Payment Gateway Indonesia Terbaik 2026: Matriks untuk Institusi

Tidak ada payment gateway yang "terbaik" untuk bank, asuransi atau multifinance. Yang ada adalah gateway yang lolos tiga pemeriksaan yang bisa Anda cek sendiri: baris izinnya di Daftar Lembaga Berizin Bank Indonesia, syarat setelmen yang tertulis di kontrak (karena PADG No. 32 Tahun 2025 tidak menetapkan angka T+ apa pun), dan beban integrasi terhadap standar SNAP. Pada 11 September 2026 kami mencocokkan sepuluh gateway yang muncul untuk pencarian ini dengan register BI. Tujuh punya baris izin atas nama badan hukum yang dicetak di situsnya sendiri. Satu mengarah ke entitas yang situs terdaftarnya produk lain, satu tidak punya baris atas namanya, dan satu lagi belum berhasil kami cek dengan nama badan hukumnya.

Artikel ini matriks, bukan peringkat. Pembacanya Head of IT atau procurement yang harus memangkas daftar panjang menjadi dua sampai empat finalis, dan reviewer Compliance, SKAI serta CISO yang akan memveto finalis itu. Untuk dasar rail dan perizinannya, mulai dari perbandingan payment gateway Indonesia dengan BI-FAST, QRIS dan virtual account.

Kenapa daftar "terbaik" yang beredar tidak bisa dipakai institusi

Kami membaca utuh 11 hasil organik teratas untuk kueri ini (untuk Finpay, yang kami baca halaman utamanya, bukan URL yang memeringkat). Sepuluh ditulis vendor gateway. Pengecualiannya satu: Exabytes, perusahaan hosting yang menulis untuk toko online kecil. DOKU, Pivot dan Intracs masing-masing menaruh dirinya sendiri di nomor satu pada listicle buatannya sendiri.

Tidak satu pun dari 11 halaman itu menyebut PBI, PADG atau POJK dengan nomor, atau UU PDP. Tidak ada yang mencantumkan versi PCI DSS; Pivot hanya menulis "Level 1", yaitu level merchant atau penyedia layanan, bukan versi standar. Tidak ada yang menautkan register perizinan sistem pembayaran BI. Satu-satunya tautan ke register BI ada di footer Xendit, dan itu daftar penyelenggara QRIS berizin di bi.go.id/PJSPQRIS. Nomor yang dicetak pun cuma dua: pendaftaran PSE Kominfo (iPaymu) dan nomor surat izin BI (GDCPay). Tidak ada pula yang menyebut PBI No. 10 Tahun 2025, yang berlaku 31 Maret 2026, mencabut PBI 22/23/PBI/2020, dan mengubah cara gateway diberi izin.

Ringkasan AI Google untuk kueri yang sama, per 11 September 2026, mengutip tujuh halaman dari daftar itu: enam milik vendor, ditambah Exabytes. Tiga di antaranya justru listicle yang menaruh penulisnya sendiri di peringkat pertama. Itulah jawaban bawaan yang diterima tim procurement bank saat mengetik kueri ini.

Matriks: izin di register BI, dicek 11 September 2026

Metode. Kami mencari setiap gateway di register BI dengan nama badan hukum yang dicetak di situs vendor itu sendiri. Nama merek tidak cukup. Kata kunci "Xendit" tidak mengembalikan satu baris pun, sedangkan "Sinar Digital Terdepan" mengembalikan tiga. Kolom "SNAP" dan "Setelmen" merekam apa yang dipublikasikan di halaman yang kami baca. Keduanya bukan hasil uji endpoint.

Gateway (badan hukum)	Baris register BI (kategori, nomor, tanggal)	Klaim di halaman vendor	Setelmen yang dipublikasikan	SNAP yang diklaim
Midtrans (PT Midtrans)	PJP Kategori Izin 2, 23/666/DKSP/Srt/B, 1 Juli 2021	Lencana BI, Kominfo, PCI DSS dan ISO 27001 tanpa nomor atau versi	Ada di dokumentasi; lihat rincian biaya dan jadwal setelmen	Tidak dipublikasikan di halaman yang dibaca
Xendit (PT Sinar Digital Terdepan)	Kategori Izin 1, 25/651/DKSP/Srt/B, 15 Des 2023; Kategori Izin 2, 23/582/DKSP/Srt/B, 1 Jul 2021; QRIS, 26/295/DKSP/Srt/B, 20 Agu 2024	"Lisensi penuh" tanpa nama izin	"Berbeda-beda" per metode, dengan early settlement berbayar	Tidak dipublikasikan di halaman yang dibaca
DOKU (PT Nusa Satu Inti Artha)	Kategori Izin 1, 23/673/DKSP/Srt/B, 1 Jul 2021; QRIS, 22/171/DKSP/Srt/B, 5 Mar 2020	"Lima lisensi" dan "6 lisensi" di halaman yang sama; tautan sertifikat pihak ketiga	Tidak dipublikasikan	Tidak dipublikasikan di halaman yang dibaca
Finpay (PT Finnet Indonesia)	Kategori Izin 1, 23/573/DKSP/Srt/B, 1 Jul 2021; QRIS, 22/184/DKSP/Srt/B, 12 Mar 2020; juga Peserta BI-RTGS	"PJP Kategori I", PCI DSS, ISO/IEC 27001, ISO 9001:2015	Tidak dipublikasikan	Tidak dipublikasikan di halaman yang dibaca
GDCPay (PT GDC Multi Sarana)	Kategori Izin 1, 24/18/DKSP/Srt/B, 28 Jan 2022; QRIS, 25/191A/DKSP/Srt/B, 17 Apr 2023	Nomor izin 24/18/DKSP/Srt/B di footer, cocok dengan register	Menyebut real-time, same-day dan H+1 sebagai pertanyaan yang harus diajukan pembeli	Tidak dipublikasikan di halaman yang dibaca
Paylabs (PT Wahana Pembayaran Digital)	Kategori Izin 2, 24/143/DKSP/Srt/B, 30 Mei 2022; QRIS, 26/276/DKSP/Srt/B, 8 Agu 2024	ISO/IEC 27001 dan PCI DSS tanpa versi	Tidak dipublikasikan	Tidak dipublikasikan di halaman yang dibaca
LinkQu (PT Tri Usaha Berkat)	Kategori Izin 3, 21/250/Sb/7, 4 Jul 2019	"Terverifikasi resmi oleh BI" tanpa nomor	Tidak dipublikasikan	Tidak dipublikasikan di halaman yang dibaca
Espay	Kata kunci "Espay" mengembalikan PT Espay Debit Indonesia Koe, Kategori Izin 1, 23/571/DKSP/Srt/B, 1 Jul 2021, dengan situs tercatat dana.id [GAP: konfirmasi entitas yang menandatangani kontrak gateway Espay]	Tidak dibaca	Tidak dipublikasikan	Tidak dibaca
iPaymu (PT Inti Prima Mandiri Utama)	Tidak ada baris atas nama ini	Nomor pendaftaran PSE Kominfo 004433.01/DJAI.PSE/07/2022 dan "tersertifikasi PCIDSS"; menyebut dirinya penghubung ke PJP	"Realtime Settlement" tanpa angka	Tidak dipublikasikan di halaman yang dibaca
Pivot (PT Harsya Remitindo, berganti nama menjadi Pivot pada Juni 2025)	Belum terkonfirmasi atas nama PT Harsya Remitindo. Pencarian "Pivot" dan "pivot-payment" tidak mengembalikan apa pun, dan hasil itu memang yang akan muncul dari register berbasis nama badan hukum, berizin atau tidak. Kontan (17 Juni 2025) menyebutnya "Penyedia Jasa Pembayaran (PJP) berizin dari Bank Indonesia" [GAP: kategori izin dan nomor surat PT Harsya Remitindo]	Listicle-nya sendiri (19 Jan 2026) mengklaim lisensi "Penyedia Sistem Pembayaran Level 1" dari BI. "Level 1" adalah istilah Pivot; register memakai kategori izin	Tidak dipublikasikan	"API berstandar SNAP", satu-satunya klaim SNAP di 11 halaman

Tiga baris perlu dibaca hati-hati, dan tidak satu pun berarti vendornya tidak berizin. Badan hukum iPaymu tidak punya baris, tetapi iPaymu menyebut dirinya penghubung ke PJP, jadi izin yang relevan mungkin milik mitranya. Pencarian merek Espay mendarat di entitas yang situs terdaftarnya dana.id. Celah di baris Pivot justru milik kami, bukan milik mereka: kami belum berhasil menarik baris PT Harsya Remitindo dari register. Bagi Compliance, ketiganya memunculkan pertanyaan pertama yang sama. Dana Anda sebenarnya lewat rekening siapa?

Register masih memakai label lama

Filter register masih berbunyi "Penyedia Jasa Pembayaran - Kategori Izin 1/2/3", yaitu label rezim PBI 22/23/PBI/2020 yang sudah dicabut. Pasal 179 PBI 10/2025 menyatakan pemegang izin lama "tetap dinyatakan sebagai PJP". Paket bundling barunya (1A, 1B, 2, 3) baru ditetapkan setelah BI menyelesaikan evaluasi, paling lambat satu tahun sejak 31 Maret 2026 (Pasal 32 ayat (3) dan Pasal 176 ayat (3)). Jadi label "Kategori I" di halaman vendor hari ini adalah status warisan. Label itu belum menjawab di paket mana vendor tersebut berada setelah 31 Maret 2027.

Paket juga menentukan siapa boleh mengerjakan apa. Pasal 35 ayat (2) membatasi paket 1A untuk PJP berklasifikasi "PSP utama". Modal disetor minimum berdasarkan Pasal 102 ayat (1) PADG 32/2025 adalah Rp15 miliar untuk paket 1 dan Rp5 miliar untuk paket 2. Penjelasan Pasal 123 ayat (1) PADG yang sama menyebut payment gateway sebagai contoh paket 2. Namun PBI-nya juga menyebut gateway di bawah paket 1, sehingga paket sebuah gateway bergantung pada aktivitas lain yang ia jalankan. Uraian lengkapnya ada di artikel payment gateway Indonesia kami.

Setelmen: tidak ada T+1 yang diwajibkan BI

PBI 10/2025 dan PADG 32/2025 tidak menetapkan tenggat setelmen dalam hari. Pasal 182 PADG 32/2025 hanya mewajibkan gateway yang memfasilitasi penerimaan dana untuk dua hal:

• menempatkan dana itu "pada rekening yang terpisah dari rekening operasional"; dan
• melakukan disbursement "dalam jangka waktu memadai dan tidak bertentangan dengan ketentuan Bank Indonesia".

Blog yang menulis "BI mewajibkan T+1" melebih-lebihkan sumbernya. Angka setelmen adalah urusan kontrak. Pasal 186 PADG yang sama mewajibkan PJP memenuhi standar minimum kontraktual yang mencakup "service level agreement". Pasal 138 ayat (2) mewajibkan perjanjian dengan penyedia barang dan/atau jasa dibuat tertulis dalam Bahasa Indonesia, dengan klausul kerahasiaan data transaksi. Mintalah angka T+ per metode pembayaran tertulis di SLA, bukan di halaman pemasaran. Dampak biayanya, termasuk float dan biaya per setelmen, ada di pembahasan MDR QRIS dan biaya akseptasi.

Aggregator atau fasilitator: BI menimbangnya 10 banding 1

Pasal 166 ayat (2) PADG 32/2025 menghitung bobot permodalan dari "seluruh transaksi yang diproses dengan model bisnis merchant aggregator", tetapi hanya "10% (sepuluh persen)" dari transaksi model fasilitator. Di mata regulatornya, gateway yang memegang dana Anda membawa bobot risiko sepuluh kali lipat. Bank dan asuransi yang bisa menerima dana langsung ke rekeningnya sendiri memperpendek rantai dana dengan memilih model fasilitator. Tanyakan model mana yang dipakai vendor untuk kontrak Anda.

Beban integrasi: SNAP adalah kewajiban, bukan fitur

Pasal 14 ayat (1) PADG No. 23/15/PADG/2021 tentang Implementasi SNAP (ditetapkan dan berlaku 16 Agustus 2021) mewajibkan penyedia layanan menerapkan Open API Pembayaran berbasis SNAP. Ayat (2) membuat penyedia itu memastikan pengguna non-PJP, yaitu institusi Anda, ikut menerapkannya. Pasal 23 ayat (4) melarang pengguna baru terhubung sebelum ada surat rekomendasi. Pengelolaan SNAP dialihkan dari BI ke ASPI sejak 1 September 2023.

Dari 11 halaman di hasil pencarian, hanya Pivot yang menyebut SNAP. [GAP: uji kesesuaian endpoint SNAP yang dipublikasikan tiap gateway terhadap spesifikasi SNAP, yaitu kandidat pengukuran orisinal di brief cluster, belum dijalankan.] Untuk berkas yang akan diminta pemeriksa, lihat sembilan berkas bukti kepatuhan SNAP BI. Untuk pilihan antara berkas, API bank dan SNAP, lihat host to host bank: berkas atau API.

Kami belum pernah mengintegrasikan satu pun gateway di tabel ini. Yang kami kerjakan adalah sisi institusinya. Untuk MSIG, situsnya "terhubung langsung dengan sistem finansial utama MSIG untuk memperlancar penjualan polis, pengumpulan premi, dan interaksi keuangan pelanggan". Tantangan yang tercatat di sana adalah integrasi dari sistem utama ke sistem situs "tanpa mengganggu layanan yang ada". Untuk CGS International, pembukaan rekening efek online menghubungkan basis data bank, CGS-CIMB, KSEI dan DUKCAPIL. Pendapat kami dari pekerjaan semacam itu: yang paling berat ada di rekonsiliasi ke sistem inti, bukan di API gateway. API-nya yang biasa didemokan. Rekonsiliasinya yang menentukan tanggal go-live.

Peta gateway ke jenis institusi

Institusi	Veto yang paling sering muncul	Yang harus ada di berkas finalis
Bank umum	Pasal 39 ayat (1) POJK No. 11/POJK.03/2022 (ditetapkan 6 Juli 2022) mewajibkan pemrosesan transaksi berbasis TI di wilayah Indonesia; pemrosesan di luar negeri butuh izin OJK (ayat (4))	Lokasi pemrosesan; komitmen hasil audit TI independen berkala dan akses pemeriksaan OJK di kontrak (Pasal 30 ayat (3)); pertanyaan apakah bank cukup memakai fasilitator
Asuransi	Pasal 23 ayat (3) POJK No. 4/POJK.05/2021 melarang pusat data di luar Indonesia tanpa persetujuan OJK	Penagihan premi dan pembayaran klaim: cek apakah izin gateway mencakup penerusan transfer dana, bukan hanya penerimaan
Multifinance	POJK 4/POJK.05/2021 yang sama; LJKNB beraset di atas Rp1 triliun wajib punya pusat data dan pusat pemulihan bencana (Pasal 22 ayat (4))	Pencairan pinjaman dan penagihan cicilan: pastikan kedua arah dana tercakup aktivitas izin vendor
Perusahaan tercatat	UU No. 27 Tahun 2022 (17 Oktober 2022): notifikasi kegagalan pelindungan data paling lambat 3 x 24 jam (Pasal 46 ayat (1))	Alur notifikasi insiden dari gateway ke Anda yang muat dalam 72 jam; klausul kerahasiaan sesuai Pasal 138 ayat (2) PADG 32/2025

Delapan pertanyaan uji tuntas, masing-masing dengan dokumennya

1. Surat izin BI atas nama badan hukum yang menandatangani kontrak. Cocokkan nomor dan tanggalnya dengan register, dan cari dengan nama badan hukum, bukan merek.
2. Hasil evaluasi paket dan klasifikasi dari BI, yang jatuh tempo paling lambat 31 Maret 2027. Kalau belum terbit, minta pernyataan tertulis tentang paket yang diajukan.
3. AOC PCI DSS v4.0.1 tingkat penyedia layanan, bertanggal setelah 31 Maret 2025. PCI SSC memensiunkan v4.0 pada 31 Desember 2024, dan persyaratan bertanggal-masa-depan berlaku sejak 31 Maret 2025.
4. Ruang lingkup sertifikat ISO/IEC 27001, bukan lencananya. Contoh: satu tautan Certipedia milik DOKU menunjukkan ISO/IEC 27001:2022 dengan lingkup verifikasi Dukcapil untuk KYB/KYC, payment initiation and acquiring, penerbitan akun, remitansi dan billing. Tautan lainnya berbunyi "Currently no valid certificates are attached". DOKU tetap satu-satunya vendor di hasil pencarian yang bisa dicek sejauh itu.
5. Angka setelmen per metode di SLA, sesuai Pasal 186 PADG 32/2025, lengkap dengan cut-off harian.
6. Bukti rekening terpisah untuk dana merchant (Pasal 182 huruf a).
7. Daftar Penyelenggara Penunjang vendor. BI akan mengategorikannya kritikal, penting atau standar, dan dua kategori pertama menyediakan layanan pada tahap pemrosesan transaksi.
8. Berita acara pengujian fungsionalitas SNAP (Pasal 18 ayat (3) PADG 23/15/PADG/2021) dan surat rekomendasi sebelum go-live.

Yang berarti bagi komite

Untuk Compliance dan SKAI: jangan terima "berizin BI" tanpa nomor surat. Tujuh dari sepuluh gateway di sini punya nomor yang bisa dicocokkan dengan satu pencarian di register, jadi vendor yang tidak bisa menyebutkannya sedang memberi tahu Anda sesuatu. Untuk CISO: minta AOC dan lingkup sertifikat, lalu cocokkan lingkupnya dengan layanan yang benar-benar Anda beli. Untuk Head of IT: timbang beban rekonsiliasi ke sistem inti, bukan jumlah metode pembayaran. Untuk direksi: setelmen adalah angka kontrak, dan float yang mengendap di rekening vendor punya harga.

Kalau kami hanya boleh memilih satu pemeriksaan, pilihannya baris register atas nama badan hukum yang menandatangani kontrak. Angka setelmen dan beban SNAP masih bisa dinegosiasikan setelah kontrak diteken. Izin tidak.

Jika checkout, portal premi atau alur pencairan Anda harus terhubung ke gateway dan ke sistem inti sekaligus, tim pengembangan website WEBARQ mengerjakan sisi institusi itu. Artikel ini disusun dengan bantuan AI. Pencocokan register dilakukan langsung di situs BI pada 11 September 2026.