Tokenizasyon
Tanım
Tokenizasyon, bir kart numarasının yerine ödeme sağlayıcısının verdiği rastgele bir token koyar; böylece satıcı, kartın kendisini hiç saklamadan kayıtlı bir karttan sonradan tahsilat yapabilir. Gerçek kart verisi sağlayıcının kasasında kalır ve token o sağlayıcının dışında işe yaramaz. Tek tıkla ödemeyi ve abonelikleri, PCI DSS kapsamını genişletmeden mümkün kılan şey budur.
Mağazanız için neden önemli
Geri dönen müşteriler en ucuz cironuzdur. Telefonda on altı hane, bir son kullanma tarihi ve bir CVV yazmak, birçoğunun vazgeçtiği andır. Kayıtlı bir kart, ikinci alışverişi iki dokunuşa indirir.
Tokenizasyon, bunu bir hedef hâline gelmeden sunma biçiminizdir. Veri tabanınız ele geçirilse saldırgan yalnızca sizin sağlayıcı hesabınızla ve mağazanızla çalışan token'lar bulur, başka bir şey bulmaz. Ayrıca kart verisini hiç ellemediğiniz için PCI DSS yükümlülüklerinizi SAQ-A düzeyinde tutar.
Aynı mekanizma abonelikleri, satış sonrası üst satışları ve orijinal karta yapılan iadeleri de mümkün kılar: bunların hepsi bir kart numarasından değil bir token'dan tahsilat ya da iade yapar.
Kambloo bunu nasıl ele alıyor
Bir müşteri kartını kaydetmeyi seçtiğinde kartı sağlayıcı saklar ve bir token döndürür: iyzico'nun kart kullanıcı anahtarı ve kart token'ı ya da Stripe'ın PaymentMethod nesnesi. Kambloo, token'ı kart markası, son dört hane ve son kullanma ayıyla birlikte mağazanın kendi veri tabanında saklar. Kartla ilgili başka hiçbir şey tutulmaz.
Kayıtlı bir karttan tahsilat, yeni bir kartla aynı akıştan geçer. Banka 3-D Secure isterse müşteri yalnızca onay adımını görür, fazlasını değil. Siparişte yalnızca kart markası ve son dört hane gösterilir.
Bir müşteri hesabından kayıtlı bir kartı sildiğinde Kambloo yalnızca yerel kaydı değil, sağlayıcıdaki token'ı da siler. Yalnızca yerelde silmeye izin verilmez; böylece kaldırılan bir karttan kimse yeniden tahsilat yapamaz.
Tokenizasyon hakkında sorular
Kayıtlı kart, kart numarasını saklamakla aynı şey mi?
Hayır. Kartı sağlayıcı saklar ve bir token döndürür. Mağaza, token'ı, kart markasını ve son dört haneyi tutar. Mağaza veri tabanının tam bir kopyası bile kullanılabilir hiçbir kart numarası içermez.
Kayıtlı kart 3-D Secure'ü atlar mı?
Zorunlu olarak atlamaz. Banka ya da sağlayıcı o tahsilat için doğrulama isterse müşteri yine SMS ya da uygulama onayı alır. Atlanan, kart girişi adımıdır; güvenlik denetimi değil.