Что такое токенизация и зачем ее использовать в платежах
Вопрос безопасности онлайн платежей всегда на первом месте в платежном процессинге, даже важнее позитивного пользовательского опыта. Платежные данные — это индивидуальная чувствительная информация, доступ к которой, если скомпрометирован, может позволить мошенникам беспрепятственно списывать средства с карт плательщиков. Поэтому платежные системы и мерчанты стремятся совместными усилиями обеспечить максимально безопасную среду для оплаты, которая позволит плетельщикам быть уверенными в сохранности их личных данных и спокойно оплачивать товары и услуги на сайте.
В этом направлении токенизация является методом номер один и наиболее используемым способом шифрования личных платежных данных. Благодаря ей хранение этих данных возможно в таком виде, который не позволяет мошенникам получить к ним доступ и использовать в своих целях. Почему и как она работает разберем в сегодняшней статье.
Что такое токенизация
Токенизация — это процесс шифрования (замены) реальных данных платежной карты на специальный набор цифровых символов. Таким образом, система формирует уникальный «токен», который будет обозначать карту плательщика, но при этом ею не являться. Платежные системы всегда используют шифрование, поскольку за счет этого можно достичь максимально возможной безопасности данных. При этом токены хранятся на защищенных серверах и закрыты от возможностей утечки.
Формирование токена происходит при первом платеже клиента на сайте мерчанта. Технически процесс состоит из нескольких шагов:
- Первый ввод данных карты. На этом этапе клиент вводит данные своей карты (номер, дату истечения срока действия и CVV код) в платежном окне, которое принадлежит платежной системе. Кроме того, что в этот момент происходит списание средств, параллельно еще формируется токенизированная карта.
- Формирование токена и хранение. После того, как карта связалась с системой токенизации, вторая формирует тот самый токен и записывает его свои сервера для хранения. Именно здесь будут храниться данные и сюда будут «обращаться» мерчанты при каждом последующем платеже.
- Передача идентификатора токена мерчанту. При этом если мерчант имеет сертификацию PCI DSS, о которой немного больше поговорим ниже, он получает идентификатор токена, который может сохранять у себя и использовать для последующих транзакций.
- Использование токена в будущих платежах. Благодаря процедуре токенизации каждый новый платеж на сайте мерчанта может быть совершен, используя ранее сохраненный токен. На сайте он будет отображаться в виде маски карты, а мерчант будет общаться с платежной системой при помощи идентификатора, который у него есть. Платежная система поймет какой токен нужно использовать и средства спишутся с нужной карты.
Хотя технически процедура имеет ряд сложностей и необходимость в серьезной кибер-безопасности, ее внедрение на сегодняшний день возможно почти беспрепятственно. Большинство платежных провайдеров и систем окрестрации платежей предлагают полный спектр услуг для мерчантов, который позволяет сразу наладить правильный платежный процессинг.
Какие преимущества токенизации
Среди основных преимуществ, которыми точно может похвастаться процедура токенизации такие:
- Безопасность платежей. Это именно то, что для чего была придумана технология и успешно используется. Поскольку хранение реальных данных карт в базах данных может привести к утечке или краже информации. Нечистые на руку сотрудники, хакеры или даже случайные нарушения безопасности представляют собой серьезную угрозу. И допустить такое ни в коем случае нельзя. Утечка платежных данных даже из одной платежной системы может нанести глобальных урон.
- Улучшенный пользовательский опыт. Кроме того, что платить безопасно, так еще и более удобно. Поскольку одним им основных функционалов токенизации создана возможность постоянно обращаться к ранее сформированному токену. На практике для клиента это означает функционал «сохранения платежного метода» для последующих оплат. Подобную механику можно встретить на многих сайтах, которые могут предлагать сохранить платежные данные ранее используемой карты для дальнейших платежей. Так вот, сохранен будет именно ее токен, и компания ни в коем случае не получит доступ к данным карты.
На сегодняшний день токенизация это базовая процедура в карточном процессинге и без нее реализовать его практически невозможно. Она также лежит в основе host to host взаимодействия мерчанта и платежной системы.
Host2host интеграция платежных систем
Наиболее предпочтительным и удобным способом интеграции платежных методов является именно host to host. Этот способ интеграции позволяет создать простой платежный процесс, ведь ввод карточных данных будет происходить на сайте мерчанта, в том же дизайне и функционале, который постоянно использует плательщик. Кроме того, можно избежать проблемных ситуаций при открытии новой вкладки или окна, а также блокировок всплывающих окон, что часто происходит при запуске сторонней платежной страницы. Ведь клиенту нужно перейти на другой сайт для оплаты.
Интеграция host to host представляет собой буквальное «соединение» платежной системы и сайта мерчанта, что для пользователя выглядит, как один сайт. При интеграции платежной страницы (или redirect) такого эффекта достигнуть не удается, ведь плательщик обязательно будет перенаправлен на страницу провайдера платежей для завершения транзакции. В чем разница между этими способами интеграции, кроме финального вида?
Основной разницей в данном случае является взаимодействие платежной системы и мерчанта вокруг платежных данных клиента. При использовании host to host интеграции, мерчант будет иметь прямой доступ к карточным данным клиента и самостоятельно передаст их в платежную систему. Этот процесс несет ряд рисков и поэтому просто так подобный способ приема платежей получить невозможно. Все мерчанты, которые хотят принимать платежи на сайте и самостоятельно оперировать платежными данными, должны пройти аудит и получить сертификат PCI DSS (Payment Card Industry Data Security Standard), который подтвердит качественное и правильное хранение платежных данных. Это накладывает обязательства на мерчанта соответствовать требованиям платежных систем Visa и Mastercard и постоянно совершенствовать свои системы хранения и защиты данных. Стандарты PCI DSS постоянно меняются и время от времени нужно проходить аудиты, чтобы соответствовать им. Аудиты PCI DSS проводят квалифицированные оценщики безопасности (Qualified Security Assessors), которые могут выдать необходимый сертификат.
Процедура сертификации стоит довольно дорого, поэтому не все мерчанты могут себе ее позволить и считают это целесообразным для своего бизнеса. Именно поэтому вариант оплаты прямо на сайте чаще всего можно встретить на больших торговых площадках или игровых порталах, которые работают по всему миру и принимают тысячи платежей в день. Небольшие или начинающие проекты обычно работают без PCI DSS и, следовательно, могут принимать платежи только по интеграции redirect — на сторонней странице платежной системы.
Сохранность данных платежных карт имеет прямое отношение к выбору способа интеграции и именно от этого функционала отталкиваются платежные провайдеры в сотрудничестве с мерчантом. Уверенность в безопасном платежном процессе позволит плательщикам быть спокойными за свои данные и доверять, как мерчанту, так и платежной системе, которая обрабатывает платежи. Если вы ищете подходящего платежного провайдера и озабочены построением безопасного платежного пути на собственном сайте — самое время обратиться в Monoup. Специалисты компании помогут вам построить наилучший платежный процесс и достичь золотой середины «цена-качество» в обработке платежей для вашего сайта.
