Карта токенизациялоо жана PAN-safe агымдары

1) Эмне үчүн токенизациялоо жана PAN-safe деген эмне

• PCI DSS-сатып минималдаштыруу (жана контролдоо наркы),
• агып кетүү коркунучун азайтуу,
• авторизацияны жакшыртуу (автоматтык алмаштыруулар, COF, one-click),
• көп-PSP багыттоо жана кайра эсептен чыгаруу жөнөкөйлөтүү.

PAN-safe агымы - бул PAN бир гана обочолонгон ишенимдүү периметри (Walt/TSP/PSP iframe) ичинде пайда болот жана эч качан сиздин Бекенд/Логи/шиналар окуялар аркылуу ачык.

2) Токендердин түрлөрү жана жашоо цикли

2. 1 Vault токендер (жеке менчик)

Сиздин токен-вальт же үчүнчү тараптын сейф-провайдери тарабынан түзүлөт.
PAN байланыштуу, бирок кайра шайкештиги гана Walt (HSM) сакталат.
ар кандай PSP/Акавайер багыттоо үчүн колдонулат (ийкемдүүлүк).
Plus: схемалар көз карандысыздык; Минус: өз compliant-Walt талап кылынат.

2. 2 Network токендер (схема; Visa/Mastercard/AmEx TSP)

TSP аркылуу тармак тарабынан чыгарылган; көбүнчө device-/merchant-binding жана крипто менен коштолот.
Authorization жакшыртуу: жогоруда approval rate, азыраак frod-fols-positives.
Картаны кайра чыгарууда автоматтык жаңыртууну колдойт.
Минус: PSP/CPU колдоо жана рынокторду жабуу.

2. 3 Бир жолу колдонулуучу (single-use) жана кайра колдонулуучу (COF)

Single-use: бир жолу эсептен чыгаруу/демилгелөө үчүн SCA.
COF (Card-on-File): жазылуулар, ретрайлер, кайталап төлөмдөр үчүн.

2. 4 Жашоо цикли

1. Инициализация: Фронт сиздин доменден эмес төлөм талааларын алат (hosted/iframe TSP/PSP).
2. Токенизация: PAN → токен (vault же network), криптограмма чыгаруу (зарыл болсо).
3. Сактоо: токен жана метадеректер (BIN-маалыматтар, схема, мөөнөтү, домен-биндинг).
4. Колдонуу: авторизация/капчур/токен ретрасы.
5. Rotation/жаңыртуу: auto-update (тармак), карта updater (vault/PSP).
6. Карап чыгуу/алып салуу: колдонуучунун суроо-талабы боюнча (GDPR/DSR) же ретенция саясаты боюнча.

3) PAN-коопсуздук архитектуралык үлгүлөрү

3. 1 кардар катмары (web/mobile)

PSP/TSP тарабынан Hosted fields/iFrame SDK: PAN сиздин DOM тышкары киргизилген.
Сиздин frontend гана токен + критикалык эмес атрибуттарды алат (акыркы 4 сандар, BIN-meta).
SCA/3DS провайдер аркылуу башталат; Сиздин серверлер жыйынтык/өкүм алышат.

3. 2 "Payments Orchestrator" кызматы

PAN көрбөйт; токендер менен иштейт.
Ишке ашырат: багыттоо (primary/secondary PSP), idempotency keys, retries/backoff, smart-routing (BIN/региондор/конверсиялар боюнча).
PSP (SLI/SLO) эрежелеринин жана ден соолук сыноолорунун сактайт.
Ал detokenize-прокси (гана "кызмат-челнок" катары ишенимдүү периметри ичинде walth) билет.

3. 3 Токен-Walt (эгер өзүңүз болсо)

HSM арткы, FIPS шайкеш шифрлөө.
Тармакты изоляциялоо/сегменттөө, ААА (MFA/least privilege), аудит журналдары, негизги ротация.
API: tokenize (), detokenize (), rotate (), purge () ичке ACL/Scopes менен.
Колдоо format-preserving encryption (FPE) - көзгө көрүнөө "жамынып" сактоо керек болсо, кошумча.

3. 4 Окуя шиналар жана DWH

Иш-чараларда - токендер жана коопсуз метадеректер гана.
Link авторизациялоо payment_id аркылуу капчура/рефанда (PAN эмес).
BI сактоо PAN жана CVV тыюу салынат.

4) Агымдар (текст диаграммалары)

4. 1 баштапкы COF (картаны сактоо)

1. User → Hosted Fields (PSP/TSP iframe) PAN киргизет.
2. PSP/TSP → Токенди кайтарат (+ device binding/cryptogram).
3. Front → Backend (Orchestrator): `{token, order_id, context}`.
4. Orchestrator → PSP: Токен боюнча 'auth' (мүмкүн 3DS challenge).
5. PSP → Orchestrator: `auth_result`.
6. Orchestrator → Кошелек кызматы: сактоо 'token' жана мета.

PAN сиздин кызмат эч жерде пайда жок.

4. 2 Кайра эсептен чыгаруу/жазылуу

1. Scheduler/Business → Orchestrator: `charge(token, amount)`.
2. Orchestrator → PSP: `capture/auth`.
3. PSP → Orchestrator: натыйжасы + arn/rrn.
4. Orchestrator → Ledger/Reconciliation.

4. 3 Failover и smart-routing

Эреже: 'IF PSP_A. degraded OR BIN in {X} THEN PSP_B ELSE PSP_A`.
network токендер үчүн эки PSP алардын кабыл алуусун колдойт камсыз кылуу; болбосо - бинардык байланышты (network + vault) сактаңыз.

5) 3DS жана SCA PAN-коопсуз контур

3DS2 хостинг-SDK башталат; Сиздин серверлер статусунун алиастарын кабыл алат (frictionless, challenge, failure).
3DS өкүмүн payment_id менен байланыштырыңыз; транзакциялык экспонаттарды (ARes, CRes refs) PANсиз сактаңыз.
Рекарантинг үчүн (MIT/recurring/unscheduled COF) - транзакциялардын желектерин туура белгилеңиз (MIT түрү, баштапкы CIT шилтеме).

6) Коопсуздук, комплаенс жана маалымат саясаты

PCI DSS coupe: PAN жок фронт, PAN жок бекенд ⇒ баа жөнөкөйлөтүлгөн (SAQ-A/өзгөрүүлөр). Эгерде өзүңүздүн вальт/детокенизацияңыз болсо, анда жогоруда (SAQ-D).
HSM/негизги айлануу: мезгил-мезгили менен башкы ачкычтар айлануу, эки контролдоо, split билүү.
GDPR/DSR: колдонуучунун суроо-талабы боюнча токенди жана байланышкан метадерилерди алып салуу (PAN белгисиз бойдон калууда).
Логи/соодагерлер: каталарды сериалдаштырууда катуу маскировкалар, агып кетүү детекторлору (DLP), санитардык.
Сегментация: бөлүнгөн сегментте вальт; кирүү - mTLS жана кыска мөөнөттүү токендер (STS) аркылуу гана.

7) PSP/Акавайерлер менен бириктирүү

7. 1 PAN-safe үчүн минималдуу PSP мүмкүнчүлүктөрү топтому

Hosted fields/SDK tokenization менен.
network tokens (мүмкүн болушунча) кабыл алуу жана/же vault токендерин экспорттоо.
Card updater, COF белгилөө, MIT желектери.
3DS server + оркестр SCA.
idempotent-жеткирүү жана белги менен Webhooks.

7. 2 Multi-PSP архитектура

"Коннектордун" абстракциясы.
Таблица "салмагы/артыкчылыктары" + ден соолук-Pings.
BIN саясатынын жадыбалы (схема, аймак, продукт, тобокелдик-эсеби).
критикалык жолдор үчүн камдык PSP (fallback SLA).

8) Карталарды жаңыртуу жана токендердин бышыктыгы

Network tokens: Auto Updating (LTV үчүн жакшы).
Vault tokens: карта updater (PSP/3rd-партия аркылуу) колдонуу.
Мөөнөтү бүтүп, колдонуучуга эскертүү, жумшак ретра (exponential backoff + jitter).
COFти PII колдонуучуга эмес, account-id менен байланыштыруу, жөнөкөй кайра чыгаруу үчүн.

9) Retray, каталар жана idempotency

Idempotency-key = хеш(merchant_id, account_id, order_id, attempt_n).
Каталарды категориялаштыруу: hard (decline code туруктуу) vs soft (timeout, network, risk pending).
Backoff: 1m → 10m → 1h → 24h жогорку чек менен жана катуу-decline жокко чыгаруу.
webhooks: event_id жана статусу өткөөл сактоо (state machine).

10) Reconciliation жана каржы

PAN жок төлөм Ledger жүргүзүү: 'payment _ id', 'psp _ txn _ id', 'arn/rrn', 'token _ id', статустары.
PSP/Акавайер күнүмдүк rec file ingestion; суммаларды, комиссияларды, чаржбектерди салыштыруу.
refunds/voids/chargebacks үчүн өзүнчө пайплайндар; биллинг/бухгалтерия менен макулдашуу.
PSP/өлкөлөр/BIN-табтар боюнча KPI.

11) Метрика жана максаттар (KPI)

Коопсуздук/комплаенс

PAN эч качан көргөн кызмат% (максаты: 100%).
PCI scope level (төмөндө - жакшы).

Бизнес

Approval Rate (AR) токен түрлөрү боюнча (тармак vs vault).
COF retention rate, auto жаңыртылган ыкмалардын үлүшү.
D + 0/D + 1 реконсиляциялык айырмачылыктар (максаты: → 0).

Техника

Токенизация убактысы p95.
PSP fallback аркылуу транзакциялардын үлүшү.
Детокенизациянын саны (максаты: минималдаштыруу, вальттын ичинде гана).

12) тез-тез каршы үлгүлөрү

Кошпогондо PAN/CVV логикасы.
Hosted талаалары жок кардар формалары.
Сиздин API-шина аркылуу PAN жөнөтүү "убактылуу".
Ачык саясат жок ар кандай домендердин токендерин аралаштыруу (тобокелдик).
Маршруттук картанын жоктугу (бардык төлөмдөр "бир PSP").
ашыкча PII менен 3DS артефакттарды сактоо.

13) Ишке ашыруу планы (кадамдар боюнча)

1. Frontend: hosted fields/SDK киргизүү, өз төлөм түрлөрүн алып салуу.
2. PSP/TSP тандоо: network tokens колдоо тастыктоо, 3DS2, webhooks, карта updater.
3. Orchestrator: PSP үстүнөн абстракция катмары, багыттоо эрежелери, idempotency, retries.
4. Walt (кошумча): башкарылуучу-vault тандап же өзүбүздүн куруу (HSM, ACL, айлануу).
5. Маалыматтар/окуялар: шиналар жана DWH PAN тыюу салуу; CI/CDге DLP дарбазасын киргизүү.
6. Комплаенс: PCI аймагын, жол-жоболорун, аудит журналдарын, маска тесттерин жаңыртуу.
7. Байкоо: PSP боюнча AR/LSR/latency өлчөмдөрү, деградация коркунучтары, дашборддор.
8. Экономика: A/B-тест network vs vault tokenov AR/frod/наркы, flow оптималдаштыруу.

14) Чек тизмеси PAN-safe

• PAN киргизүү гана iframe/hosted fields.
• Бекенд эч качан PAN/CVV кабыл албайт.
• Токендер сактоодо шифрленген, HSM ачкычтары, айлануу киргизилген.
• 3DS2 жана SCA туура белгиленген (CIT/MIT/COF).
• Multi-PSP багыттоо жана өлтүргүч сыналган.
• Card updater (network/PSP) кирет.
• Логи/соода/дампалар - PAN жок (маска/санитайзер).
• PAN жок Reconciliation жана chargeback-payplayns.
• GDPR/Токендерди алып салуу саясаты ишке ашырылган.
• Метриктер жана алерталар токен-флоо сапатын камтыйт.

15) Глоссарий кыскача

PAN: карта номери.
Token (vault/network): PAN коопсуз алмаштыруучу.
TSP: Token Service Provider (тармактык токен кызматы).
COF/MIT/CIT: картаны сактоо/соода демилгеси/кардар демилгеси.
HSM: аппараттык коопсуздук модулу.
SCA/3DS2: күчтүү аутентификация/карта аутентификация протоколу.

16) Резюме

Токенизация - бул PCI тобокелдиктерин азайтуу үчүн негизги техника, approval rate өсүшү жана iGaming үчүн төлөмдөрдү ийкемдүү багыттоо. Тармактык токендерди (конверсиялоо жана автоматтык жаңыртуулар аркылуу) vault tokens менен (көзөмөл жана көз карандысыздык менен) айкалыштырыңыз, PAN-safe флоусун hosted талаалары, оркестратор, ачкычтарды башкаруу жана авторизациядан reconciliation чейин ачык-айкын байкоо менен түзүңүз. Бул коопсуздук, масштабы жана алдын ала акча берет.