Che cos'è Vault della carta?
Un archivio conforme a PCI DSS di credenziali di carta tokenizzate che consente a un commerciante di addebitare nuovamente una carta senza detenere il PAN.
Un vault della carta è un sistema sicuro e conforme a PCI DSS utilizzato per archiviare dettagli sensibili delle carte di pagamento, principalmente il Numero di Conto Primario (PAN).
La sua funzione principale è ridurre l'onere di conformità di un commerciante scaricando l'archiviazione di questi dati pericolosi a una terza parte certificata, come un gateway di pagamento o un PSP.
Invece di detenere il PAN, il commerciante archivia un valore surrogato non sensibile noto come token.
Questo token funge da riferimento, consentendo al commerciante di avviare pagamenti futuri senza mai toccare le informazioni grezze del titolare della carta, riducendo così significativamente i suoi obblighi PCI DSS.
Quando un cliente effettua il suo primo acquisto, i dettagli della sua carta vengono inviati direttamente all'ambiente sicuro del fornitore del vault. Il vault restituisce quindi un token unico al commerciante, che viene salvato nel profilo del cliente.
Per le transazioni successive, come per un abbonamento ricorrente o un Checkout con un clic, il commerciante invia semplicemente questo token e l'importo della transazione al fornitore di pagamento.
Il fornitore utilizza il token per recuperare il PAN archiviato in modo sicuro ed elaborare il pagamento. Un punto comune di confusione è la portabilità di questi token.
La maggior parte dei token di vault di base, spesso chiamati token di gateway o PSP, sono proprietari.
Ciò significa che sono legati a un fornitore di pagamento specifico, creando un lock-in e rendendo difficile per un commerciante cambiare fornitore senza intraprendere un progetto di migrazione dei dati complesso e costoso.
Esempio pratico
Un cliente si iscrive a un abbonamento mensile di £29,99 per un prodotto SaaS. Durante l'iscrizione iniziale, inserisce i dettagli della sua Mastercard nel modulo di Checkout.
Questi dettagli vengono trasmessi direttamente al vault conforme a PCI DSS Livello 1 di Cardflo, bypassando completamente i server del commerciante SaaS. Il vault di Cardflo archivia il PAN e restituisce un token unico e non sensibile, ad esempio, `Cflo_tok_xyz789`, al commerciante.
Il commerciante archivia questo token nel suo database, associato all'abbonamento del cliente. Un mese dopo, il sistema di fatturazione del commerciante avvia automaticamente una Transazione Iniziata dal Commerciante (MIT) inviando una richiesta all'API di Cardflo contenente il token `Cflo_tok_xyz789` e l'importo dell'addebito di £29,99.
Cardflo recupera i dettagli della carta sottostanti ed elabora il pagamento, senza mai esporre il PAN al commerciante. Questo processo riduce notevolmente l'ambito PCI del commerciante e il rischio di una violazione dei dati.
Note dei circuiti
Il concetto di vault è una tecnologia specifica del fornitore, non un prodotto diretto del circuito di carte. Tuttavia, i vault moderni sono profondamente integrati con i servizi del circuito.
Sia Visa (attraverso il suo Visa Token Service, VTS) che Mastercard (Mastercard Digital Enablement Service, MDES) promuovono fortemente l'uso dei token di rete.
I vault avanzati, come quelli forniti da Cardflo, si integrano con VTS e MDES per fornire questi token nativi del circuito invece di, o in aggiunta a, token di gateway proprietari.
Mentre un vault di base archivia il PAN statico, uno collegato ai servizi di tokenizzazione del circuito può garantire che la credenziale di pagamento rimanga 'attiva' anche se la carta fisica viene persa o scade,
poiché i circuiti e gli emittenti aggiornano il token in background. Questo è un vantaggio significativo rispetto ai vault che supportano solo token proprietari.
Perché è importante per gli esercenti
L'implementazione di un vault della carta è fondamentale per qualsiasi commerciante che gestisce transazioni con carta in archivio, come le attività in abbonamento o i negozi di e-commerce con Checkout con un clic.
Il vantaggio principale è la drastica riduzione dell'ambito di conformità PCI DSS, che consente di risparmiare tempo e denaro significativi sugli audit di sicurezza e sull'infrastruttura.
Impedendo che i dati grezzi della carta tocchino mai i sistemi del commerciante, un vault minimizza anche i danni reputazionali e finanziari di una potenziale violazione dei dati. Tuttavia, i commercianti devono essere consapevoli del blocco del fornitore associato ai token di vault proprietari.
L'utilizzo di un fornitore come Cardflo, il cui vault supporta i token di rete e offre servizi di migrazione sicura dei token, offre maggiore flessibilità e consente ai commercianti di instradare le transazioni attraverso più acquirenti,
ottimizzando i costi e i tassi di approvazione senza essere legati a un singolo gateway.
Domande frequenti
In che modo l'utilizzo di un vault influisce sull'ambito PCI DSS di un commerciante?
L'utilizzo di un vault di terze parti può ridurre significativamente i requisiti di audit PCI DSS di un commerciante, consentendo spesso di qualificarsi per questionari di autovalutazione più semplici come SAQ A o SAQ A-EP.
Poiché il commerciante non archivia, elabora o trasmette mai PAN grezzi sui propri server, gli obblighi di sicurezza per la sua infrastruttura interna sono notevolmente ridotti.
Qual è la differenza tra un vault specifico per PSP e una soluzione agnostica al vault?
Un vault specifico per PSP lega i token a un singolo acquirente, il che può portare a un blocco del fornitore perché quei token potrebbero non essere portabili a un gateway diverso.
Un fornitore di vault agnostico o indipendente consente al commerciante di archiviare i dati centralmente e instradare le transazioni a più acquirenti, fornendo maggiore flessibilità e ridondanza nel loro stack di pagamenti.
Qual è la differenza tra un token di vault e un token di rete?
Un token di vault (o token di gateway) è un identificatore proprietario creato da un fornitore di pagamento specifico. È riconosciuto solo all'interno dell'ecosistema di quel fornitore, portando a un blocco del fornitore.
Un token di rete è creato dai circuiti di carte (Visa, Mastercard) stessi ed è interoperabile tra qualsiasi fornitore di pagamento integrato con il servizio di token del circuito.
I token di rete sono generalmente superiori in quanto vengono aggiornati automaticamente dall'emittente, riducendo i rifiuti dovuti a carte scadute.
L'utilizzo di un vault mi rende pienamente conforme a PCI?
L'utilizzo di un vault riduce significativamente l'ambito di conformità PCI DSS, ma non lo elimina completamente. È comunque necessario compilare un Questionario di Autovalutazione (SAQ), tipicamente SAQ A, che è la forma più semplice.
Questo attesta che Lei ha esternalizzato tutte le funzioni relative ai dati del titolare della carta a una terza parte conforme. Le Sue pratiche di sicurezza per il Suo sito web e i Suoi sistemi contano ancora.
Posso spostare le mie carte archiviate da un PSP a un altro?
Sì, ma può essere un processo complesso e costoso. Richiede un trasferimento sicuro dei dati tra i vecchi e i nuovi fornitori conformi a PCI, coinvolgendo coordinamento e commissioni da entrambe le parti.
Per evitare questo blocco, è preferibile utilizzare un fornitore che supporti i token di rete fin dall'inizio, poiché questi sono portatili. In alternativa, scegli un fornitore con una politica chiara ed equa sulla migrazione dei dati.
Un vault aiuta con i tassi di autorizzazione?
Un vault di base di per sé non migliora direttamente i tassi di autorizzazione; è principalmente uno strumento di sicurezza e conformità. Tuttavia, un vault moderno integrato con servizi come la tokenizzazione di rete e l'Account Updater migliorerà significativamente i tassi di approvazione.
Questi servizi integrati assicurano che le credenziali archiviate rimangano aggiornate, prevenendo i rifiuti dovuti a carte scadute o riemesse e riducendo l'abbandono involontario.
Un vault è solo per i pagamenti in abbonamento?
No, sebbene i sistemi di archiviazione sicura siano essenziali per gli abbonamenti e la fatturazione ricorrente, sono anche ampiamente utilizzati dagli esercenti di e-commerce per offrire funzionalità di 'carta registrata' o 'pagamento con un clic'.
Questa comodità accelera notevolmente il processo di acquisto per i clienti abituali, il che può portare a tassi di conversione più elevati e a una maggiore fedeltà del cliente.
Qualsiasi esercente che desideri archiviare la carta di un cliente per un uso futuro necessita di un sistema di archiviazione sicura.
See how Vault della carta plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Termini correlati
Un token emesso dallo schema che sostituisce il PAN end-to-end e viene aggiornato automaticamente quando la carta sottostante viene riemessa.
Sostituzione dei dati sensibili della carta con un valore surrogato non sensibile che può essere archiviato e riutilizzato senza rientrare nell'ambito PCI.
Lo standard di sicurezza dei dati del settore delle carte di pagamento, il framework imposto dagli schemi per la gestione dei dati dei titolari di carta.
Un addebito avviato dal commerciante su una credenziale precedentemente memorizzata, senza la presenza del titolare della carta.
Correlati guide.
Pronto a migliorare la Sua configurazione dei pagamenti?
Ci fornisca informazioni sulla Sua attività. La abbineremo ai partner di acquiring più idonei e al percorso corretto, solitamente entro una settimana.