电子支付

一句话定义：电子支付是指用户通过电子终端，直接或者间接向银行业金融机构或者非银行支付机构发出支付指令，由后者实现货币资金转移的行为；它的法律特征是「指令驱动」——没有有效指令，就没有合法划转，机构擅自动账即为无权处分。

这个定义之所以重要，是因为它把电子支付的全部争议压缩成一个问题：这条指令是不是用户发出的、是不是用户真实意思。盗刷、误付、重复扣款、未成年人充值、免密支付争议，追问到底都是这一句。而举证责任怎么分配，直接决定了谁输谁赢。

适用条件

一、四个要素，缺一不可

第一个要素，用户。指发出指令的人。这里要注意：法律上的「用户」是账户持有人，不是实际操作手机的人。家人用你的手机付款，操作人是家人，用户仍是你——这个区分在「未经授权支付」的认定中是分水岭。

第二个要素，电子终端。手机、电脑、智能设备、刷卡机具，都属于电子终端。关键不在设备形态，而在「指令是否以电子形式发出」。

第三个要素，支付指令。这是整个制度的核心。指令必须是可识别、可追溯、可验证的。一条合格的指令至少包含：付款人、收款人、金额、时间、验证要素。

第四个要素，资金转移。落点是「转移」，不是「记账」。只有账面数字变化而资金未实际划转的，不构成完成的电子支付。

四个要素同时具备，才适用电子支付规则。缺一个，就要回到一般合同法、侵权法处理。比如银行内部记账错误导致的余额虚增，不是电子支付纠纷，是系统故障纠纷。

二、与几个近义词的分界

与网络支付的区别。网络支付强调通道（通过互联网），电子支付强调指令形式（电子形式）。电话银行转账是电子支付但不是网络支付；网上购物用货到付款，是网络交易但不是电子支付。

与移动支付的区别。移动支付是电子支付的子集，强调终端是移动设备。法律上不单独设规则，仍适用电子支付的一般规定。

与第三方支付的区别。「第三方」强调的是主体地位（独立于收付款双方的中间人），不是支付形式。银行做的电子支付也是电子支付，只是它不是「第三方」。

与数字货币支付的区别。法定数字货币的支付，涉及的是货币形态问题，不是支付指令问题。两者规范依据不同，不能混用。

三、服务提供者的三项基础义务

《电子商务法》第五十三条给了三项义务，这三项是用户可以直接主张的权利。

第一项，告知义务。应当告知用户电子支付服务的功能、使用方法、注意事项、相关风险和收费标准，不得附加不合理交易条件。「不得附加不合理交易条件」这一句，针对的是强制搭售、强制开通、默认勾选。

第二项，指令安全义务。应当确保电子支付指令的完整性、一致性、可跟踪稽核和不可篡改。四个词，四个技术要求：完整（不缺失字段）、一致（前后端一致）、可稽核（能追溯）、不可篡改（防修改）。

第三项，对账与记录义务。应当向用户免费提供对账服务以及最近三年的交易记录。这一项最实用，也最少被主张。「免费」两个字意味着收费提供对账单是不合规的；「最近三年」意味着超过三年的记录，机构可以不再提供，但用户仍可通过其他途径调取。

四、第五十四条：一条没有例外条款的赔偿责任

《电子商务法》第五十四条：「电子支付服务提供者提供电子支付服务不符合国家有关支付安全管理要求，造成用户损失的，应当承担赔偿责任。」

这一条的特殊之处，在于它没有写「但能证明无过错除外」。对比第五十五条、第五十七条，那两条都给了机构免责的抗辩空间，唯独这一条没有。

为什么？因为这一条管的不是「某一笔交易出了什么问题」，而是「你的支付系统本身不合规」。系统不合规，是机构自己的选择，没有免责的余地。

实务中的用法：用户要主张这一条，第一步不是证明机构有过错，而是证明机构的支付服务不符合国家有关支付安全管理要求。这个「要求」来源于监管部门制定的技术标准与管理规范。举证方向完全不同——从「你有没有做错」变成「你符不符合标准」。

这一条在集体性事件中尤其有用。比如系统漏洞导致批量信息泄露、验证机制形同虚设导致批量盗刷，单个用户举证「机构哪里做错了」很难，但举证「机构的做法不符合安全管理要求」相对可行。

五、第五十五条：指令错误的两段式规则

第一段，用户的核对义务。「用户在发出支付指令前，应当核对支付指令所包含的金额、收款人等完整信息。」

注意这一句的措辞是「应当」。它是义务，但违反这一义务的后果，法律没有直接规定为「自担损失」。这一点很关键——很多人以为「自己填错了账号就活该」，法律上不是这么简单。

第二段，机构的两项义务与一个有例外的责任。支付指令发生错误的，机构应当及时查找原因，并采取相关措施予以纠正；造成用户损失的，机构应当承担赔偿责任，但能够证明支付错误非自身原因造成的除外。

这里出现了举证责任的分配：用户只需证明「指令错误 + 有损失」，机构要免责，必须证明「错误不是我的原因造成的」。

「非自身原因」在实践中指什么？典型的是：用户自己输错账号、用户设备被植入木马、用户主动告知他人验证码。反过来，「系统未校验户名与账号是否一致」「未按约定方式提示确认」属于机构自身原因。

这一条的实际意义：转错账不等于自认倒霉。先看机构有没有做户名核验、有没有给出确认环节、有没有在错误发生后及时纠正。这三项任何一项缺失，都可以主张机构分担损失。

六、第五十七条：盗刷的三层规则，全部对用户有利

这是整部法律里对用户保护最强的一条，值得逐款拆开。

第一款，用户的保管与通知义务。用户应当妥善保管交易密码、电子签名数据等安全工具；发现安全工具遗失、被盗用或者未经授权的支付的，应当及时通知服务提供者。

第二款，举证责任倒置。「未经授权的支付造成的损失，由电子支付服务提供者承担；电子支付服务提供者能够证明未经授权的支付是因用户的过错造成的，不承担责任。」

这一款的重量在于方向：不是用户证明「我没做」，而是机构证明「是你做的」。机构举不出证据，就要赔。这个举证难度非常高——它需要证明「某个特定的人在某台设备上用某个密码完成了操作，且该操作得到了用户授权或源于用户的过错」。

第三款，减损义务。机构发现支付指令未经授权，或者收到用户关于未经授权支付的通知时，应当立即采取措施防止损失扩大；未及时采取措施导致损失扩大的，对损失扩大部分承担责任。

三款合起来是一条完整的责任链：用户的义务是保管与通知；机构的责任是原则承担、例外免责；扩大损失部分，机构必须自己扛。

实务中最常见的一个错误：用户发现盗刷后先跟客服扯皮，几天后才正式报案。这几天的时间差，恰好落在第三款上——机构可以说「扩大部分是你延迟通知造成的」。所以正确的顺序是：先挂失/冻结，再通知，再报案，最后才是协商。

七、免密支付与自动续费：同意边界在哪里

免密支付的本质，是用户事先给出一个「概括授权」：在一定金额、一定场景下，不需要逐笔验证。

它的合法性基础是用户的同意，而这个同意必须满足三个条件：一是在开通时明确告知扣款金额上限、适用商户范围、关闭方式；二是用户可以随时关闭，且关闭路径不应比开通路径更复杂；三是每笔扣款都应当有通知。

三个条件任何一个缺失，就落到「未经授权支付」的范围内。因为用户的同意是有边界的，超出边界的扣款，就是没有授权的扣款。

自动续费的问题更集中：开通时默认勾选、到期前不提醒、取消入口藏得很深。这些做法的问题不在于「扣了钱」，而在于「扣钱所依据的同意是不是真实、明确的」。

对用户的操作建议：定期检查支付应用里的「免密支付/自动扣款」列表，把不用的全部关闭；关闭后截图留存；发现异常扣款，先关闭授权，再主张退款。

八、确认支付信息：一条被低估的义务

《电子商务法》第五十六条：「电子支付服务提供者完成电子支付后，应当及时准确地向用户提供符合约定方式的确认支付的信息。」

「及时」「准确」「符合约定方式」，三个限定词都可以主张。

「及时」意味着不能等到第二天才发通知，特别是大额交易，延迟通知会直接影响用户采取止损措施的时间。

「准确」 意味着通知内容要与实际交易一致——金额、收款人、时间三项都不能错。

「符合约定方式」意味着用户在开通时选择的接收方式（短信、应用内推送、邮件）应当被遵守，不能单方面改成只在应用内推送。这个细节在盗刷案件里很致命：如果通知被静默改到用户不常看的地方，用户发现异常的时间就会被推迟。

九、三条时间线：合同成立、交付、付款

电子支付发生在电子交易的链条中，三条时间线必须分清，否则责任会算错。

第一条，合同成立时间。依《民法典》第四百九十一条第二款，当事人一方通过互联网发布的商品或服务信息符合要约条件的，对方选择该商品并提交订单成功时合同成立，但当事人另有约定的除外。《电子商务法》第四十九条进一步规定：经营者不得以格式条款等方式约定消费者支付价款后合同不成立；含有该内容的，其内容无效。

这一条针对的是「付款后被告知没货、合同不成立」这类操作。立法者的态度很明确：收了钱再说合同没成立，不行。

第二条，交付时间。 依《民法典》第五百一十二条，商品采用快递物流方式交付的，收货人签收时间为交付时间；提供服务或以在线传输方式交付的，规则不同。

注意：交付时间不等于付款时间，也不等于发货时间。风险转移、质量异议期、七日无理由退货的起算，都跟交付时间挂钩。

第三条，付款完成时间。依《电子商务法》第五十六条，机构完成支付后应当提供确认信息。「完成」的判断标准是资金到达收款方账户，而不是用户点击确认的瞬间。

三条时间线分开算，才能回答「谁在什么时候违约」。混在一起算，结论一定是错的。

十、电子签名在支付指令中的位置

很多人把「输入密码」「点指纹」「人脸识别」当成电子签名。法律上不完全是。

《电子签名法》第十三条给了四个条件，同时符合才是「可靠的电子签名」：签名制作数据用于签名时属于签名人专有；签署时仅由签名人控制；签署后对签名的任何改动能够被发现；签署后对数据电文内容和形式的任何改动能够被发现。

第十四条：可靠的电子签名与手写签名或者盖章具有同等的法律效力。

这四个条件里，最难满足的是第三个和第四个——「改动能被发现」。这意味着签名必须与文件内容绑定，改一个字，签名就失效。单纯的密码验证、短信验证码，通常只能证明「有人知道密码」，不能证明「某人认可这份具体内容」，因此不构成可靠电子签名。

这个区别在实务中的意义：涉及大额、重要的电子合同时，应当使用符合第十三条的电子签名服务（有证书、有时间戳、内容与签名绑定）；日常小额支付用密码验证即可，但由此产生的争议，证明标准会低一些。

十一、电子支付记录的证明力

电子支付记录属于电子数据，是法定证据种类之一。它的证明力取决于三个因素：来源可靠性、完整性、可验证性。

来源可靠 —— 由谁生成、存储在何处、有无第三方存证。银行与持牌机构生成的记录，可靠性高于商户自己系统里的记录。

完整 —— 是否包含全部字段，是否有断档。只截取一段的记录，容易被质疑。

可验证 —— 能否通过原始系统核验。单方打印的截图，对方不认可时很难自证。

提高证明力的三个做法： 一是申请法院调取，由机构出具加盖业务章的流水；二是公证保全，对网页、应用界面做公证；三是使用可信时间戳，对电子文件做固证。

对普通用户最实用的一条：发生争议后第一时间导出完整交易记录（含订单号、流水号、时间、金额、对方信息），不要只截图金额那一行。

十二、跨境电子支付的特殊问题

跨境电子支付多出三层复杂性：币种、监管、司法管辖。

币种层面，涉及结汇售汇，适用外汇管理规定，不是单纯的支付问题。汇率损益归谁，合同必须写明。

监管层面，境内机构为境内用户提供跨境支付服务，应当在境内设立持牌主体（这一点在非银行支付机构词条中已详述）。境外机构直接服务境内用户，长期处于灰色地带，风险由用户承担。

司法管辖层面，争议发生时的管辖法院、适用法律、判决的承认与执行，都需要在合同中约定。没有约定，很多跨境纠纷实际上无处起诉。

给企业的建议：跨境支付合同必须写清四件事——币种与汇率确定方式、资金在途期间的风险承担、退汇费用承担、争议解决方式与地点。

十三、指令到底由谁发出：五种争议的举证路径

「不是我操作的」这句话，在法庭上有五种完全不同的含义，对应五条完全不同的举证路径。分不清，就会打错方向。

第一种，设备在手，否认本人操作。用户在自家手机上被转走一笔钱，主张非本人操作。这时机构的举证方向是：验证要素是否由用户专有、仅由用户控制。如果只是六位密码验证、没有设备指纹、没有异常登录监测，机构的「用户过错」抗辩很难成立。

第二种，账户被他人换绑。手机号被换绑、新设备被添加、身份验证被重置，随后发生扣款。这时的争点不在「谁点的确认」，而在「换绑流程是否合规」。如果机构仅凭一条短信验证码就完成换绑、未做人工复核、未通知原绑定方式，本身就落在「不符合支付安全管理要求」上，直接适用第五十四条。

第三种，商户代扣，用户称未授权。典型是连续包月、会员自动续费。机构的举证方向是：开通记录、告知内容、扣款前通知。三者缺一，就可能被认定为未经授权支付。注意：用户「曾经用过一次」不等于「授权长期扣款」。

第四种，未成年人操作。这时的争点不是「有没有授权」，而是「有没有行为能力」。依《民法典》第十九条，八周岁以上的未成年人为限制民事行为能力人，实施民事法律行为需法定代理人代理或者同意、追认，但可独立实施纯获利益或与其年龄、智力相适应的行为；依第二十条，不满八周岁的未成年人为无民事行为能力人。大额充值显然超出「与年龄、智力相适应」的范围，监护人可主张返还。

第五种，企业内部人员越权操作。这是最容易被搞错的一类。财务人员未经审批动用公司账户付款，对支付机构而言，指令是由持有合法凭证的人发出的，不属于「未经授权支付」。这是内部授权问题，应当向越权人追偿，不能要求支付机构承担第五十七条的责任。

五种形态的分界线很清楚：前四种争的是「用户有没有作出有效授权」，第五种争的是「代理权限有没有超出」。前四种可以找机构，第五种只能找内部的人。

十四、支付服务协议里六种条款，站不住脚

支付服务协议几乎全是格式条款。依《民法典》第四百九十六条，采用格式条款订立合同的，提供方应当遵循公平原则确定权利义务，并采取合理方式提示对方注意免除或者减轻其责任等与对方有重大利害关系的条款；未履行提示或说明义务，致使对方没有注意或者理解该条款的，对方可以主张该条款不成为合同的内容。第四百九十七条进一步规定，不合理地免除或者减轻其责任、加重对方责任、限制对方主要权利，或者排除对方主要权利的，该格式条款无效。

六种常见条款，逐一对照：

第一种，「一经支付，概不退款」。排除用户主要权利。支付是履行行为，不是权利处分；基础交易解除后的返还请求权，不因这句话而消灭。该条款通常无效。

第二种，「密码泄露造成的全部损失由用户自行承担」。与第五十七条第二款直接冲突。法律把举证责任放在机构一侧，协议不能通过约定倒回来。

第三种，「本服务按现状提供，不承担任何责任」。属于不合理免除自身责任。特别是第五十四条的系统合规责任，不能靠这句话免除。

第四种，「平台有权单方调整收费标准，无需另行通知」。「无需通知」这部分通常无效。收费涉及用户重大利害关系，必须履行提示义务。

第五种，「争议由平台所在地人民法院管辖」。对消费者而言，这类格式管辖条款可以主张无效，理由是加重对方负担、限制其诉讼权利。消费者仍可依民事诉讼法的一般规则选择管辖法院。

第六种，「电子记录以平台系统记载为准」。单方确定证据效力，属于排除对方主要权利。系统记录可以作为证据，但不能通过约定剥夺对方的异议权与鉴定申请权。

判断格式条款是否有效的三个步骤：第一，看它是否排除了对方的主要权利（返还请求权、诉讼权利、异议权利）；第二，看它是否不合理地免除了自己的责任（特别是法定义务）；第三，看订立时有没有尽到提示与说明义务（加粗、单独确认、弹窗告知）。三步走完，绝大多数「霸王条款」都能被拆掉。

十五、六种常见误解

误解一：「密码输对了，就是我授权的。」不一定。密码正确只证明验证通过，不证明是本人操作、不证明是真实意思。机构仍要证明「无未经授权情形」。

误解二：「发现盗刷，钱一定能全额追回。」不一定。要看机构能否证明用户有过错，也要看用户是否及时通知导致损失扩大。

误解三：「银行说系统没问题，就没责任了。」不是。第五十四条的标准是「是否符合国家有关支付安全管理要求」，不是「系统有没有报错」。

误解四：「支付记录超过三年就查不到了。」机构的免费提供义务是最近三年，但机构的业务记录保存义务另有规定，通过司法途径仍可调取。

误解五：「点了确认就不能退。」确认只解决「指令有效」，不解决「基础交易该不该退」。退款依据的是合同法、消费者权益保护法，不是支付规则。

误解六：「小额免密就是不要密码，出了事自己认。」不是。免密是概括授权，超出授权范围（金额上限、商户范围）的扣款，仍属未经授权支付。

法条依据

三处举证责任的分配，是这一组条文的核心。第五十四条没有免责条款（系统不合规即赔）、第五十五条有免责条款但由机构举证（证明错误非自身原因）、第五十七条明确倒置（机构证明用户过错）。三条放在一起看，立法倾向一目了然：电子支付的风险，主要由掌握技术与数据的一方承担。

与相邻概念的区别

与支付结算的区别。结算强调债权债务的了结，电子支付强调指令的形式与执行。一笔电子支付可能不构成结算（如内部调账），一次结算也可能不用电子支付（如现金）。

与网络支付的区别。网络支付强调通道，电子支付强调形式。电话银行、刷卡消费都是电子支付，但不是网络支付。

与电子合同的关系。电子合同解决意思表示如何形成，电子支付解决资金如何转移。付款是履行行为，不是合同成立的要件（除非当事人另有约定）。

与备付金的区别。备付金是资金停留的状态，电子支付是资金移动的过程。一笔电子支付在途期间，对应的资金处于备付金状态。

与数字货币支付的区别。后者涉及货币形态与发行主体，前者涉及支付指令与执行。规范依据、监管主体、技术架构都不同。

实操指引

一、用户：五条防盗刷的硬习惯

第一条，关闭非必要的免密支付与自动续费。每季度检查一次，用完即关，不留余量。

第二条，设置交易限额。单笔与单日限额分开设，给自己留一道「冷静阀」。

第三条，不在公共网络下操作大额支付。不用来源不明的无线网络，不点陌生链接进入支付页面。

第四条，收到「到账」「退款」通知后，进应用核对，不点通知里的链接。伪造通知是常见手法。

第五条，发现异常，顺序不能错：先冻结、再通知、再报案、后协商。顺序错了，扩大损失部分可能被认定为自己承担。

二、用户：被盗刷后的五步固定证据

第一步，立即通过官方渠道挂失或冻结账户，保存操作记录与时间。

第二步，向机构发出书面通知（应用内投诉、邮件、短信均可，要求回复），说明发现时间、异常交易明细。

第三步，报警并取得受案回执。这一步在后续主张中很关键。

第四步，导出完整交易记录，含订单号、流水号、设备信息、登录地址归属地（如能取得）。

第五步，不要删除任何短信、通知、聊天记录。这些是判断「通知是否及时」「机构是否履行告知义务」的依据。

三、商户：四项合规要点

第一，不得强制或默认开通免密支付。开通必须是用户主动勾选，且不能与下单流程捆绑。

第二，扣款前必须通知。自动续费类业务，到期前应当提醒，扣款后应当即时通知。

第三，取消路径必须与开通路径同等便捷。开通三步、取消七步的设置，属于「不合理交易条件」。

第四，保存完整的交易日志。发生争议时，商户要证明「扣款有授权」，靠的就是开通记录与扣款通知记录。

四、企业法务：电子支付条款的五个必写项

第一，支付方式与到账确认标准。写清「以我方账户实际到账为准」，不写「以付款方回单为准」。

第二，指令发出主体与授权范围。明确谁有权发出指令、单笔限额、变更授权的程序。

第三，异常交易的处理流程。发现异常后几小时内通知、通过什么渠道、谁负责对接。

第四，电子记录的证据效力。约定双方认可系统记录作为证据，并约定记录保存期限。

第五，跨境支付的四项特别约定。币种与汇率、在途风险、退汇费用、争议解决。

常见问题

手机被盗刷了，钱能要回来吗？

原则上是机构承担。依第五十七条第二款，未经授权支付的损失由服务提供者承担，除非它能证明是你的过错造成的。 但要注意：你要及时通知，否则扩大部分可能自己承担。

我自己输错了账号转错账，能要求机构赔吗？

可以主张，但要看机构有没有过错。依第五十五条，机构应当及时查找原因并纠正；造成损失的应赔，除非能证明错误非自身原因。 如果机构未做户名核验、未给确认环节，其「非自身原因」的抗辩就站不住。

免密支付被扣了几千元，算未经授权吗？

要看是否超出授权范围。开通时告知的金额上限、适用商户范围就是授权边界，超出部分属于未经授权支付。

我能要求机构提供几年前的交易记录？

免费提供义务是最近三年。超过三年的，可以通过诉讼、仲裁程序申请调取，或者向监管机构投诉请求协助。

机构说「验证码是你自己给的」，我还能索赔吗？

能主张，但难度上升。机构一旦证明验证码由你提供，就可能落入「因用户过错造成」的免责范围。 这时争点转为：机构有没有尽到风险提示义务、有没有异常交易监测、金额是否明显异常。

电子合同没有手写签名，有效吗？

有效。依《民法典》第四百六十九条，能够有形表现所载内容并可随时调取查用的数据电文，视为书面形式。 若使用符合《电子签名法》第十三条的可靠电子签名，效力等同于手写签名。

付款后商家说没货、合同不成立，怎么办？

《电子商务法》第四十九条第二款明确禁止。经营者不得以格式条款约定消费者支付价款后合同不成立；含有该内容的，其内容无效。 可以主张继续履行或退款并赔偿。

法条核对日期：2026 年 10 月 28 日。本词条所引《中华人民共和国电子商务法》条文，依 2018 年 8 月 31 日通过、2019 年 1 月 1 日施行的版本核对；所引《中华人民共和国电子签名法》条文，依 2019 年 4 月 23 日修正后的版本核对；所引《中华人民共和国民法典》条文，依 2020 年 5 月 28 日通过、2021 年 1 月 1 日施行的版本核对。条文序号与文字均与上述版本一致。

关联阅读

• 支付结算：电子支付在整个结算体系中的位置
• 客户备付金：支付在途期间资金的法律状态
• 《中华人民共和国电子商务法》全文：电子支付专章的规范出处
• 《中华人民共和国电子签名法》全文：可靠电子签名的四项条件
• 退款迟迟不到账找谁：商户与支付机构的责任链怎么走：支付完成后退款的责任分配
• 扫码付错款对方不退怎么办：不当得利返还的完整路径：指令错误后的民事救济
• 自动续费、连续包月与免密支付扣款：概括授权的边界
• 未成年人游戏充值与直播打赏退款：无行为能力人发出指令的效力
• 支付账户：电子支付账户相关篇目
• 消费维权：本词条在消费场景下的适用分类