Токенизирани плащания
Защитете чувствителните данни на картодържателите и опростете съответствието с PCI с токенизираните плащания на Cardflo. Чрез замяна на действителните номера на карти с уникални, нечувствителни токени, можете да обработвате транзакции сигурно, без да съхранявате необработени данни за карти.
Това намалява обхвата на PCI DSS и подобрява сигурността на данните.
- Категория
- Сигурност
- Възможности
- 10
- Налично на
- Всички планове
Общ преглед
Токенизацията е процес на сигурност, който замества чувствителните основни номера на сметки (PAN) с нечувствителни цифрови идентификатори, известни като токени.
В рамките на платежния стек този механизъм обикновено се осъществява на ниво шлюз или PSP, като гарантира, че необработените данни на картодържателите не се съхраняват на сървъра на търговеца.
Чрез отделяне на идентификатора на транзакцията от оригиналните финансови идентификационни данни, бизнесите могат да намалят обхвата на съответствието си с PCI-DSS до по-прости въпросници за самооценка.
Тези токени могат да бъдат ограничени до конкретни търговци, типове устройства или класове транзакции, осигурявайки детайлен слой на контрол, който липсва на обикновените PAN данни. Когато се инициира транзакция, токенът се предава на хранилището, където съответният PAN се извлича за оторизация с приобретателя и издателя.
Тази архитектура гарантира, че дори в случай на пробив в база данни, заснетите данни остават безполезни за неоторизирани страни, тъй като токените не могат да бъдат обратно проектирани, за да разкрият оригиналните данни на картата.
Как работи
Заснемане и съхранение на данни
Когато клиент въведе данните на картата си по време на плащане, чувствителните данни се изпращат директно до сигурно хранилище. Системата валидира идентификационните данни и съхранява PAN зад множество слоеве криптиране.
Създава се произволно генериран буквено-цифров низ или токен, който да представлява този конкретен запис на карта за всички бъдещи обработки.
Издаване и картографиране на токени
Хранилището връща токена на търговеца или оркестратора, който го съхранява в базата си данни вместо необработения номер на картата.
Този токен действа като показалец, позволявайки на бизнеса да реферира метода на плащане за повтарящо се таксуване или покупки с едно кликване, без да обработва директно забранени чувствителни данни за удостоверяване.
Оторизация и маршрутизация
За последващи транзакции търговецът изпраща токена до платежния шлюз. Шлюзът или доставчикът на хранилище заменя токена с оригиналния PAN и препраща заявката до приобретателя.
След това издателят оторизира транзакцията въз основа на декриптираните идентификационни данни, поддържайки стандартни потоци на оторизация, без да компрометира сигурността.
Управление на жизнения цикъл на токена
Токените могат да бъдат актуализирани, спрени или изтрити, без да засягат основната сметка на картата. Ако токен, специфичен за търговеца, бъде компрометиран, той не може да бъде използван в други бизнеси.
Освен това, услугите за актуализиране на акаунти могат да обновяват съхранените PAN данни, като същевременно поддържат токена, държан от търговеца, статичен, осигурявайки непрекъснати цикли на таксуване.
Защо е важно
Намален регулаторен обхват
Съхраняването на необработени данни от карти налага значителна тежест върху бизнеса, изисквайки строги одити на PCI-DSS и скъпа инфраструктура за сигурност. Токенизацията премества съхранението на чувствителни данни към специализирана трета страна, което позволява на търговеца да се класира за намалени изисквания за съответствие.
Това намалява оперативните разходи, свързани с годишните оценки на сигурността, и минимизира вътрешните технически разходи, необходими за поддържане на оторизирана среда.
Повишена устойчивост на пробиви на данни
Ако база данни на търговец бъде компрометирана, традиционните данни от карти веднага могат да бъдат използвани за измамни транзакции. Токените обаче са архитектурно различни и обикновено са ограничени до конкретния търговец, който ги е поискал.
Откраднат токен е безполезен за вторична страна, тъй като платежният процесор ще уважи токена само когато е представен от оторизирания търговец, ефективно неутрализирайки въздействието на кражбата на данни върху картодържателите.
Намаляване на триенето за клиентите
Съвременната търговия разчита на удобството на връщащите се клиенти, като плащания с едно кликване и абонаментни модели. Токенизацията улеснява тези преживявания, като позволява на търговците да съхраняват безопасно представителен идентификатор на метода на плащане.
Това елиминира необходимостта клиентът да въвежда отново данните на картата си за всяка покупка, което доказано намалява процента на изоставени колички и поддържа по-висока стойност на живота на клиента чрез опростени подновявания.
Приложения
Абонамент и повтарящо се таксуване
Доставчиците на SaaS и абонаментните услуги използват токени за иницииране на планирани транзакции, инициирани от търговеца. Това осигурява непрекъснатост на плащанията, без да се съхраняват чувствителни PAN на собствените им сървъри, което позволява автоматизирани месечни цикли на таксуване.
Електронна търговия с едно кликване
Търговците на дребно съхраняват токени, за да позволят на връщащите се клиенти да завършват покупки бързо. Чрез рефериране на предишно използвана карта чрез нейния токен, процесът на плащане включва по-малко полета, намалявайки триенето както на мобилни, така и на настолни платформи.
Многоканални търговски среди
Търговците, работещи както с физически, така и с онлайн магазини, използват токенизация за проследяване на поведението на клиентите по канали. Един токен може да представлява самоличността на клиента, което позволява унифицирани възстановявания и интеграция на програми за лоялност, независимо от точката на продажба.
Разпределение на плащанията на пазара
Платформите, улесняващи плащанията между купувачи и продавачи, използват токени за управление на сложни потоци от средства. Това позволява на платформата да съхранява идентификационни данни за плащане за купувача и да оторизира изплащания на множество продавачи, без изобщо да излага необработени PAN данни.
В числа
Типично намаляване на броя на контролите за сигурност, които търговецът трябва да управлява при приемане на стратегия за токенизация, базирана на хранилище, в сравнение със съхраняването на необработени PAN данни.
Наблюдавани индустриални диапазони за подобрения на оторизацията при използване на мрежови токени, тъй като издателите често имат по-голямо доверие в тези защитени идентификационни данни.
Относителното финансово въздействие от пробив на база данни, когато са изложени само токени, тъй като липсата на използваеми данни от карти предотвратява преки измамни загуби и свързана отговорност.
Свързани термини
Talk to our team about a live rollout on your acquiring stack.
Какво получавате с Токенизирани плащания
- Минимизирайте обхвата на одита на PCI-DSS, като премахнете чувствителните данни на картодържателите от вътрешните търговски среди.
- Елиминирайте изискването за съхраняване на шестнадесетцифрени основни номера на сметки в структурите на локалните бази данни.
- Улеснете инициираните от търговеца транзакции за автоматизирани подновявания на абонаменти и повтарящи се цикли на таксуване.
- Поддържайте изживяване за плащане с едно кликване за връщащи се клиенти, за да намалите триенето при плащане при касата.
- Защитете се срещу измамно използване на откраднати данни, като използвате специфични за търговеца необратими цифрови токени.
- Активирайте интеграция за актуализиране на акаунти, за да поддържате валидни идентификационни данни за плащане без ръчна намеса на клиента.
- Осигурете сигурен метод за обработка на възстановявания и частични удържания, използвайки исторически референции на токени.
- Защитете профилите за плащане на клиенти за използване в множество платформи и различни цифрови канали за продажби.
- Поддържайте високи нива на оторизация, като гарантирате, че токените остават синхронизирани с основните данни на издателя.
- Намалете риска от тежки глоби и репутационни щети, произтичащи от потенциални пробиви на данни.
A short scoping call, then a written plan for your MIDs.
Въпроси относно Токенизирани плащания
Как токенизацията се различава от стандартното криптиране на данни?
Криптирането използва алгоритъм за преобразуване на данни от карта в шифрован текст, който теоретично може да бъде декриптиран, ако ключът бъде откраднат. Токенизацията заменя данните изцяло с рандомизиран идентификатор, който няма математическа връзка с оригиналния PAN.
Токенът не може да бъде обърнат; той може да бъде върнат към оригиналните данни само от оторизирания доставчик на хранилище. Това прави токенизацията като цяло по-сигурна за съхранение от търговци, тъй като вътрешната среда никога не съдържа ключовете за декриптиране или самите необработени данни.
Може ли токен да бъде използван от друг търговец, ако бъде откраднат?
Обикновено не. Повечето токени за плащане са специфични за търговеца.
Когато PSP или шлюз издава токен, той е криптографски свързан с конкретен идентификатор на търговец (MID). Ако този токен бъде прихванат и представен от друг търговец или субект, хранилището или шлюзът ще откажат транзакцията.
Тази ограничена полезност е основна причина, поради която токенизацията е предпочитана пред криптирането за осигуряване на съхранени идентификационни данни в разпределена търговска екосистема.
Как токенизацията влияе на моите изисквания за съответствие с PCI-DSS?
Токенизацията значително намалява броя на контролите за сигурност, които даден бизнес трябва да приложи. Като гарантира, че никакви необработени данни от карти не достигат до мрежата на търговеца, бизнесът може да се класира за опростен въпросник за самооценка, като SAQ A или SAQ A-EP.
Тези версии имат много по-малко изисквания от пълния SAQ D, който е задължителен за бизнеси, които съхраняват, обработват или предават необработени основни номера на сметки, което води до по-ниски разходи и по-рядки технически одити.
Ще повлияе ли използването на токени на нивата ми на оторизация на транзакции?
В повечето случаи токенизацията има неутрален или положителен ефект върху нивата на оторизация. Когато се използват мрежови токени, които се издават от картовите схеми като Visa или Mastercard, издателите могат да видят, че транзакцията е подкрепена от сигурен идентификационен номер.
Това често води до по-високи резултати за доверие и по-малко фалшиви откази в сравнение с традиционните PAN, които могат да бъдат маркирани, ако съхранените данни са остарели или ако транзакцията изглежда подозрителна.
Токенът същото ли е като токен за цифров портфейл като Apple Pay?
Въпреки че и двете използват концепцията за токенизация, те служат за различни цели. Цифровите портфейли използват мрежови токени, които се съхраняват на устройство и са специфични за хардуера.
Търговските токени или токените за хранилище се генерират от шлюз или PSP, за да се съхраняват в база данни на търговеца за повтаряща се употреба.
И двата метода имат за цел да защитят PAN, но търговският токен е предназначен за постоянство от страна на сървъра, докато токенът за портфейл е предназначен за сигурност на транзакциите от страна на потребителя.
Какво се случва с токените, ако сменя доставчика си на платежни услуги?
Това зависи от това дали използвате хранилище, специфично за доставчика, или независимо хранилище. Ако токените са собственост на един PSP, мигрирането им към нов доставчик може да бъде сложно и изисква сигурен процес на експорт и импорт на данни.
Използването на независима услуга за токенизация или слой за оркестрация може да осигури по-голяма гъвкавост, позволявайки ви да се движите между различни приобретатели и шлюзове, без да е необходимо да токенизирате отново цялата си клиентска база данни.
Работи ли токенизацията с международни методи за плащане и APM?
Токенизацията се използва предимно за схеми за кредитни и дебитни карти, но концепцията все повече се прилага към алтернативни методи за плащане (APM) и отворено банкиране.
Много съвременни шлюзове предоставят възможност за токенизиране на мандати за директен дебит или идентификатори на цифрови портфейли, което позволява последователно управление на различни видове плащания в системата за клиентски профили на търговеца.
Готови ли сте за скорост?
Разкажете ни за вашия бизнес. Ние ще ви свържем с правилните банки акцептанти и правилния маршрут, обикновено в рамките на една седмица.