Tokenizácia karty

Čo to znamená

Tokenizácia karty je nahradenie čísla platobnej karty jedinečným kódom, takzvaným tokenom, ktorý sa používa pri mobilných a online platbách. Token nemá mimo konkrétneho kontextu žiadnu hodnotu, takže ani jeho únik útočníkovi neumožní platiť skutočnou kartou.

Tokenizáciu využívajú mobilné peňaženky v telefónoch a hodinkách aj platobné brány pri ukladaní kariet pre opakované nákupy. Skutočné číslo karty pozná len vydavateľ karty a kartová spoločnosť, ktoré token pri platbe preložia späť na kartu.

Pre obchodníka je hlavnou výhodou, že nikdy neukladá skutočné číslo karty. Tým výrazne znižuje riziko pri úniku dát a uľahčuje si plnenie bezpečnostného štandardu PCI DSS, ktorý platí pre každého, kto spracúva alebo uchováva údaje o platobných kartách.

Ako to funguje v praxi

Pri e-shope alebo službe s predplatným modelom umožňuje tokenizácia uložiť kartu zákazníka a strhávať pravidelné platby bez toho, aby firma mala citlivé údaje vo vlastnej databáze. Token uchováva poskytovateľ platobnej brány, ktorý za bezpečnosť zodpovedá.

Tokenizácia dopĺňa ďalšie bezpečnostné opatrenia, napríklad overenie 3D Secure a silné overenie klienta podľa PSD2. Pri platbách cez uložený token sa pravidlá silného overenia uplatňujú rozdielne podľa toho, či platbu iniciuje zákazník, alebo obchodník.

Pri výbere platobného partnera, teda poskytovateľa acquiringu alebo brány, sa oplatí overiť, či podporuje tokenizáciu, ako rieši aktualizáciu tokenov pri výmene karty a či umožňuje v prípade potreby tokeny preniesť k inému poskytovateľovi.

Na čo si dať pozor

Tokenizácia neodstraňuje všetky povinnosti. Firma stále musí zabezpečiť svoj web a systémy, aby útočník nemohol napríklad podvrhnúť platobný formulár. Rozsah povinností podľa PCI DSS sa však výrazne zmenší, ak karty spracúva výhradne certifikovaný poskytovateľ.

Uložené tokeny sú viazané na konkrétneho poskytovateľa. Pri zmene platobnej brány môže byť ich prenos zložitý a zákazníci môžu byť nútení zadať kartu znova. Pri uzatváraní zmluvy je preto dobré myslieť aj na podmienky ukončenia spolupráce.