Токенизация карт

Токенизация карт заменяет чувствительные платёжные данные, прежде всего номер карты, на суррогатное значение. Токен принимается внутри определённой системы, например у конкретного мерчантаМерчант-аккаунтСчёт компании у эквайера или PSP, через который она принимает оплату., в платёжном шлюзеПлатёжный шлюзПлатёжный шлюз (payment gateway) — техническое звено, которое принимает платёжные данные с сайта или приложения и передаёт их на обработку эквайеру или процессингу, возвращая результат транзакции. или в сети эмитентаБанк-эмитентБанк-эмитент — банк, который выпускает платежную карту клиенту, ведет его счет и решает, одобрить ли операцию по карте. Противоположная сторона платежа — банк-эквайер, обслуживающий продавца., но не позволяет восстановить исходный PAN без доступа к хранилищу соответствий.

Как это работает

При первой оплате или сохранении карты данные передаются в токенизатор: это может быть хранилище PSPPSPПлатёжный провайдер: принимает платежи от клиентов и переводит деньги мерчанту., платёжный шлюз или сервис провайдера токенов. Токенизатор возвращает токен, а исходный номер хранится у него в защищённом хранилище. Далее бизнес работает только с токеном: списания, рекуррентныеРекуррентные платежиРекуррентные платежи — регулярные автоматические списания с сохранённой карты или счёта клиента по его предварительному согласию, например ежемесячно за подписку или БАД. платежи и возвраты выполняются по нему.

Виды токенов

Токены мерчанта или PSP привязаны к одному бизнесу и обычно не переносятся между ними. Сетевые токены выпускаются платёжными системами и связаны с картой на уровне сети: при перевыпуске карты или смене номера их можно обновлять без участия клиента. Это снижает число отказов по причине устаревших данных.

На что влияет

Токенизация уменьшает объём данных, попадающих в инфраструктуру продавца, и тем самым облегчает соответствие стандарту PCI DSSPCI DSSPCI DSS — стандарт безопасности данных индустрии платежных карт, обязательный по договорам с банками и платежными системами для всех, кто хранит, обрабатывает или передает данные карт.. Она также помогает сохранять одобрения для рекуррентных списаний и подписок. Вместе с 3-D Secure3-D Secure3-D Secure — протокол дополнительной аутентификации держателя карты при онлайн-оплате: банк-эмитент подтверждает, что платёж совершает владелец карты. и сетевыми токенами она снижает риск мошенничества при повторных платежах.

Частые ошибки

Частая ошибка: считать токен заменой всех требований безопасности. Токенизация снижает область аудита, но не отменяет защиту каналов, контроль доступа и логирование. Другая ошибка: привязка токена к одному PSP без плана миграции, из-за чего при смене провайдера приходится заново собирать карты у клиентов.