Cards
Какво е Картов трезор?
Съвместимо с PCI DSS хранилище на токенизирани данни за карти, което позволява на търговеца да таксува карта отново, без да съхранява PAN.
Картовият трезор е сигурна, съвместима с PCI DSS система, използвана за съхранение на чувствителни данни за платежни карти, предимно основния номер на сметката (PAN).
Основната му функция е да намали тежестта на съответствието на търговеца, като прехвърли съхранението на тези опасни данни на сертифицирана трета страна, като платежен шлюз или PSP. Вместо да съхранява PAN, търговецът съхранява нечувствителна заместваща стойност, известна като токен.
Този токен действа като референция, позволявайки на търговеца да инициира бъдещи плащания, без изобщо да докосва суровата информация за картодържателя, като по този начин значително намалява задълженията си по PCI DSS.
Когато клиент направи първата си покупка, данните за картата му се изпращат директно до сигурната среда на доставчика на трезора. След това трезорът връща уникален токен на търговеца, който се запазва в профила на клиента.
За последващи транзакции, като например за повтарящ се абонамент или плащане с едно кликване, търговецът просто изпраща този токен и сумата на транзакцията на доставчика на плащания. Доставчикът използва токена, за да извлече сигурно съхранения PAN и да обработи плащането.
Често срещана точка на объркване е преносимостта на тези токени. Повечето основни токени на трезора, често наричани токени на шлюз или PSP, са патентовани.
Това означава, че те са свързани с конкретен доставчик на плащания, създавайки заключване и затруднявайки търговеца да смени доставчици, без да преминава през сложен и скъп проект за миграция на данни.
Практически пример
Клиент се абонира за месечен абонамент от £29,99 за SaaS продукт. По време на първоначалната регистрация той въвежда данните на своята Mastercard във формата за плащане.
Тези данни се предават директно на съвместимия с PCI DSS ниво 1 трезор на Cardflo, заобикаляйки изцяло сървърите на търговеца на SaaS. Трезорът на Cardflo съхранява PAN и връща уникален, нечувствителен токен, например `Cflo_tok_xyz789`, на търговеца.
Търговецът съхранява този токен в своята база данни, свързан с абонамента на клиента. Един месец по-късно системата за фактуриране на търговеца автоматично инициира транзакция, инициирана от търговеца (MIT), като изпраща заявка до API на Cardflo, съдържаща токена `Cflo_tok_xyz789` и сумата на таксата от £29,99.
Cardflo извлича основните данни за картата и обработва плащането, без никога да излага PAN на търговеца. Този процес значително намалява обхвата на PCI на търговеца и риска от пробив на данни.
Бележки на картовите схеми
Концепцията за трезор е специфична технология за доставчик, а не пряк продукт на картова схема. Въпреки това, съвременните трезори са дълбоко интегрирани с услугите на схемата.
Както Visa (чрез своята услуга Visa Token Service, VTS), така и Mastercard (Mastercard Digital Enablement Service, MDES) силно подкрепят използването на мрежови токени.
Разширени трезори, като тези, предоставени от Cardflo, се интегрират с VTS и MDES, за да предоставят тези токени, специфични за схемата, вместо или в допълнение към патентованите токени на шлюза.
Докато основният трезор съхранява статичния PAN, този, свързан с услугите за токенизация на схемата, може да гарантира, че данните за плащане остават „активни“, дори ако физическата карта е изгубена или изтекла, тъй като схемите и издателите актуализират токена във фонов режим.
Това е значително предимство пред трезорите, които поддържат само патентовани токени.
Защо е важно за търговците
Внедряването на картов трезор е от основно значение за всеки търговец, обработващ транзакции с карта в досие, като бизнеси с абонаменти или магазини за електронна търговия с плащане с едно кликване.
Основната полза е драстичното намаляване на обхвата на съответствие с PCI DSS, което спестява значително време и пари за одити на сигурността и инфраструктура.
Като предотвратява суровите данни за карти да докосват системите на търговеца, трезорът също така минимизира репутационните и финансови щети от потенциален пробив на данни. Въпреки това, търговците трябва да са наясно със заключването на доставчика, свързано с патентованите токени на трезора.
Използването на доставчик като Cardflo, чийто трезор поддържа мрежови токени и предлага услуги за сигурна миграция на токени, осигурява по-голяма гъвкавост и позволява на търговците да маршрутизират транзакции чрез множество придобиващи банки, оптимизирайки разходите и процентите на одобрение, без да са обвързани с един шлюз.
Често задавани
Как използването на трезор влияе на обхвата на PCI DSS на търговеца?
Използването на трезор от трета страна може значително да намали изискванията за одит на PCI DSS на търговеца, често позволявайки му да се класира за по-прости въпросници за самооценка като SAQ A или SAQ A-EP.
Тъй като търговецът никога не съхранява, обработва или предава сурови PAN на собствените си сървъри, задълженията за сигурност за неговата вътрешна инфраструктура са значително намалени.
Каква е разликата между специфичен за PSP трезор и агностично решение за трезор?
Специфичен за PSP трезор свързва токените с една придобиваща банка, което може да доведе до заключване на доставчика, тъй като тези токени може да не са преносими към различен шлюз.
Агностичен или независим доставчик на трезор позволява на търговеца да съхранява данни централно и да маршрутизира транзакции към множество придобиващи банки, осигурявайки по-голяма гъвкавост и излишък в техния стек за плащания.
Каква е разликата между токен на трезор и мрежов токен?
Токен на трезор (или токен на шлюз) е патентован идентификатор, създаден от конкретен доставчик на плащания. Той се разпознава само в екосистемата на този доставчик, което води до заключване на доставчика.
Мрежов токен се създава от самите картови схеми (Visa, Mastercard) и е оперативно съвместим с всеки доставчик на плащания, който е интегриран с услугата за токени на схемата. Мрежовите токени обикновено са по-добри, тъй като се актуализират автоматично от издателя, намалявайки отказите от изтекли карти.
Прави ли ме използването на трезор напълно съвместим с PCI?
Използването на трезор значително намалява обхвата на съответствие с PCI DSS, но не го елиминира напълно. Все още се изисква да попълните въпросник за самооценка (SAQ), обикновено SAQ A, който е най-простата форма.
Това удостоверява, че сте възложили всички функции за данни на картодържателя на съвместима трета страна. Вашите собствени практики за сигурност за вашия уебсайт и системи все още имат значение.
Мога ли да преместя моите съхранени карти от един PSP на друг?
Да, но това може да бъде сложен и скъп процес. Изисква сигурен трансфер на данни между старите и новите съвместими с PCI доставчици, включващ координация и такси от двете страни.
За да избегнете това заключване, е за предпочитане да използвате доставчик, който поддържа мрежови токени от самото начало, тъй като те са преносими. Алтернативно, изберете доставчик с ясна и справедлива политика за миграция на данни.
Помага ли трезорът за процентите на оторизация?
Самият основен трезор не подобрява пряко процентите на оторизация; той е предимно инструмент за сигурност и съответствие. Въпреки това, модерен трезор, който е интегриран с услуги като мрежова токенизация и Account Updater, значително ще подобри процентите на одобрение.
Тези интегрирани услуги гарантират, че съхранените данни остават актуални, предотвратявайки откази поради изтекли или преиздадени карти и намалявайки неволното отпадане.
Само за абонаментни плащания ли е трезорът?
Не, докато трезорите са от съществено значение за абонаменти и повтарящо се таксуване, те също така се използват широко от търговци на електронна търговия, за да предлагат функционалност „карта в досие“ или „плащане с едно кликване“.
Това удобство драстично ускорява процеса на покупка за връщащи се клиенти, което може да доведе до по-високи нива на конверсия и повишена лоялност на клиентите. Всеки търговец, който иска да съхранява карта на клиент за бъдеща употреба, се нуждае от трезор.
See how Картов трезор plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Свързани термини
Токен, издаден от схема, който замества PAN от край до край и се актуализира автоматично, когато основната карта бъде преиздадена.
Заместване на чувствителни данни за карта с нечувствителна заместваща стойност, която може да бъде съхранявана и използвана повторно без обхват на PCI.
Стандарт за сигурност на данните в индустрията за платежни карти, рамката, наложена от схемата за обработка на данни на картодържатели.
Такса, инициирана от търговеца срещу предварително съхранени идентификационни данни, без присъствието на картодържателя.
Свързани ръководства.
Готови ли сте да подобрите настройките за плащанията си?
Разкажете ни за вашия бизнес. Ние ще ви свържем с правилните банки акцептанти и правилния маршрут, обикновено в рамките на една седмица.