Czym jest Sejf na karty?
Zgodne z PCI DSS przechowywanie tokenizowanych danych kart, które pozwala sprzedawcy ponownie obciążyć kartę bez przechowywania numeru PAN.
Sejf na karty to bezpieczny, zgodny z PCI DSS system używany do przechowywania wrażliwych danych kart płatniczych, głównie podstawowego numeru konta (PAN).
Jego główną funkcją jest zmniejszenie obciążenia sprzedawcy związanego z zgodnością poprzez przeniesienie przechowywania tych ryzykownych danych na certyfikowaną stronę trzecią, taką jak bramka płatnicza lub PSP. Zamiast przechowywać PAN, sprzedawca przechowuje niewrażliwą wartość zastępczą znaną jako token.
Ten token działa jako odniesienie, umożliwiając sprzedawcy inicjowanie przyszłych płatności bez dotykania surowych informacji o posiadaczu karty, co znacznie zmniejsza jego obowiązki związane z PCI DSS.
Gdy klient dokonuje pierwszego zakupu, dane jego karty są wysyłane bezpośrednio do bezpiecznego środowiska dostawcy sejfu. Sejf następnie zwraca sprzedawcy unikalny token, który jest zapisywany w profilu klienta.
W przypadku kolejnych transakcji, takich jak subskrypcja cykliczna lub płatność jednym kliknięciem, sprzedawca po prostu wysyła ten token i kwotę transakcji do dostawcy płatności. Dostawca używa tokena do pobrania bezpiecznie przechowywanego PAN i przetworzenia płatności.
Częstym punktem nieporozumień jest przenośność tych tokenów. Większość podstawowych tokenów sejfu, często nazywanych tokenami bramki lub PSP, jest zastrzeżona.
Oznacza to, że są one powiązane z konkretnym dostawcą płatności, co tworzy blokadę i utrudnia sprzedawcy zmianę dostawcy bez skomplikowanego i kosztownego projektu migracji danych.
Przykład praktyczny
Klient zapisuje się na miesięczną subskrypcję produktu SaaS za 29,99 GBP. Podczas początkowej rejestracji wprowadza dane swojej karty Mastercard do formularza kasy.
Dane te są przesyłane bezpośrednio do sejfu Cardflo zgodnego z PCI DSS Level 1, całkowicie omijając serwery sprzedawcy SaaS. Sejf Cardflo przechowuje PAN i zwraca sprzedawcy unikalny, niewrażliwy token, na przykład `Cflo_tok_xyz789`.
Sprzedawca przechowuje ten token w swojej bazie danych, powiązany z subskrypcją klienta. Miesiąc później system rozliczeniowy sprzedawcy automatycznie inicjuje transakcję zainicjowaną przez sprzedawcę (MIT), wysyłając żądanie do interfejsu API Cardflo zawierające token `Cflo_tok_xyz789` i kwotę opłaty 29,99 GBP.
Cardflo pobiera podstawowe dane karty i przetwarza płatność, nigdy nie ujawniając PAN sprzedawcy. Proces ten znacznie zmniejsza zakres PCI sprzedawcy i ryzyko naruszenia danych.
Uwagi organizacji kartowych
Koncepcja sejfu to technologia specyficzna dla dostawcy, a nie bezpośredni produkt systemu kart. Jednak nowoczesne sejfy są głęboko zintegrowane z usługami systemów płatniczych.
Zarówno Visa (poprzez swoją usługę Visa Token Service, VTS), jak i Mastercard (Mastercard Digital Enablement Service, MDES) zdecydowanie opowiadają się za użyciem tokenów sieciowych.
Zaawansowane sejfy, takie jak te dostarczane przez Cardflo, integrują się z VTS i MDES w celu udostępniania tych natywnych dla systemu tokenów zamiast, lub oprócz, zastrzeżonych tokenów bramki.
Podczas gdy podstawowy sejf przechowuje statyczny PAN, ten połączony z usługami tokenizacji systemu może zapewnić, że dane płatnicze pozostaną „aktywne”, nawet jeśli fizyczna karta zostanie zgubiona lub wygaśnie, ponieważ systemy i wydawcy aktualizują token w tle.
Jest to znacząca przewaga nad sejfami, które obsługują tylko zastrzeżone tokeny.
Dlaczego to ważne dla sprzedawców
Wdrożenie sejfu na karty jest fundamentalne dla każdego sprzedawcy obsługującego transakcje kartą w pliku, takie jak firmy subskrypcyjne lub sklepy e-commerce z płatnością jednym kliknięciem.
Główną korzyścią jest drastyczne zmniejszenie zakresu zgodności z PCI DSS, co oszczędza znaczny czas i pieniądze na audyty bezpieczeństwa i infrastrukturę. Zapobiegając dotykaniu surowych danych kart przez systemy sprzedawcy, sejf minimalizuje również szkody reputacyjne i finansowe wynikające z potencjalnego naruszenia danych.
Jednak sprzedawcy muszą być świadomi blokady dostawcy związanej z zastrzeżonymi tokenami sejfu.
Korzystanie z dostawcy takiego jak Cardflo, którego sejf obsługuje tokeny sieciowe i oferuje bezpieczne usługi migracji tokenów, zapewnia większą elastyczność i pozwala sprzedawcom kierować transakcje przez wielu akceptantów, optymalizując koszty i wskaźniki akceptacji bez bycia związanym z jedną bramką.
Często zadawane
Jak korzystanie z sejfu wpływa na zakres PCI DSS sprzedawcy?
Korzystanie z sejfu strony trzeciej może znacznie zmniejszyć wymagania sprzedawcy dotyczące audytu PCI DSS, często pozwalając mu zakwalifikować się do prostszych kwestionariuszy samooceny, takich jak SAQ A lub SAQ A-EP.
Ponieważ sprzedawca nigdy nie przechowuje, nie przetwarza ani nie przesyła surowych numerów PAN na swoich serwerach, obowiązki bezpieczeństwa dla jego wewnętrznej infrastruktury są znacznie zmniejszone.
Jaka jest różnica między sejfem specyficznym dla PSP a rozwiązaniem niezależnym od sejfu?
Sejf specyficzny dla PSP wiąże tokeny z jednym akceptantem, co może prowadzić do blokady dostawcy, ponieważ te tokeny mogą nie być przenośne do innej bramki.
Niezależny od sejfu lub niezależny dostawca sejfu pozwala sprzedawcy przechowywać dane centralnie i kierować transakcje do wielu akceptantów, zapewniając większą elastyczność i redundancję w jego stosie płatności.
Jaka jest różnica między tokenem sejfu a tokenem sieciowym?
Token sejfu (lub token bramki) to zastrzeżony identyfikator stworzony przez konkretnego dostawcę płatności. Jest on rozpoznawany tylko w ekosystemie tego dostawcy, co prowadzi do blokady dostawcy.
Token sieciowy jest tworzony przez same systemy kart (Visa, Mastercard) i jest interoperacyjny w każdym dostawcy płatności, który jest zintegrowany z usługą tokenizacji systemu. Tokeny sieciowe są ogólnie lepsze, ponieważ są automatycznie aktualizowane przez wydawcę, zmniejszając odrzucenia z powodu wygasłych kart.
Czy korzystanie z sejfu sprawia, że jestem w pełni zgodny z PCI?
Korzystanie z sejfu danych znacznie zmniejsza zakres zgodności z PCI DSS, ale nie eliminuje go całkowicie. Państwo są nadal zobowiązani do wypełnienia kwestionariusza samooceny (SAQ), zazwyczaj SAQ A, który jest najprostszą formą.
Potwierdza to, że Państwo zlecili wszystkie funkcje dotyczące danych posiadacza karty zgodnej stronie trzeciej. Państwa własne praktyki bezpieczeństwa dla Państwa witryny i systemów nadal mają znaczenie.
Czy mogę przenieść moje karty z sejfu od jednego PSP do drugiego?
Tak, ale może to być złożony i kosztowny proces. Wymaga bezpiecznego transferu danych między starym a nowym dostawcą zgodnym z PCI, co wiąże się z koordynacją i opłatami od obu stron.
Aby uniknąć tej blokady, preferowane jest korzystanie z dostawcy, który od początku obsługuje tokeny sieciowe, ponieważ są one przenośne. Alternatywnie, wybierz dostawcę z jasną i uczciwą polityką migracji danych.
Czy sejf pomaga w wskaźnikach autoryzacji?
Sam podstawowy sejf nie poprawia bezpośrednio wskaźników autoryzacji; jest to przede wszystkim narzędzie bezpieczeństwa i zgodności. Jednak nowoczesny sejf, który jest zintegrowany z usługami takimi jak tokenizacja sieciowa i Account Updater, znacznie poprawi wskaźniki akceptacji.
Te zintegrowane usługi zapewniają, że przechowywane dane uwierzytelniające pozostają aktualne, zapobiegając odrzuceniom z powodu wygasłych lub ponownie wydanych kart i zmniejszając mimowolne rezygnacje.
Czy sejf jest tylko do płatności subskrypcyjnych?
Nie, chociaż sejfy są niezbędne do subskrypcji i cyklicznych rozliczeń, są również szeroko stosowane przez sprzedawców e-commerce do oferowania funkcji „karty w pliku” lub „płatności jednym kliknięciem”.
Ta wygoda znacznie przyspiesza proces zakupu dla powracających klientów, co może prowadzić do wyższych wskaźników konwersji i zwiększonej lojalności klientów. Każdy sprzedawca, który chce przechowywać kartę klienta do przyszłego użytku, potrzebuje sejfu.
See how Sejf na karty plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Powiązane terminy
Token wydany przez system płatniczy, który zastępuje PAN od początku do końca i jest automatycznie aktualizowany, gdy podstawowa karta zostanie ponownie wydana.
Zastąpienie wrażliwych danych karty niewrażliwą wartością zastępczą, którą można przechowywać i ponownie wykorzystywać bez zakresu PCI.
Standard bezpieczeństwa danych w branży kart płatniczych, narzucone przez systemy płatnicze ramy postępowania z danymi posiadaczy kart.
Obciążenie zainicjowane przez sprzedawcę na podstawie wcześniej zapisanych danych uwierzytelniających, bez obecności posiadacza karty.
Powiązane przewodniki.
Gotowy, by ulepszyć swoje płatności?
Opowiedz nam o swojej firmie. Dopasujemy Cię do odpowiednich partnerów acquiringowych i odpowiedniej ścieżki, zazwyczaj w ciągu tygodnia.