Токенізація картки

Що це означає

Токенізація картки - це заміна номера платіжної картки унікальним кодом, так званим токеном, що використовується в мобільних та онлайн-платежах. Поза конкретним контекстом токен не має цінності, тож навіть його витік не дасть зловмисникові змоги платити справжньою карткою.

Токенізацію використовують мобільні гаманці в телефонах і годинниках, а також платіжні шлюзи під час збереження карток для повторних покупок. Справжній номер картки знають лише банк-емітент і платіжна система, які під час оплати перетворюють токен назад на картку.

Для продавця головна перевага в тому, що він ніколи не зберігає реального номера картки. Це помітно знижує ризик у разі витоку даних і полегшує дотримання стандарту безпеки PCI DSS, який діє для всіх, хто обробляє чи зберігає дані платіжних карток.

Як це працює на практиці

Для інтернет-магазину чи сервісу з моделлю підписки токенізація дає змогу зберегти картку клієнта і списувати регулярні платежі, не зберігаючи чутливих даних у власній базі. Токен зберігає провайдер платіжного шлюзу, який відповідає за безпеку.

Токенізація доповнює інші заходи безпеки, наприклад перевірку 3D Secure і суворе автентифікування клієнта за PSD2. Під час платежів за збереженим токеном правила суворого автентифікування застосовують по-різному залежно від того, чи ініціює платіж клієнт, чи продавець.

Обираючи платіжного партнера, тобто провайдера еквайрингу чи шлюзу, варто перевірити, чи підтримує він токенізацію, як оновлює токени під час заміни картки і чи дає змогу за потреби перенести токени до іншого провайдера.

На що звернути увагу

Токенізація не знімає всіх обов'язків. Компанія й надалі має захищати свій сайт і системи, щоб зловмисник не міг, наприклад, підмінити платіжну форму. Проте обсяг обов'язків за PCI DSS помітно скорочується, якщо картки обробляє виключно сертифікований провайдер.

Збережені токени прив'язані до конкретного провайдера. У разі зміни платіжного шлюзу їх перенесення може бути складним, і клієнтам доведеться ввести картку знову. Тому під час укладення договору варто продумати й умови припинення співпраці.