Токенизация карты

Что это значит

Токенизация карты - это замена номера платёжной карты уникальным кодом, так называемым токеном, который используется в мобильных и онлайн-платежах. Вне конкретного контекста токен не имеет ценности, поэтому даже его утечка не позволит злоумышленнику платить настоящей картой.

Токенизацию используют мобильные кошельки в телефонах и часах, а также платёжные шлюзы при сохранении карт для повторных покупок. Настоящий номер карты знают только банк-эмитент и платёжная система, которые при оплате переводят токен обратно в карту.

Для продавца главное преимущество в том, что он никогда не хранит реальный номер карты. Это заметно снижает риск при утечке данных и облегчает соблюдение стандарта безопасности PCI DSS, который действует для всех, кто обрабатывает или хранит данные платёжных карт.

Как это работает на практике

Для интернет-магазина или сервиса с моделью подписки токенизация позволяет сохранить карту клиента и списывать регулярные платежи, не храня чувствительные данные в собственной базе. Токен хранит провайдер платёжного шлюза, отвечающий за безопасность.

Токенизация дополняет другие меры безопасности, например проверку 3D Secure и строгую аутентификацию клиента по PSD2. При платежах по сохранённому токену правила строгой аутентификации применяются по-разному в зависимости от того, инициирует ли платёж клиент или продавец.

При выборе платёжного партнёра, то есть провайдера эквайринга или шлюза, стоит проверить, поддерживает ли он токенизацию, как обновляет токены при замене карты и позволяет ли при необходимости перенести токены к другому провайдеру.

На что обратить внимание

Токенизация не снимает всех обязанностей. Компания по-прежнему должна защищать свой сайт и системы, чтобы злоумышленник не мог, например, подменить платёжную форму. Однако объём обязанностей по PCI DSS заметно сокращается, если карты обрабатывает исключительно сертифицированный провайдер.

Сохранённые токены привязаны к конкретному провайдеру. При смене платёжного шлюза их перенос может быть сложным, и клиентам придётся ввести карту заново. Поэтому при заключении договора стоит продумать и условия прекращения сотрудничества.