comparar presupuestos.

Las comisiones de un servicio de pago y los honorarios de quien integra la pasarela no reciben el mismo trato en el IVA. El desarrollo de tu tienda es una prestación de servicios sujeta al tipo general del artículo 90 de la Ley 37/1992. Las comisiones bancarias por operaciones de pago se mueven en el terreno de las exenciones financieras del artículo 20.Uno.18º de la misma ley. No es lo mismo, no se suma igual y no lo decides tú: contrástalo con tu asesoría con el contrato de TPV delante.

— = dato en medición; lo publicaremos cuando tengamos muestra propia.

Así lo abordamos nosotros:

Trabajamos con precio fijo por fase acordado antes de empezar, sin horas sorpresa. Se entregan el código, los archivos fuente y la documentación. Y si tu caso no encaja con lo que hacemos, te lo decimos en la primera llamada de 30 minutos.

El precio de la integración lo cerramos nosotros antes de empezar; la comisión de cada venta la cierras tú con tu oficina, y por eso te decimos qué pedir por escrito.

Una pasarela bien integrada no se nota. Se nota la que pierde un pedido de cada cien y nadie sabe por qué hasta que cuadra la caja a final de mes.

El riesgo de una pasarela no está en el día del lanzamiento: está en el mes tres, cuando la liquidación del banco y los pedidos de la tienda dejan de cuadrar y no hay registro de notificaciones que mirar.

Trae dos cosas a la primera llamada de 30 minutos: tu contrato de TPV virtual con la tasa de descuento por escrito y el formato del número de pedido que genera hoy tu tienda. Con eso te decimos en esa media hora dónde va a sangrar tu checkout. Y si no encontramos nada que arreglar, también te lo decimos.

Preguntas frecuentes

¿Redsys cobra comisión por cada venta?

Redsys procesa la operación, pero la comisión te la aplica tu banco a través de la tasa de descuento pactada en el contrato de TPV virtual. Pide ese porcentaje por escrito y desglosado por tipo de tarjeta: nadie lo publica y nadie te lo va a ofrecer sin que lo pidas.

¿Puedo cobrar suscripciones mensuales con Bizum?

No por la vía de Stripe: su documentación indica expresamente que Bizum no admite pagos recurrentes (consultado el 27-08-2026). Necesitarás tarjeta o adeudo SEPA para la recurrencia y podrás usar Bizum solo para el primer cobro o para compras puntuales.

¿Cuál es el importe máximo de una compra con Bizum en una tienda online?

En Stripe, el máximo por operación es de 5.000 € y el mínimo 0,50 € (consultado el 27-08-2026). Por la vía de tu banco, los límites los fija tu entidad: confírmalos antes de diseñar el carrito, porque un método que falla en el último paso cuesta más que uno que no aparece.

¿Me hace falta certificación PCI-DSS si integro Redsys?

Si usas la conexión por redirección, los datos de tarjeta no pasan por tu servidor y tu alcance PCI-DSS se reduce de forma sustancial, aunque no desaparece. Confirma el cuestionario que te corresponde con tu banco: no podemos certificarte nosotros y no vamos a decirte que sí para cerrar el proyecto.

¿Mejor Redsys o Stripe para una tienda española?

Depende de tu volumen y de tu mercado: Stripe publica su tarifa y unifica tarjeta, Bizum y adeudo SEPA en una sola integración, mientras que un banco con volumen suele mejorar ese precio a cambio de opacidad y de más trabajo de conciliación. Si vendes solo en España y facturas poco, la tarifa publicada te dará menos sorpresas que una negociación que no puedes comparar.

Sigue leyendo

• Montar una tienda online en España: plataforma, coste real a 3 años y pasarelas
• WooCommerce o Shopify en España: el punto de cruce por facturación
• Tengo visitas y no vendo: diagnóstico en 12 comprobaciones
• ¿Los precios de una web llevan IVA? Cómo leer un presupuesto siendo autónomo o pyme
• Coste total de una web a 36 meses: el número que casi nadie te da

Nota de transparencia. Algunos datos propios de esta guía todavía están en medición en proyectos reales, con un mismo método. Los publicaremos con su tamaño de muestra y su ventana de fechas cuando la muestra sea suficiente; hasta entonces, cada cifra que ves lleva su fuente y su fecha de consulta.

Fuentes verificadas

• https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32015R0751 — Reglamento (UE) 2015/751, arts. 3 y 4: topes de tasa de intercambio del 0,2 % (débito de consumidor) y 0,3 % (crédito de consumidor). Verificado el 27-08-2026.
• https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32018R0389 — Reglamento Delegado (UE) 2018/389, art. 16 (exención de escasa cuantía: 30 € por operación, 100 € acumulados, cinco operaciones consecutivas) y art. 18 (análisis de riesgo, con tasas de fraude de referencia del 0,13 % en pagos remotos con tarjeta y 0,06 % en transferencias). Verificado el 27-08-2026.
• https://canales.redsys.es/canales/ayuda/documentacion/Manual%20integracion%20para%20conexion%20por%20Redireccion.pdf — Manual de integración por redirección: URLs de pruebas (sis-t.redsys.es:25443) y producción (sis.redsys.es), firma HMAC_SHA256_V1, Ds_MerchantParameters en Base64, FUC de 9 dígitos, importe con las dos últimas posiciones como decimales, moneda ISO-4217 978, número de pedido de 4 a 12 caracteres con los cuatro primeros numéricos, y códigos de respuesta (0000-0099 autorizada, 101 caducada, 913 pedido duplicado, 9915 cancelada por el usuario). Verificado el 27-08-2026.
• https://pagosonline.redsys.es/ — Métodos de conexión del TPV Virtual (redirección, InSite, REST/SOAP, módulos para WooCommerce, PrestaShop y Magento) y medios de pago soportados, entre ellos Bizum, Apple Pay, Google Pay y PayPal. Verificado el 27-08-2026.
• https://stripe.com/es/pricing — Tarifas de Stripe en España: 1,5 % + 0,25 € en tarjetas estándar del EEE, 2,8 % + 0,25 € en tarjetas premium del EEE, 3,15 % + 0,25 € en tarjetas internacionales, 2 % adicional por conversión de divisa, 20,00 € por disputa recibida, 0,35 € por adeudo SEPA. Verificado el 27-08-2026.
• https://stripe.com/es/pricing/local-payment-methods — Comisión de Bizum en Stripe: 1,5 % + 0,25 € por cobro. Verificado el 27-08-2026.
• https://docs.stripe.com/payments/bizum — Bizum en Stripe: importe mínimo 0,50 € y máximo 5.000 €, solo EUR, sin pagos recurrentes, sin captura manual, disputas abiertas hasta 120 días naturales con 40 días para aportar pruebas y 90 días de resolución, reembolsos totales y parciales hasta 395 días y de proceso asíncrono (hasta 5 minutos), y lista de categorías de negocio excluidas. Verificado el 27-08-2026.
• https://www.boe.es/buscar/act.php?id=BOE-A-1992-28740 — Ley 37/1992 del IVA, texto consolidado: art. 90 (tipo general) y art. 20.Uno.18º (exenciones en operaciones financieras), referencia para el tratamiento fiscal de las comisiones de servicios de pago frente al del desarrollo.