Co je Úschovna karet?
Úložiště tokenizovaných údajů o kartách v souladu s PCI DSS, které umožňuje obchodníkovi znovu účtovat kartu bez držení PAN.
Úschovna karet je bezpečný systém v souladu s PCI DSS používaný k ukládání citlivých údajů o platebních kartách, primárně primárního čísla účtu (PAN).
Jeho hlavní funkcí je snížit zátěž obchodníka v oblasti dodržování předpisů tím, že přenese ukládání těchto nebezpečných dat na certifikovanou třetí stranu, jako je platební brána nebo PSP. Namísto držení PAN obchodník ukládá necitlivou náhradní hodnotu známou jako token.
Tento token funguje jako reference, což obchodníkovi umožňuje iniciovat budoucí platby, aniž by se kdy dotkl nezpracovaných informací o držiteli karty, čímž se výrazně snižují jeho povinnosti PCI DSS.
Když zákazník provede svůj první nákup, údaje o jeho kartě jsou odeslány přímo do zabezpečeného prostředí poskytovatele úschovny. Úschovna pak vrátí obchodníkovi jedinečný token, který je uložen proti profilu zákazníka.
Pro následné transakce, jako je opakované předplatné nebo platba jedním kliknutím, obchodník jednoduše odešle tento token a částku transakce poskytovateli platby. Poskytovatel použije token k načtení bezpečně uloženého PAN a zpracování platby.
Běžným bodem zmatku je přenositelnost těchto tokenů. Většina základních tokenů úschovny, často nazývaných tokeny brány nebo PSP, je proprietární.
To znamená, že jsou vázány na konkrétního poskytovatele platby, což vytváří závislost a ztěžuje obchodníkovi změnu poskytovatele bez složitého a nákladného projektu migrace dat.
Praktický příklad
Zákazník se přihlásí k měsíčnímu předplatnému SaaS produktu za 29,99 £. Během počáteční registrace zadá údaje o své kartě Mastercard do formuláře pro platbu.
Tyto údaje jsou přenášeny přímo do úschovny Cardflo, která je v souladu s PCI DSS úrovně 1, a zcela obchází servery obchodníka SaaS. Úschovna Cardflo uloží PAN a vrátí obchodníkovi jedinečný, necitlivý token, například `Cflo_tok_xyz789`.
Obchodník uloží tento token do své databáze, spojený s předplatným zákazníka. O měsíc později systém fakturace obchodníka automaticky iniciuje transakci iniciovanou obchodníkem (MIT) odesláním požadavku na API Cardflo obsahujícího token `Cflo_tok_xyz789` a částku poplatku 29,99 £.
Cardflo načte podkladové údaje o kartě a zpracuje platbu, aniž by kdykoli vystavila PAN obchodníkovi. Tento proces výrazně snižuje rozsah PCI obchodníka a riziko narušení dat.
Poznámky karetních asociací
Koncept úschovny je technologie specifická pro poskytovatele, nikoli přímý produkt karetního schématu. Moderní úschovny jsou však hluboce integrovány se službami schématu.
Jak Visa (prostřednictvím své služby Visa Token Service, VTS), tak Mastercard (Mastercard Digital Enablement Service, MDES) silně prosazují používání síťových tokenů.
Pokročilé úschovny, jako jsou ty poskytované společností Cardflo, se integrují s VTS a MDES za účelem poskytování těchto tokenů nativních pro schéma namísto, nebo navíc k, proprietárním tokenům brány.
Zatímco základní úschovna ukládá statický PAN, úschovna připojená ke službám tokenizace schématu může zajistit, že platební údaje zůstanou „živé“, i když se fyzická karta ztratí nebo vyprší, protože schémata a vydavatelé aktualizují token na pozadí.
To je významná výhoda oproti úschovnám, které podporují pouze proprietární tokeny.
Proč je to důležité pro obchodníky
Implementace úschovny karet je zásadní pro každého obchodníka, který zpracovává transakce s kartou v souboru, jako jsou předplatitelské podniky nebo e-commerce obchody s platbou jedním kliknutím.
Primární výhodou je drastické snížení rozsahu dodržování PCI DSS, což šetří značný čas a peníze na bezpečnostní audity a infrastrukturu.
Tím, že se zabrání tomu, aby se nezpracovaná data karet kdykoli dostala do systémů obchodníka, úschovna také minimalizuje reputační a finanční škody způsobené potenciálním narušením dat. Obchodníci si však musí být vědomi závislosti na dodavateli spojené s proprietárními tokeny úschovny.
Používání poskytovatele, jako je Cardflo, jehož úschovna podporuje síťové tokeny a nabízí služby bezpečné migrace tokenů, poskytuje větší flexibilitu a umožňuje obchodníkům směrovat transakce prostřednictvím více akceptantů, optimalizovat náklady a míru schválení, aniž by byli vázáni na jedinou bránu.
Časté dotazy
Jak používání úschovny ovlivňuje rozsah PCI DSS obchodníka?
Využití úschovny třetí strany může výrazně snížit požadavky na audit PCI DSS obchodníka, což mu často umožňuje kvalifikovat se pro jednodušší dotazníky pro samoohodnocení, jako je SAQ A nebo SAQ A-EP.
Protože obchodník nikdy neukládá, nezpracovává ani nepřenáší nezpracované PAN na svých vlastních serverech, bezpečnostní povinnosti pro jeho interní infrastrukturu jsou výrazně sníženy.
Jaký je rozdíl mezi úschovnou specifickou pro PSP a řešením nezávislým na úschovně?
Úschovna specifická pro PSP váže tokeny k jedinému akceptantovi, což může vést k závislosti na dodavateli, protože tyto tokeny nemusí být přenositelné na jinou bránu.
Úschovna nezávislá na úschovně nebo nezávislý poskytovatel úschovny umožňuje obchodníkovi ukládat data centrálně a směrovat transakce k více akceptantům, což poskytuje větší flexibilitu a redundanci v jejich platebním zásobníku.
Jaký je rozdíl mezi tokenem úschovny a síťovým tokenem?
Token úschovny (nebo token brány) je proprietární identifikátor vytvořený konkrétním poskytovatelem plateb. Je rozpoznán pouze v ekosystému tohoto poskytovatele, což vede k závislosti na dodavateli.
Síťový token je vytvořen samotnými karetními schématy (Visa, Mastercard) a je interoperabilní napříč jakýmkoli poskytovatelem plateb, který je integrován se službou tokenů schématu. Síťové tokeny jsou obecně lepší, protože jsou automaticky aktualizovány vydavatelem, což snižuje zamítnutí z důvodu vypršení platnosti nebo opětovného vydání karet.
Jsem plně v souladu s PCI, pokud používám úschovnu?
Používání úschovny výrazně snižuje rozsah dodržování PCI DSS, ale zcela ho neodstraňuje. Stále jste povinni vyplnit dotazník pro samoohodnocení (SAQ), obvykle SAQ A, což je nejjednodušší forma.
Tím potvrzujete, že jste veškeré funkce dat držitele karty outsourcovali na vyhovující třetí stranu. Vaše vlastní bezpečnostní postupy pro váš web a systémy jsou stále důležité.
Mohu přesunout své uložené karty z jednoho PSP na jiný?
Ano, ale může to být složitý a nákladný proces. Vyžaduje bezpečný přenos dat mezi starým a novým poskytovatelem v souladu s PCI, zahrnující koordinaci a poplatky od obou stran.
Abyste se vyhnuli této závislosti, je lepší od začátku používat poskytovatele, který podporuje síťové tokeny, protože ty jsou přenositelné. Alternativně si vyberte poskytovatele s jasnou a spravedlivou politikou ohledně migrace dat.
Pomáhá úschovna s mírou autorizace?
Samotná základní úschovna přímo nezlepšuje míru autorizace; je to primárně nástroj pro bezpečnost a shodu s předpisy. Nicméně moderní úschovna, která je integrována se službami, jako je síťová tokenizace a Account Updater, výrazně zlepší míru schválení.
Tyto integrované služby zajišťují, že uložené údaje zůstanou aktuální, čímž se zabrání zamítnutí z důvodu vypršení platnosti nebo opětovného vydání karet a sníží se nedobrovolné odchody zákazníků.
Je úschovna pouze pro platby předplatného?
Ne, zatímco úschovny jsou nezbytné pro předplatné a opakovanou fakturaci, jsou také široce používány obchodníky e-commerce k nabídce funkcí „karta v souboru“ nebo „platba jedním kliknutím“.
Toto pohodlí dramaticky urychluje proces nákupu pro vracející se zákazníky, což může vést k vyšší míře konverze a zvýšené loajalitě zákazníků. Každý obchodník, který chce uložit kartu zákazníka pro budoucí použití, potřebuje úschovnu.
See how Úschovna karet plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Související pojmy
Token vydaný schématem, který nahrazuje PAN end-to-end a je automaticky aktualizován při opětovném vydání podkladové karty.
Nahrazení citlivých karetních dat nesenzitivní náhradní hodnotou, kterou lze uložit a znovu použít bez rozsahu PCI.
Standard zabezpečení dat v odvětví platebních karet (Payment Card Industry Data Security Standard), rámec pro zpracování dat držitelů karet nařízený karetními schématy.
Poplatek iniciovaný obchodníkem na základě dříve uložených údajů, bez přítomnosti držitele karty.
Související průvodci.
Jste připraveni zlepšit si nastavení plateb?
Řekněte nám o svém podnikání. Spojíme vás s těmi správnými akvizičními partnery a správnou cestou, obvykle do týdne.