Kart tokenizasiyası və PAN-safe axınları

1) Tokenizasiya nə üçün və PAN-safe nədir

• PCI DSS kupunu minimuma endirmək (və nəzarət dəyəri),
• sızma riskini azaltmaq,
• avtomatlaşdırma (avtomatik əvəzləmə, COF, one-click),
• multi-PSP marşrutlaşdırma və yenidən silinməsini asanlaşdırmaq.

PAN-safe axını, PAN-ın yalnız təcrid olunmuş etibarlı perimetr (valt/TSP/PSP iframe) daxilində göründüyü və heç vaxt sizin bekend/log/lastik hadisələrindən açıq şəkildə keçmədiyi xüsusi və server ssenarisidir.

2) Tokenlərin növləri və həyat dövrü

2. 1 Vault tokenləri (xüsusi)

Sizin token valt və ya üçüncü tərəf seyf provayderi tərəfindən yaradılır.
PAN bağlı, lakin geri uyğunluq yalnız valt (HSM) saxlanılır.
Hər hansı bir PSP/akaveyer (çeviklik) marşrutu üçün istifadə olunur.
Plus: sxemlərdən müstəqillik; Mənfi: öz compliant valt tələb olunur.

2. 2 Network-tokenlər (sxem; Visa/Mastercard/AmEx TSP)

TSP vasitəsilə şəbəkələr tərəfindən istehsal olunur; tez-tez device-/merchant-binding və kriptoqram ilə müşayiət olunur.
Avtorizasiyanı yaxşılaşdırın: approval rate, daha az frod fols pozitivləri.
Kartı yenidən verərkən avtomatik yeniləməni dəstəkləyir.
Mənfi: PSP/prosessor dəstəyi və bazarları əhatə etmək.

2. 3 birdəfəlik (tək-use) və təkrar istifadə (COF)

Tək-use: birdəfəlik SCA debet/başlanğıc üçün.
COF (Card-on-File): abunələr, retraylar, təkrar ödənişlər üçün.

2. 4 Həyat dövrü

1. Başlanğıc: Ön ödəniş sahələrini domeninizdən deyil (hosted/iframe TSP/PSP) alır.
2. Tokenizasiya: PAN → token (vault və ya network), kriptoqram buraxılışı (tələb olunarsa).
3. Saxlama: token və metadata (BIN-data, sxem, müddət, domen bağlama).
4. Istifadə: avtorizasiya/kapçur/retrains token.
5. Rotasiya/yeniləmə: avtomatik yeniləmə (network), card updater (vault/PSP).
6. Baxış/silmə: istifadəçinin tələbi ilə (GDPR/DSR) və ya retensiya siyasəti.

3) PAN-safe memarlıq nümunələri

3. 1 Müştəri təbəqəsi (web/mobile)

PSP/TSP-dən Hosted fields/iFrame SDK: PAN sizin DOM-dan kənarda təqdim olunur.
Sizin frontendiniz yalnız token + kritik olmayan atributlar alır (son 4 rəqəm, BIN-meta).
SCA/3DS provayder vasitəsilə başlayır; serverləriniz nəticə/hökm alır.

3. 2 «Payments Orchestrator» xidməti

PAN görmür; tokenlərlə əməliyyat edir.
Həyata keçirir: marşrutlaşdırma (primary/secondary PSP), idempotency keys, retries/backoff, smart-routing (BIN/regionlar/dönüşümlər).
PSP (SLI/SLO) qaydaları və sağlamlıq sınaqları saxlayır.
Detokenize-proxy bilir (yalnız etibarlı perimetr daxilində «servis-mekik» kimi).

3. 3 Token-valt (əgər öz)

HSM-backend, FIPS uyğun şifrələmə.
Şəbəkə izolyasiyası/seqmentasiyası, AAA (MFA/least privilege), audit jurnalları, əsas rotasiya.
API: incə ACL/Scopes ilə tokenize (), detokenize (), rotate (), purge ().
Format-preserving encryption (FPE) dəstəyi - vizual olaraq «maskalanmış» saxlama lazımdır.

3. 4 Hadisə təkəri və DWH

Hadisələrdə - yalnız tokenlər və təhlükəsiz metadata.
payment_id vasitəsilə kapçura/refanda avtorizasiya Link (PAN deyil).
BI anbarlarında PAN və CVV qadağan edilmişdir.

4) Axınlar (mətn diaqramları)

4. 1 Birincil COF (kartın saxlanması)

1. User → Hosted Fields (PSP/TSP iframe) PAN təqdim edir.
2. PSP/TSP → token qaytarır (+ device binding/cryptogram).
3. Front → Backend (Orchestrator): `{token, order_id, context}`.
4. Orchestrator → PSP: 'auth' tokenlə (3DS challenge mümkündür).
5. PSP → Orchestrator: `auth_result`.
6. Orchestrator → Wallet Service: 'token' və meta saxlayın.

PAN xidmətlərinizin heç bir yerində görünmür.

4. 2 Yenidən yazma/abunə

1. Scheduler/Business → Orchestrator: `charge(token, amount)`.
2. Orchestrator → PSP: `capture/auth`.
3. PSP → Orchestrator: nəticə + arn/rrn.
4. Orchestrator → Ledger/Reconciliation.

4. 3 Failover и smart-routing

Qayda: 'IF PSP_A. degraded OR BIN in {X} THEN PSP_B ELSE PSP_A`.
Network tokenləri üçün hər iki PSP-nin onların qəbulunu dəstəklədiyinə əmin olun; əks halda - ikili bağlama (network + vault) saxlayın.

5) PAN-safe kontur 3DS və SCA

3DS2 hosted-SDK-dan başlayır; server status alias qəbul (frictionless, challenge, failure).
3DS hökmünü payment_id ilə əlaqələndirin; əməliyyat artefaktlarını (ARes, CRes refs) PAN olmadan saxlayın.
Rekarantinq üçün (MIT/recurring/unscheduled COF) - əməliyyat bayraqlarını düzgün qeyd edin (MIT növü, orijinal CIT reference).

6) Təhlükəsizlik, uyğunluq və məlumat siyasəti

PCI DSS coupe: PAN olmadan ön, PAN olmadan ön ⇒ qiymətləndirmə sadələşdirilir (SAQ-A/varyasyonlar). Öz valt/detokenizasiya varsa - daha yüksək (SAQ-D).
HSM/açar rotasiyası: dövri master açar rotasiyası, dual control, split knowledge.
GDPR/DSR: istifadəçinin istəyi ilə token və əlaqəli meta məlumatların silinməsi (PAN bilinmir).
Loqi/treys: ciddi maskalar, sızma detektorları (DLP), səhvlərin seriyalaşdırılmasında sanitarizasiya.
Seqmentasiya: xüsusi seqmentdə valt; giriş - yalnız mTLS və qısa ömürlü tokenlərlə (STS).

7) PSP/akavayerlərlə inteqrasiya

7. 1 PAN-safe üçün minimum PSP imkanları

Tokenizasiya ilə Hosted fields/SDK.
Şəbəkə tokenlərinin qəbulu (mümkünsə) və/və ya vault tokenlərinin ixracı.
Card updater, COF işarələri, MIT bayraqları.
3DS server + SCA orkestri.
idempotent-çatdırılma və imza ilə Webhooks.

7. 2 Multi-PSP memarlıq

Orchestrator-da «konnektorun» abstraksiyası (sahələrin unifikasiyası).
«Tərəzi/prioritetlər» cədvəli + sağlamlıq pinqləri.
BIN siyasəti cədvəli (sxem, region, məhsul, risk-skor).
Kritik marşrutlar üçün ehtiyat PSP (fallback SLA).

8) Kartların yenilənməsi və tokenlərin davamlılığı

Network tokens: avtomatik yeniləmə (LTV üçün daha yaxşı).
Vault tokens: card updater istifadə edin (PSP/3rd-party vasitəsilə).
Son tarix izləmə, istifadəçi qeydləri, yumşaq retralar (exponential backoff + jitter).
COF-ni PII istifadəçisinə deyil, account-id-ə bağlamaq.

9) Retray, səhvlər və idempotency

Idempotency-key = хеш(merchant_id, account_id, order_id, attempt_n).
Səhv kateqoriyası: hard (decline code daimi) vs soft (timeout, network, risk pending).
Backoff: 1m → 10m → 1h → 24h yuxarı sərhəd və hard-decline ləğv.
webhooks: event_id və status keçidləri (state machine) saxlayın.

10) Reconciliation və maliyyə

PAN olmadan ödəniş Ledger edin: 'payment _ id', 'psp _ txn _ id', 'arn/rrn', 'token _ id', statuslar.
PSP/akavayerdən gündəlik rec file ingestion; məbləğlərin, komissiyaların, çarcbeklərin müqayisəsi.
Refunds/voids/chargebacks üçün ayrı paylaynlar; billing/mühasibat ilə razılaşdırılması.
PSP/ölkələr/BIN tabları üzrə KPI.

11) Metrika və Məqsədlər (KPI)

Təhlükəsizlik/uyğunluq

PAN görməyən xidmətlərin% -i (məqsəd: 100%).
PCI scope level (aşağıda - daha yaxşı).

Biznes

Approval Rate (AR) token növlərinə görə (network vs vault).
COF retention rate, avtomatik yenilənmiş metodların payı.
D + 0/D + 1 rekonsilasiya fərqləri (məqsəd: → 0).

Texnika

Tokenizasiya vaxtı p95.
PSP fallback vasitəsilə əməliyyatların payı.
Detokenizasiya sayı (məqsəd: minimuma endirmək, yalnız valt daxilində).

12) Tez-tez anti-nümunələr

istisnalarda PAN/CVV log.
Hosted sahəsi olmayan müştəri formaları.
«Müvəqqəti» API şininiz vasitəsilə PAN göndərin.
Açıq siyasət (risk) olmadan müxtəlif domenlərin tokenlərini qarışdırın.
Marşrut kartının olmaması (bütün ödənişlər «bir PSP-yə»).
Artıq PII ilə 3DS-artefaktların saxlanması.

13) Tətbiq planı (addımlarla)

1. Frontend: hosted fields/SDK inteqrasiya, öz ödəniş formaları aradan qaldırılması.
2. PSP/TSP seçimi: network tokens, 3DS2, webhooks, card updater dəstək təsdiq.
3. Orchestrator: PSP üzərində abstraksiya təbəqəsi, marşrutlaşdırma qaydaları, idempotency, retries.
4. Valt (Opsiyonel): managed-vault seçin və ya özünüzü qurun (HSM, ACL, rotasiyalar).
5. Data/hadisələr: şin və DWH PAN qadağan; CI/CD-də DLP qapısını tətbiq etmək.
6. Komplayens: PCI sahəsini, prosedurları, audit jurnallarını, maskalanma testlərini yeniləyin.
7. Müşahidə: AR/LSR/latency ölçülər PSP, deqradasiya alertləri, deşbordlar.
8. İqtisadiyyat: A/B-test network vs vault AR/frod/dəyər tokenləri, flow optimizasiyası.

14) PAN-safe çek siyahısı

• Giriş PAN yalnız iframe/hosted fields.
• Bekend heç vaxt PAN/CVV qəbul etmir.
• Tokenlər saxlama, HSM açarları, rotasiya daxil şifrələnir.
• 3DS2 və SCA düzgün etiketlənir (CIT/MIT/COF).
• Multi-PSP marşrutlaşdırma və failover test edilmişdir.
• Card updater (network/PSP) aktiv.
• Log/treys/damps - PAN olmadan (maskalar/dezinfeksiyaedici).
• PAN olmadan Reconciliation və chargeback payplayns.
• GDPR/tokenlərin aradan qaldırılması siyasəti həyata keçirilir.
• Metriklər və alertlər token-flow keyfiyyətini əhatə edir.

15) Lüğət qısa

PAN: Kart nömrəsi.
Token (vault/network): təhlükəsiz PAN əvəzedicisi.
TSP: Token Service Provider (şəbəkə token xidməti).
COF/MIT/CIT: kart saxlama/satıcı təşəbbüsü/müştəri təşəbbüsü.
HSM: hardware təhlükəsizlik modulu.
SCA/3DS2: güclü autentifikasiya/kart autentifikasiya protokolu.

16) Xülasə

Tokenizasiya - PCI risklərinin azaldılması, approval rate artımı və iGaming-ə çevik ödəniş marşrutu üçün əsas texnika. Şəbəkə tokenlərini (konvertasiya və avtomatik yeniləmələrlə) vault tokens ilə (nəzarət və müstəqillik ilə) birləşdirin, hosted sahələri, orkestrator, açar idarəetmə və reconciliation-a qədər şəffaf izləmə ilə PAN-safe flow qurun. Bu təhlükəsizlik, miqyas və proqnozlaşdırıla bilən monetizasiya verəcəkdir.