Tokenizované platby
Chraňte citlivá data držitelů karet a zjednodušte soulad s PCI pomocí tokenizovaných plateb Cardflo. Nahrazením skutečných čísel karet jedinečnými, necitlivými tokeny můžete bezpečně zpracovávat transakce bez ukládání nezpracovaných dat karet.
To snižuje rozsah vašeho PCI DSS a zvyšuje zabezpečení dat.
- Kategorie
- Zabezpečení
- Schopnosti
- 10
- Dostupné na
- Všechny plány
Přehled
Tokenizace je bezpečnostní proces, který nahrazuje citlivá primární čísla účtů (PAN) necitlivými digitálními identifikátory známými jako tokeny. V rámci platebního zásobníku se tento mechanismus obvykle odehrává na úrovni brány nebo PSP, což zajišťuje, že nezpracovaná data držitelů karet nejsou uložena na serveru obchodníka.
Oddělením identifikátoru transakce od původních finančních údajů mohou podniky snížit rozsah svého souladu s PCI-DSS na jednodušší dotazníky pro sebehodnocení. Tyto tokeny mohou být omezeny na konkrétní obchodníky, typy zařízení nebo třídy transakcí, což poskytuje granulární vrstvu kontroly, která běžným datům PAN chybí.
Když je transakce iniciována, token je přenesen do trezoru, kde je odpovídající PAN načten pro autorizaci s akceptantem a vydavatelem.
Tato architektura zajišťuje, že i v případě narušení databáze zůstanou zachycená data pro neoprávněné strany nepoužitelná, protože tokeny nelze zpětně dešifrovat, aby odhalily původní údaje o kartě.
Jak to funguje
Získávání dat a ukládání do trezoru
Když zákazník zadá údaje o své kartě během platby, citlivá data jsou odeslána přímo do zabezpečeného trezoru. Systém ověří údaje a uloží PAN za více vrstev šifrování.
Je vytvořen náhodně generovaný alfanumerický řetězec, neboli token, který reprezentuje tento konkrétní záznam karty pro veškeré budoucí zpracování.
Vydávání a mapování tokenů
Trezor vrátí token obchodníkovi nebo orchestrátorovi, který jej uloží do své databáze namísto nezpracovaného čísla karty. Tento token funguje jako ukazatel, který umožňuje podniku odkazovat na platební metodu pro opakované fakturace nebo nákupy jedním kliknutím, aniž by přímo manipuloval se zakázanými citlivými ověřovacími daty.
Autorizace a směrování
Pro následné transakce obchodník odešle token platební bráně. Brána nebo poskytovatel trezoru vymění token za původní PAN a předá požadavek akceptantovi.
Vydavatel poté autorizuje transakci na základě dešifrovaných pověření, čímž udržuje standardní autorizační toky bez ohrožení bezpečnosti.
Správa životního cyklu tokenů
Tokeny lze aktualizovat, pozastavit nebo smazat, aniž by to ovlivnilo podkladový účet karty. Pokud je token specifický pro obchodníka kompromitován, nelze jej použít u jiných podniků.
Kromě toho mohou služby aktualizátoru účtu obnovit uložená data PAN, zatímco token držený obchodníkem zůstane statický, což zajišťuje nepřetržité fakturační cykly.
Proč na tom záleží
Snížený regulační rozsah
Ukládání nezpracovaných dat karet představuje pro podnik značnou zátěž, vyžadující přísné audity PCI-DSS a nákladnou bezpečnostní infrastrukturu. Tokenizace přesouvá ukládání citlivých dat na specializovanou třetí stranu, což umožňuje obchodníkovi kvalifikovat se pro snížené požadavky na soulad.
To snižuje provozní náklady spojené s ročními bezpečnostními posouzeními a minimalizuje interní technickou režii potřebnou k udržení autorizovaného prostředí.
Zvýšená odolnost proti narušení dat
Pokud je databáze obchodníka kompromitována, tradiční data karet jsou okamžitě zneužitelná pro podvodné transakce. Tokeny jsou však architektonicky odlišné a obvykle omezené na konkrétního obchodníka, který je požadoval.
Ukradený token je pro sekundární stranu bezcenný, protože zpracovatel plateb token uzná pouze tehdy, je-li předložen autorizovaným obchodníkem, čímž se účinně neutralizuje dopad krádeže dat na držitele karet.
Snížení tření pro zákazníky
Moderní obchod spoléhá na pohodlí vracejících se zákazníků, jako jsou platby jedním kliknutím a modely předplatného. Tokenizace usnadňuje tyto zážitky tím, že umožňuje obchodníkům bezpečně ukládat reprezentativní identifikátor platební metody.
To eliminuje potřebu, aby zákazník znovu zadával údaje o své kartě pro každý nákup, což prokazatelně snižuje míru opuštění košíku a podporuje vyšší celoživotní hodnotu zákazníka prostřednictvím zjednodušených obnovení.
Případy použití
Předplatné a opakované fakturace
Poskytovatelé SaaS a služby předplatného používají tokeny k iniciování plánovaných transakcí iniciovaných obchodníkem. To zajišťuje kontinuitu plateb bez ukládání citlivých PAN na jejich vlastních serverech, což umožňuje automatické měsíční fakturační cykly.
E-commerce platba jedním kliknutím
Maloobchodníci ukládají tokeny, aby umožnili vracejícím se zákazníkům rychle dokončit nákupy. Odkazováním na dříve použitou kartu prostřednictvím jejího tokenu proces platby zahrnuje méně polí, což snižuje tření na mobilních i desktopových platformách.
Omnikanálová maloobchodní prostředí
Obchodníci provozující kamenné i online obchody používají tokenizaci ke sledování chování zákazníků napříč kanály. Jeden token může reprezentovat identitu zákazníka, což umožňuje jednotné refundace a integraci věrnostních programů bez ohledu na prodejní místo.
Distribuce plateb na tržišti
Platformy usnadňující platby mezi kupujícími a prodávajícími používají tokeny ke správě složitých toků finančních prostředků. To umožňuje platformě držet platební údaje pro kupujícího a autorizovat výplaty více prodejcům, aniž by kdykoli odhalila nezpracovaná data PAN.
V číslech
Typické snížení počtu bezpečnostních kontrol, které musí obchodník spravovat při přijetí strategie tokenizace založené na trezoru ve srovnání s ukládáním nezpracovaných dat PAN.
Pozorované průmyslové rozsahy pro zlepšení autorizace při použití síťových tokenů, protože vydavatelé často vkládají vyšší důvěru do těchto zabezpečených pověření.
Relativní finanční dopad narušení databáze, když jsou vystaveny pouze tokeny, protože nedostatek použitelných dat karet zabraňuje přímým podvodným ztrátám a související odpovědnosti.
Související pojmy
Talk to our team about a live rollout on your acquiring stack.
Co získáte s Tokenizované platby
- Minimalizujte rozsah auditu PCI-DSS odstraněním citlivých dat držitelů karet z interních obchodních prostředí.
- Eliminujte požadavek na ukládání šestnáctimístných primárních čísel účtů v rámci lokálních databázových struktur.
- Usnadněte obchodníkem iniciované transakce pro automatické obnovení předplatného a opakující se fakturační cykly.
- Podporujte zážitky z platby jedním kliknutím pro vracející se zákazníky, abyste snížili tření při platbě u pokladny.
- Chraňte se před podvodným použitím odcizených dat pomocí obchodně specifických neobnovitelných digitálních tokenů.
- Povolte integraci aktualizátoru účtu pro udržení platných platebních údajů bez ručního zásahu zákazníka.
- Poskytněte bezpečnou metodu pro zpracování refundací a částečných zachycení pomocí historických odkazů na tokeny.
- Zabezpečte platební profily zákazníků pro použití napříč více platformami a různými digitálními prodejními kanály.
- Udržujte vysoké míry autorizace tím, že zajistíte, aby tokeny zůstaly synchronizovány s podkladovými daty vydavatele.
- Snižte riziko vysokých pokut a poškození pověsti vyplývajícího z potenciálních úniků dat.
A short scoping call, then a written plan for your MIDs.
Dotazy ohledně Tokenizované platby
Jak se tokenizace liší od standardního šifrování dat?
Šifrování používá algoritmus k transformaci dat karty na šifrovaný text, který lze teoreticky dešifrovat, pokud je klíč odcizen. Tokenizace nahrazuje data zcela náhodným identifikátorem, který nemá žádný matematický vztah k původnímu PAN.
Token nelze obrátit; lze jej pouze zpětně mapovat na původní data autorizovaným poskytovatelem trezoru. Díky tomu je tokenizace obecně bezpečnější pro obchodní úložiště, protože interní prostředí nikdy neobsahuje dešifrovací klíče ani samotná nezpracovaná data.
Může být token použit jiným obchodníkem, pokud je odcizen?
Obvykle ne. Většina platebních tokenů je specifická pro obchodníka.
Když PSP nebo brána vydá token, je kryptograficky propojen s konkrétním ID obchodníka (MID). Pokud je tento token zachycen a předložen jiným obchodníkem nebo entitou, trezor nebo brána transakci odmítne.
Tato omezená užitečnost je hlavním důvodem, proč je tokenizace upřednostňována před šifrováním pro zabezpečení uložených pověření v distribuovaném obchodním ekosystému.
Jak tokenizace ovlivňuje mé požadavky na soulad s PCI-DSS?
Tokenizace významně snižuje množství bezpečnostních kontrol, které musí podnik implementovat. Zajištěním, že se žádná nezpracovaná data karty nedostanou do sítě obchodníka, se podnik může kvalifikovat pro zjednodušený dotazník pro sebehodnocení, jako je SAQ A nebo SAQ A-EP.
Tyto verze mají mnohem méně požadavků než plný SAQ D, který je povinný pro podniky, které ukládají, zpracovávají nebo přenášejí nezpracovaná primární čísla účtů, což vede k nižším nákladům a méně častým technickým auditům.
Ovlivní použití tokenů mé míry autorizace transakcí?
Ve většině případů má tokenizace neutrální nebo pozitivní vliv na míry autorizace. Při použití síťových tokenů, které jsou vydávány karetními schématy jako Visa nebo Mastercard, mohou vydavatelé vidět, že transakce je podpořena bezpečným pověřením.
To často vede k vyšším skóre důvěry a méně falešným odmítnutím ve srovnání s tradičními PAN, které mohou být označeny, pokud jsou uložená data zastaralá nebo pokud transakce vypadá podezřele.
Je token stejný jako token digitální peněženky, například Apple Pay?
Zatímco oba používají koncept tokenizace, slouží různým účelům. Digitální peněženky používají síťové tokeny, které jsou uloženy na zařízení a jsou specifické pro hardware.
Obchodní tokeny, nebo trezorové tokeny, jsou generovány bránou nebo PSP, aby byly uloženy v databázi obchodníka pro opakované použití. Obě metody mají za cíl chránit PAN, ale obchodní token je navržen pro serverovou perzistenci, zatímco token peněženky je navržen pro bezpečnost transakcí na straně spotřebitele.
Co se stane s tokeny, když změním svého poskytovatele platebních služeb?
To závisí na tom, zda používáte trezor specifický pro poskytovatele nebo nezávislý trezor. Pokud jsou tokeny proprietární pro jednoho PSP, migrace na nového poskytovatele může být složitá a vyžaduje bezpečný proces exportu a importu dat.
Použití nezávislé tokenizační služby nebo orchestrace může poskytnout větší flexibilitu, což vám umožní přesouvat se mezi různými akceptanty a bránami, aniž byste museli znovu tokenizovat celou databázi zákazníků.
Funguje tokenizace s mezinárodními platebními metodami a APM?
Tokenizace se převážně používá pro schémata kreditních a debetních karet, ale koncept se stále více uplatňuje i na alternativní platební metody (APM) a otevřené bankovnictví.
Mnoho moderních bran poskytuje možnost tokenizovat mandáty pro přímé inkaso nebo identifikátory digitálních peněženek, což umožňuje konzistentní správu napříč různými typy plateb v rámci systému zákaznických profilů obchodníka.
Související funkce.
Připraveni na rychlost?
Řekněte nám o svém podnikání. Spojíme vás s těmi správnými akvizičními partnery a správnou cestou, obvykle do týdne.