Co to jest tokenizacja?
Tokenizacja to technologia zabezpieczeń stosowana w płatnościach cyfrowych. Polega na zastąpieniu PAN (Primary Account Number), numeru karty posiadanego przez użytkownika, niesensytywnym elementem danych zwanym tokenem cyfrowym.
Token to unikalny identyfikator cyfrowy, który zastępuje PAN w systemie płatności. Pozostaje bezpośrednio powiązany z oryginalnymi danymi, umożliwiając autoryzację transakcji bez ujawniania wrażliwych danych karty użytkownika.
Metoda ta jest wspierana i promowana przez globalną organizację standaryzacyjną EMVCo w celu zwiększenia bezpieczeństwa płatności cyfrowych i zmniejszenia ryzyka nieautoryzowanego lub oszukańczego użycia numerów kont głównych (PAN).
Konkretny przykład
Kiedy użytkownik chce dodać swoją kartę płatniczą do aplikacji portfela mobilnego (np. Apple Wallet), zaczyna od wprowadzenia swojego PAN, kodu zabezpieczającego i innych danych karty.
Aplikacja portfela następnie inicjuje proces tokenizacji z podmiotem znanym jako Dostawca Usług Tokenizacji (TSP). Rolę tę pełnią sieci płatnicze, takie jak Visa, Mastercard i Cartes Bancaires.
Generowany jest unikalny token i przesyłany z powrotem do aplikacji portfela, która może następnie przetwarzać przyszłe płatności w sklepie (np. płatności zbliżeniowe) bez ujawniania PAN.
Organizacja ekosystemu tokenizacji na poziomie globalnym
Dostawca Usług Tokenizacji (TSP) odgrywa centralną rolę w ramach tokenizacji, jak pokazano na poniższym diagramie.
Podmiot żądający tokena (TR), który chce zdigitalizować kartę płatniczą dla konkretnego przypadku użycia, musi współpracować z TSP, aby to osiągnąć.
Dwa przykłady:
Bank detaliczny chcący oferować usługę płatności zbliżeniowych mobilnych w swojej aplikacji:
- Gdy klient aktywuje usługę, bank musi zażądać tokenizacji karty płatniczej użytkownika od TSP przed wprowadzeniem tokena do swojej aplikacji.
Sprzedawca e-commerce oferujący klientom możliwość zapisania swojej karty płatniczej na przyszłe zakupy (usługa Card-On-File):
- Gdy klient rejestruje swoją kartę płatniczą, sprzedawca musi zażądać tokenizacji karty od TSP przed zapisaniem tokena w swojej bazie danych.
TSP odgrywa kluczową rolę z kilku powodów:
- Jest odpowiedzialny za Token Vault, bazę danych łączącą karty płatnicze z odpowiadającymi im tokenami.
- Gdy inicjowana jest transakcja płatnicza z użyciem tokena, TSP uczestniczy w procesie autoryzacji przed wystawcą karty, weryfikując elementy zabezpieczeń (takie jak kryptogramy generowane z kluczy dostarczonych przez TSP) przed przesłaniem „odtokenizowanego" żądania autoryzacji do wystawcy karty.
W ten sposób TSP odgrywa kluczową rolę, zarządzając wrażliwymi danymi (mapowanie karta-token) i systematycznie interweniując w każdej transakcji z udziałem tokenów.
Problemy suwerenności i kontroli dla wystawców i krajowych sieci płatniczych
Teoretycznie różni gracze w ekosystemie płatności kartowych (sieci płatnicze, dostawcy usług płatniczych itp.) mogą działać jako TSP. Jednak w praktyce główne globalne sieci płatnicze przejęły tę rolę.
Międzynarodowe sieci płatnicze, takie jak Visa i Mastercard, zintegrowały usługi tokenizacji w swojej podstawowej infrastrukturze. Dzięki globalnemu zasięgowi oferują szeroki zakres usług, które pomagają TR (bankom, sprzedawcom itp.) wdrażać rozwiązania łatwo i uniwersalnie.
Na przykład globalne portfele płatności mobilnych (G-Pay, Apple Pay, Samsung Pay itp.) łączą się z międzynarodowymi TSP jako TR. Wystawcy, którzy już korzystają z tych sieci do wydawania fizycznych kart, mogą polegać na ich usługach TSP, aby zdigitalizować swoje karty w tych portfelach.
W obliczu tych globalnych ofert, krajowi gracze rozwijają lokalne TSP dla wystawców w swoich krajach. Jest to szczególnie widoczne w krajach o silnych tradycjach płatności kartowych, dobrze rozwiniętych sieciach międzybankowych i krajowych schematach płatniczych, takich jak Francja.
Inne regiony, takie jak Arabia Saudyjska, uruchamiają krajowe centra tokenizacji, kierując się troską o suwerenność i potrzebą utrzymania wrażliwych danych pod kontrolą krajową.
W obliczu tych wyborów, TR muszą przyjąć rozwiązania, które pozwolą im zachować kontrolę nad swoją propozycją wartości. Jest to szczególnie istotne dla banków wydających, ponieważ zarządzanie danymi posiadaczy kart tradycyjnie było priorytetem. Ponadto, poleganie na stronach trzecich w procesie autoryzacji płatności to kwestia wrażliwa.
Dla wystawców wybór TSP dla różnych usług to decyzja strategiczna, a nie tylko techniczna czy finansowa. Znane jest to jako „strategia pozyskiwania tokenów".
Na przykład, rozważmy bank wydający w kraju z krajowym schematem płatniczym i międzynarodową siecią (np. Visa lub Mastercard). Bank wydaje karty co-badged, co oznacza, że płatności krajowe przechodzą przez krajowy schemat, a płatności międzynarodowe korzystają z globalnej sieci.
Podczas digitalizacji tej karty do płatności mobilnych, wystawca musi zdefiniować swoją strategię tokenizacji. Może zdecydować się na replikację modelu co-badging w przestrzeni cyfrowej, pozyskując token z TSP krajowego schematu i drugi z TSP międzynarodowej sieci.
Potrzeba opanowania przez podmioty żądające tokenów
Pojawiła się nowa generacja rozwiązań, które pomagają podmiotom żądającym tokenów w płynnym dostępie do wszystkich funkcji związanych z tokenizacją, w tym:
- Przygotowanie danych do żądań tokenizacji;
- Pozyskiwanie tokenów od wielu TSP na podstawie zdefiniowanej strategii;
- W niektórych przypadkach wprowadzanie tokenów do aplikacji płatniczych;
- Zarządzanie cyklem życia tokena w celu efektywnego radzenia sobie z takimi zdarzeniami jak utrata, kradzież i odnowienie.
Te rozwiązania działają jako platformy TR, agregując dostęp do TSP i oferując łatwą integrację dla wystawców i sprzedawców za pośrednictwem API.
Nasze rozwiązanie ReadyToTap Payment jest pozycjonowane w tej przestrzeni. Dziś umożliwia różnym wystawcom, w tym bankom detalicznym, neobankom i wystawcom kart przedpłaconych, korzystanie z szerokiego zakresu usług TSP z elastycznością i łatwością wdrożenia.
Chcesz porozmawiać z ekspertem? Skontaktuj się z nami.
