NFC i granice bezstykowe

1) Podstawowe koncepcje NFC/EMV

NFC (bez kontaktu) w POS to płatność EMVCo za pośrednictwem kanału radiowego (Visa payWave, Mastercard PayPass itp.) z jednorazowym kryptogramem i CVM (metoda weryfikacji posiadacza karty).
CVM określa, czy weryfikacja posiadacza jest wymagana i które: Nie CVM, Offline PIN, PIN Online, CDCVM (Consumer Device CVM - biometria/pin urządzenia w Apple/Google/Samsung Pay).
DPAN/Network Token: Portfele (Apple/Google Pay) używają tokena zamiast PAN.
Terminal risk-engine: limit podłogi, zasady ryzyka offline, klucze CAPK, TAC/IAC (terminal/Application Action Codes).

2) Skąd bierze się „limit bezstykowy bez kodu PIN”?

1. System kart (Visa/MC/itd.) - ustanawia zasady CVM i kompatybilność jądra.

2. Regulator/rynek - może ograniczyć kwotę bez CVM (np. w UE, Wielkiej Brytanii itd. - jej progi).

3. Parametry końcowe - rdzeń config (CVM Limit, Floor Limit, Speed/Cumulative counters).

4. Wystawca/karta - profile ryzyka, usługi off-services, liczniki (liczba transakcji z rzędu bez SCA i/lub łączny próg).

Ważne: limit dotyczy transakcji kartą fizyczną bez CVM. Po zastosowaniu CDCVM jest on już „mocno uwierzytelniony”, a próg No-CVM nie ma znaczenia.

3) Dlaczego Apple/Google Pay jest często „nieograniczony”

CDCVM = biometria/pin urządzenia potwierdzone przez telefon/zegarek. Jest to zgodne z SCA i jest uważane za pełną weryfikację posiadacza.
W przypadku transakcji z CDCVM, terminal otrzymuje informację, że CVM został zakończony, więc nie obowiązują żadne ograniczenia kwoty bez CVM (płatność jest możliwa dla dowolnej kwoty, jeśli emitent zatwierdzi).
Wyjątki: terminal/rdzeń nie obsługuje CDCVM, portfel wyłączony biometrii, skrypty tranzytowe/offline, lokalne przepisy regulacyjne.

4) Limity offline i liczniki skumulowane

Limit podłogi - próg, do którego terminal może teoretycznie zezwolić na autoryzację offline (w bezstykowe ustawienia są często zerowe, ale ustawienia zależą).
Liczniki skumulowane/prędkości - liczba kolejnych operacji bez SCA lub ich łącznej wartości. Po wyczerpaniu, terminal/emitent wymaga PIN/online.
Offline PIN w styku nie są obsługiwane przez wszystkie karty/terminale; częściej korzysta z Internetu i prosi o kod PIN Online.

5) Ramy regulacyjne (wytyczne)

PSD2/SCA (EOG): dozwolone są operacje kontaktowe i bezstykowe bez SCA z progami (na przykład do ~ 50 € na raz i łącznie do ~ 150 €/lub N operacji z rzędu - punkty orientacyjne; dokładne wartości zależą od lokalnego banku/wdrożenia rynku). SCA (PIN/CDCVM) jest → wymagane.
Wielka Brytania/inne rynki: własne limity bez CVM (podniesione historycznie).
Tranzyt/otwarta pętla (metro, autobusy): specjalne ustawienia transportowe - dozwolone brak CVM przy dużej przepustowości, mechanizmy ryzyka offline i późniejsze po autoryzacji/agregacji. „Niezwykłe” statusy i późne zaprzeczenia są możliwe.

6) Typowe etapy CVM

Karta fizyczna, zakup poniżej progu No-CVM: szybki kran, brak kodu PIN.
Karta fizyczna powyżej progu nr CVM: terminal prosi o numer PIN/podpis lub przeniesienie do kontaktu/online.
Apple/Google Pay (CDCVM): biometria zakończona - limit jest faktycznie „usunięty”, ale emitent nadal może odmówić zgodnie z własnymi zasadami/ryzykiem.
Noszenie: zwykle CDCVM za pomocą urządzeń PIN podczas „odblokowania” i ciągłego noszenia; po usunięciu urządzenia wymagany jest drugi kod PIN.

7) Zagrożenia i środki zapobiegawcze

Brak CVM utraty/kradzieży karty: Emitenci rekompensują, ale trzymają liczniki/prędkość, aby ograniczyć szkody.
Rozwiązania terminali offline: zwiększają UX, ale ponoszą ryzyko „spóźnionej” awarii podczas późniejszej weryfikacji online.
CDCVM zmniejsza ryzyko (SCA), zwiększa wskaźnik zatwierdzenia, ale nie wyklucza blokowania emitenta/regulacji dla MCC/geo/punktacji.

8) Wzory UX przy realizacji transakcji

Wyświetl statusy: „Przynieś kartę/telefon”, „Potwierdź na urządzeniu”, „Wprowadź kod PIN”.
Jeśli spadek jest powyżej progu, sugeruj „Powtórz z PIN” lub „Zapłać z portfela (Apple/Google Pay)”.
W tranzycie - wyczyść teksty "Dotknij/Stuknij'," Zderzenie karty "(kilka kart/portfeli w tym samym czasie).

9) Lista kontrolna konfiguracji terminalu (nabywca/handlowiec)

1. rdzenie: obecne jądra bezstykowe EMV, CAPK, parametry obwodu (Visa/MC/...); regularne aktualizacje.
2. Limit CVM/Limit podłogi/Prędkość: zgadzają się z zasadami bankowymi i lokalnymi; Włącz obsługę CDCVM.
3. Preferencje online: dla wysokiego ryzyka - wymuszony online; dla tranzytu - profil transportowy.
4. Logika Follbeck: po przekroczeniu progu żądanie PIN/signature/contact insert jest →.
5. Logi/telemetria: powód żądania PIN (No-CVM exceeded/liczniki), udział CDCVM, rozwiązania offline, zatwierdzenie szybkości.
6. UX: zrozumiałe promptas na wyświetlaczu; dla portfeli - wiersz „Potwierdź na iPhone/watch/Android”.
7. Przypadki testowe: kwoty poniżej/powyżej progu, kolejny kran N bez kodu PIN (uruchomione liczniki), płatność CDCVM, okno offline, profil tranzytowy.

10) Cechy pionów

Tranzyt/bilet: prędkość priorytetowa, zero/minimalny interfejs użytkownika; często oddzielne taryfy/procedury po rozliczeniu.
Hotele/wynajem: lepiej jest przeprowadzić przedautoryzację i przyrostowe czapki online/online z SCA; bezstykowe „tap-and-go” jest odpowiednie tylko przy ostatecznych odpisach.
iGaming/quasi-cache: offline jest rzadko istotne; w przypadku ryzyka MCC emitenci mogą wybiórczo odmówić nawet z CDCVM.

11) KPI i wskaźniki operacyjne

Szybkość zatwierdzania przez cięcie: karty vs portfele (CDCVM), poniżej/powyżej No-CVM, rozwiązania offline.
Udział CDCVM i jego wkład w konwersję.
Szybkość PIN-prompts (ile operacji wymagany kod PIN) i wpływ na prędkość obsługi.
Późne spadki (po uprawnieniach offline), stopa obciążenia zwrotnego dla No-CVM.
KPI tranzytu: przepustowość (krany/min), tap-on/tap-off match, ochrona przychodów.

12) Szybkie odpowiedzi na potrzeby wsparcia/operacji

„Dlaczego nie ma numeru PIN za dużą kwotę?” - CDCVM jest wykonany w portfelu; To SCA.
„Dlaczego prosiłeś o małego PIN?” - uruchomiono liczniki lub żądano terminalu SCA zgodnie z przepisami.
„Dlaczego telefon nie zadziałał?” - terminal/rdzeń nie obsługuje CDCVM, portfel jest zablokowany, nie ma sieci online, zderzenie kart.

13) Podsumowanie/praktyczne wnioski

Limit bez CVM jest progiem tylko dla operacji bez weryfikacji posiadacza; nie ma zastosowania do CDCVM.
Konfigurowanie zacisków włączonych CDCVM, rdzeni aktualizacji i parametrów (CVM/Floor/Velocity).
rozważenie lokalnych progów regulacyjnych i przepisów dotyczących obwodów; prowadzenie różnych profili (handel detaliczny i tranzyt).
Monitorowanie zatwierdzania szybkości/CDCVM-share/PIN-prompts i zmniejszenie ryzyka offline.
W komunikacji i interfejsie użytkownika, uczynić powody wniosków PIN przejrzyste i oferować portfele jako sposób, aby przejść SCA bez „limit”.