Wat is Kaartkluis?
Een PCI DSS compatibele opslag van getokeniseerde kaartgegevens waarmee een handelaar een kaart opnieuw kan belasten zonder de PAN te bewaren.
Een kaartkluis is een veilig, PCI DSS compatibel systeem dat wordt gebruikt om gevoelige betaalkaartgegevens, voornamelijk het Primary Account Number (PAN), op te slaan.
De belangrijkste functie is het verminderen van de compliance-last van een handelaar door de opslag van deze gevaarlijke gegevens uit te besteden aan een gecertificeerde derde partij, zoals een betalingsgateway of PSP.
In plaats van de PAN te bewaren, slaat de handelaar een niet-gevoelige surrogaatwaarde op die bekend staat als een token.
Dit token fungeert als een referentie, waardoor de handelaar toekomstige betalingen kan initiëren zonder ooit de ruwe kaarthouderinformatie aan te raken, waardoor hun PCI DSS-verplichtingen aanzienlijk worden verminderd.
Wanneer een klant zijn eerste aankoop doet, worden zijn kaartgegevens rechtstreeks naar de beveiligde omgeving van de kluisaanbieder gestuurd. De kluis stuurt vervolgens een uniek token terug naar de handelaar, dat wordt opgeslagen bij het profiel van de klant.
Voor volgende transacties, zoals voor een terugkerend abonnement of een one-click Checkout, stuurt de handelaar eenvoudigweg dit token en het transactiebedrag naar de betalingsaanbieder. De aanbieder gebruikt het token om de veilig opgeslagen PAN op te halen en de betaling te verwerken.
Een veelvoorkomend punt van verwarring is de portabiliteit van deze tokens. De meeste basiskluis-tokens, vaak gateway- of PSP-tokens genoemd, zijn bedrijfseigen.
Dit betekent dat ze gekoppeld zijn aan een specifieke betalingsaanbieder, wat leidt tot lock-in en het voor een handelaar moeilijk maakt om van aanbieder te wisselen zonder een complex en kostbaar datamigratieproject te ondergaan.
Praktijkvoorbeeld
Een klant meldt u aan voor een maandelijks abonnement van £29,99 voor een SaaS-product. Tijdens de initiële aanmelding voert de klant de Mastercard-gegevens in het afrekenformulier in.
Deze gegevens worden rechtstreeks naar de PCI DSS Level 1-compatibele kluis van Cardflo verzonden, waarbij de servers van de SaaS-acceptant volledig worden omzeild. De kluis van Cardflo slaat het primaire rekeningnummer op en stuurt een uniek, niet-gevoelig token, bijvoorbeeld `Cflo_tok_xyz789`, terug naar de acceptant.
De acceptant slaat dit token op in de database, gekoppeld aan het abonnement van de klant.
Een maand later initieert het facturatiesysteem van de acceptant automatisch een door de acceptant geïnitieerde transactie door een verzoek naar de API van Cardflo te sturen met het token `Cflo_tok_xyz789` en het bedrag van £29,99.
Cardflo haalt de onderliggende kaartgegevens op en verwerkt de betaling, zonder het primaire rekeningnummer ooit aan de acceptant bloot te stellen. Dit proces vermindert de PCI-scope van de acceptant en het risico op een datalek aanzienlijk.
Opmerkingen van de schemes
Het concept van een kluis is providerspecifieke technologie, geen direct product van een kaartschema. Moderne kluizen zijn echter diep geïntegreerd met schemadiensten.
Zowel Visa (via zijn Visa Token Service, VTS) als Mastercard (Mastercard Digital Enablement Service, MDES) pleiten sterk voor het gebruik van netwerktokens.
Geavanceerde kluizen, zoals die van Cardflo, integreren met VTS en MDES om deze schema-native tokens te leveren in plaats van, of naast, bedrijfseigen gateway-tokens.
Terwijl een basiskluis de statische PAN opslaat, kan een kluis die is verbonden met schematokenisatiediensten ervoor zorgen dat de betalingsgegevens 'live' blijven, zelfs als de fysieke kaart verloren gaat of verloopt, aangezien de schema's en uitgevers het token op de achtergrond bijwerken.
Dit is een aanzienlijk voordeel ten opzichte van kluizen die alleen bedrijfseigen tokens ondersteunen.
Waarom dit belangrijk is voor acceptanten
Het implementeren van een kaartkluis is fundamenteel voor elke handelaar die kaart-op-bestandstransacties afhandelt, zoals abonnementsbedrijven of e-commercewinkels met one-click Checkout. Het primaire voordeel is de drastische vermindering van de PCI DSS-compliance-scope, wat aanzienlijke tijd en geld bespaart op beveiligingsaudits en infrastructuur.
Door te voorkomen dat ruwe kaartgegevens ooit de systemen van de handelaar bereiken, minimaliseert een kluis ook de reputatieschade en financiële schade van een potentieel datalek. Handelaren moeten echter rekening houden met vendor lock-in die gepaard gaat met bedrijfseigen kluis-tokens.
Het gebruik van een provider zoals Cardflo, wiens kluis netwerktokens ondersteunt en veilige tokenmigratiediensten aanbiedt, biedt meer flexibiliteit en stelt handelaren in staat om transacties via meerdere acquirers te routeren, optimaliserend voor kosten en goedkeuringspercentages zonder gebonden te zijn aan één enkele gateway.
Veelgestelde vragen
Hoe beïnvloedt het gebruik van een kluis de PCI DSS scope van een handelaar?
Het gebruik van een externe kluis kan de PCI DSS auditvereisten van een handelaar aanzienlijk verminderen, waardoor ze vaak in aanmerking komen voor eenvoudigere Self-Assessment Questionnaires zoals SAQ A of SAQ A-EP.
Omdat de handelaar nooit ruwe PAN's op zijn eigen servers opslaat, verwerkt of verzendt, worden de beveiligingsverplichtingen voor hun interne infrastructuur aanzienlijk verminderd.
Wat is het verschil tussen een PSP-specifieke kluis en een kluis-agnostische oplossing?
Een PSP-specifieke kluis koppelt de tokens aan één enkele Acquirer, wat kan leiden tot vendor lock-in omdat die tokens mogelijk niet overdraagbaar zijn naar een andere gateway.
Een kluis-agnostische of onafhankelijke kluisaanbieder stelt de handelaar in staat om gegevens centraal op te slaan en transacties naar meerdere acquirers te routeren, wat meer flexibiliteit en redundantie in hun betalingsstack biedt.
Wat is het verschil tussen een kluis-token en een netwerk-token?
Een kluis-token (of gateway-token) is een bedrijfseigen identificatiecode die is gemaakt door een specifieke betalingsaanbieder. Het wordt alleen herkend binnen het ecosysteem van die aanbieder, wat leidt tot vendor lock-in.
Een netwerk-token wordt gemaakt door de kaartschema's (Visa, Mastercard) zelf en is interoperabel tussen elke betalingsaanbieder die is geïntegreerd met de token-service van het schema.
Netwerk-tokens zijn over het algemeen superieur omdat ze automatisch worden bijgewerkt door de uitgever, waardoor weigeringen als gevolg van verlopen kaarten worden verminderd.
Ben ik volledig PCI-compatibel als ik een kluis gebruik?
Het gebruik van een kluis vermindert uw PCI DSS-compliance-scope aanzienlijk, maar elimineert deze niet volledig. U bent nog steeds verplicht om een Self-Assessment Questionnaire (SAQ) in te vullen, doorgaans SAQ A, wat de eenvoudigste vorm is.
Dit bevestigt dat u alle functies voor kaarthoudergegevens hebt uitbesteed aan een compatibele derde partij. Uw eigen beveiligingspraktijken voor uw website en systemen blijven belangrijk.
Kan ik mijn opgeslagen kaarten van de ene PSP naar de andere verplaatsen?
Ja, maar het kan een complex en kostbaar proces zijn. Het vereist een veilige gegevensoverdracht tussen de oude en nieuwe PCI-compatibele providers, inclusief coördinatie en kosten van beide partijen.
Om deze lock-in te voorkomen, is het de voorkeur om vanaf het begin een provider te gebruiken die netwerktokens ondersteunt, aangezien deze draagbaar zijn. Kies anders een provider met een duidelijk en eerlijk beleid voor datamigratie.
Helpt een kluis bij autorisatiepercentages?
Een basiskluis zelf verbetert de autorisatiepercentages niet direct; het is voornamelijk een beveiligings- en compliance-tool. Een moderne kluis die is geïntegreerd met diensten zoals netwerktokinisatie en Account Updater zal de goedkeuringspercentages echter aanzienlijk verbeteren.
Deze geïntegreerde diensten zorgen ervoor dat de opgeslagen gegevens actueel blijven, waardoor weigeringen als gevolg van verlopen of opnieuw uitgegeven kaarten worden voorkomen en onvrijwillige churn wordt verminderd.
Is een kluis alleen voor abonnementsbetalingen?
Nee, hoewel kluizen essentieel zijn voor abonnementen en terugkerende facturering, worden ze ook veel gebruikt door e-commercehandelaren om 'kaart op bestand' of 'one-click' Checkout-functionaliteit aan te bieden. Dit gemak versnelt het aankoopproces voor terugkerende klanten aanzienlijk, wat kan leiden tot hogere conversiepercentages en verhoogde klantloyaliteit.
Elke handelaar die een kaart van een klant wil opslaan voor toekomstig gebruik, heeft een kluis nodig.
See how Kaartkluis plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Gerelateerde termen
Een door het schema uitgegeven token dat de PAN end-to-end vervangt en automatisch wordt bijgewerkt wanneer de onderliggende kaart opnieuw wordt uitgegeven.
Het vervangen van gevoelige kaartgegevens door een niet-gevoelige surrogaatwaarde die kan worden opgeslagen en hergebruikt zonder PCI-scope.
De Payment Card Industry Data Security Standard, het door het schema verplichte raamwerk voor het verwerken van kaarthoudergegevens.
Een betaling die door de handelaar wordt geïnitieerd op basis van eerder opgeslagen gegevens, zonder dat de kaarthouder aanwezig is.
Gerelateerde gidsen.
Klaar om uw betaalopstelling te verbeteren?
Vertel ons over uw bedrijf. Wij matchen u met de juiste acquirerende partners en de juiste route, meestal binnen een week.