Tokenizasyon Nedir?
Tokenizasyon, kart numarası gibi hassas ödeme verisinin yerine, tek başına anlamsız ve yalnızca belirli bir sistemde geçerli olan bir belirteç (token) kullanılması yöntemidir.
Tokenizasyon Nasıl Çalışır?
Kart numarası mağazanın sistemine hiç girmeden ödeme sağlayıcının güvenli ortamına gönderilir; sağlayıcı kartı kasada saklar ve mağazaya bu karta karşılık gelen rastgele bir belirteç döndürür. Mağaza sonraki işlemlerde (kayıtlı kartla ödeme, abonelik yenileme, iade) kart numarası yerine bu belirteci kullanır. Belirteç çalınsa bile tek başına kart işlevi görmez; yalnızca eşleştiği sistemde ve mağazada geçerlidir.
Kullanım alanları:
- Müşterinin kartını güvenle kaydedip tek tıkla ödeme sunma.
- Abonelik ve tekrarlayan ödemeler.
- İade ve kısmi iade işlemleri.
- Dijital cüzdanlarda kart yerine cihaza özel belirteç kullanımı (dijital cüzdan).
Güvenlik kuralı: kartın güvenlik kodu (CVV) ödeme onayından sonra saklanamaz; belirteç kullanımı bunu ortadan kaldırmaz ve yalnızca kart numarası saklama ihtiyacını çözer. Veri güvenliği standardı için PCI DSS sayfasına bakılabilir.
Tokenizasyon E-Ticarette Neden Önemlidir?
Kart verisini kendi sunucusunda tutan mağaza, ciddi güvenlik ve uyum yükümlülüğü altına girer; veri sızıntısında hem müşteri zararı hem hukuki ve mali sorumluluk doğar. Tokenizasyon, mağazanın bu verilerle temasını azaltarak riski ve uyum kapsamını küçültür. Karar noktası, kayıtlı kart özelliğinin nasıl sunulacağıdır: bunu ödeme sağlayıcının tokenizasyon hizmetiyle yapmak, kendi kart kasasını kurmaktan çok daha güvenlidir. Ödeme akışı için ödeme geçidi ve sanal POS sayfalarına bakılabilir.
Belirteç ilgili sağlayıcıya bağlı olduğu için sağlayıcı değişiminde taşınabilirlik sorun olabilir: belirteçlerin yeni sağlayıcıya aktarımının mümkün olup olmadığı sözleşmede ve teknik belgelerde baştan kontrol edilmelidir.
Kayıtlı kartlarda müşterinin açık izni, kartı silme imkanı ve bilgilendirme gereklidir.
Tokenizasyonda Sık Yapılan Hatalar
- Kart numarasını kendi veritabanında saklamak. Yüksek güvenlik ve uyum riski doğar.
- CVV’yi saklamak. Ödeme kartı güvenlik kuralına aykırıdır.
- Taşınabilirliği sorgulamamak. Sağlayıcı değişiminde kayıtlı kartlar kaybedilebilir.
- Müşteri iznini ve silme seçeneğini atlamak. Gizlilik yükümlülüğü ihlal edilir.
Tokenizasyon Hakkında Sık Sorulan Sorular
Tokenizasyonda ödeme sağlayıcısı değişirse kayıtlı kartlara ne olur?
Belirteç onu üreten sağlayıcıya bağlı olduğundan yeni sağlayıcıda kendiliğinden çalışmaz; aktarım mümkün değilse kayıtlı kartlar kaybedilebilir. Bu nedenle belirteçlerin taşınıp taşınamayacağı sözleşmede ve teknik belgelerde baştan kontrol edilir.
Tokenizasyon PCI DSS yükümlülüğünü kaldırır mı?
Kapsamı küçültür ancak tamamen kaldırmaz. İşletme yine de güvenli ödeme akışı ve veri koruma kurallarına uymak zorundadır.