Kartlary we PAN-safe akymy

1) Näme üçin tokenizasiýa we PAN-safe näme?

• PCI DSS-satyn almagy (we gözegçilik çykdajylaryny) azaltmak,
• syzmak howpuny azaltmak,
• ygtyýarlylygy gowulandyrmak (awtomatiki çalyşmalar, COF, one-click),
• multi-PSP marşrutlaşdyrmagy we gaýtadan hasapdan çykarmagy ýönekeýleşdirmek.

PAN-safe akymy şeýle bir ulanyjy we serwer ssenariýidir, bu ýerde PAN diňe izolirlenen ygtybarly perimetriň (walth/TSP/PSP iframe) içinde peýda bolýar we hiç haçan wakalaryň bekendinden/loginizden/tekerlerinden açyk görnüşde geçmeýär.

2) Bellikleriň görnüşleri we durmuş sikli

2. 1 Vault-tokenler (şahsy)

Siziň belgi-waltyňyz ýa-da üçünji tarap seýf-üpjün ediji tarapyndan döredilýär.
PAN-a birikdirildi, ýöne yzyna gaýtarylýan laýyklyk diňe waltda (HSM) saklanýar.
Islendik PSP/akawaire ugrukdyrmak üçin ulanylýar (çeýeligi).
Goşmaça: shemalardan garaşsyzlyk; Minus: öz compliant-walty talap edilýär.

2. 2 Network-tokenler (shema; Visa/Mastercard/AmEx TSP)

TSP arkaly torlar arkaly çykarylýar; köplenç device-/merchant-binding we kriptogramma bilen bilelikde bolýar.
Awtorizasiýany gowulandyrýarlar: approval rate-den ýokary, frod-fols-pozitiwlerden az.
Kartyňyzy täzeden goýbereniňizde awto täzelenmegi goldaýarsyňyz.
Minus: PSP/prosessor goldawy we bazarlary ýapmak.

2. 3 Bir gezek ulanylýan (single-use) we gaýtadan ulanylýan (COF)

Single-use: SCA-ny bir gezek ýazmak/başlamak üçin.
COF (Card-on-File): abuna ýazylmak, retraýlar, gaýtalanýan tölegler üçin.

2. 4 Durmuş sikli

1. Inisiatiwa: Öň töleg meýdançalaryny domeniňizden almaýar (hosted/iframe TSP/PSP).
2. Tokenizasiýa: PAN → token (vault ýa-da network), kriptogrammany çykarmak (zerur bolsa).
3. Saklamak: belgi we meta-maglumatlar (BIN-maglumatlar, shema, möhlet, domen-binding).
4. Ulanyş: belgi boýunça ygtyýarnama/kapçur/retra.
5. Aýlanyş/täzelenme: awto-täzelenmeler (network), card updater (vault/PSP).
6. Yzyna almak/aýyrmak: ulanyjynyň haýyşy boýunça (GDPR/DSR) ýa-da retensiýa syýasaty boýunça.

3) PAN-safe binagärlik nusgalary

3. 1 Müşderi gatlagy (web/mobile)

PSP/TSP-den hosted fields/iFrame SDK: PAN, DOM-dan daşarda girizilýär.
Siziň frontendiňiz diňe nyşany alýar + kritiki däl atributlar (soňky 4 san, BIN-meta).
SCA/3DS üpjün edijiniň üsti bilen başlanýar; serwerleriňiz netijäni/hökümi alýarlar.

3. 2 "Payments Orchestrator" hyzmaty

PAN görmeýär; tokenler bilen işleýär.
Amala aşyrýar: marşrutlaşdyrma (primary/secondary PSP), idempotency keys, retries/backoff, smart-routing (BIN/sebitler/öwrümler boýunça).
PSP (SLI/SLO) düzgünleriniň we saglyk synaglarynyň saklaýar.
Detokenize-proxy bilýär (diňe waltta ynanylan perimetriň içinde "hyzmat mekigi" hökmünde).

3. 3 Token-walt (eger öz bolsa)

HSM-arka, FIPS-gabat gelýän şifrlemek.
Tor izolýasiýasy/segmentasiýasy, AAA (MFA/least privilege), audit magazinesurnallary, esasy rotasiýa.
API: inçe ACL/Skopes bilen tokenize (), detokenize (), rotate (), purge ().
Format-preserving encryption (FPE) goldawy - wizual "gizlenýän" saklamak zerur bolsa, goşmaça.

3. 4 Waka tekeri we DWH

Wakalarda diňe bellikler we ygtybarly meta-maglumatlar bar.
payment_id arkaly kapçura/refanda ygtyýarlandyryş linki (PAN däl).
BI ammarlarynda PAN we CVV gadagan.

4) Akymlar (tekst diagrammalary)

4. 1 Esasy COF (kartyň saklanmagy)

1. User → Hosted Fields (PSP/TSP iframe) PAN girizýär.
2. PSP/TSP → tokeni yzyna gaýtarýar (+ device binding/cryptogram).
3. Front → Backend (Orchestrator): `{token, order_id, context}`.
4. Orchestrator → PSP: 'auth' token boýunça (3DS challenge mümkin).
5. PSP → Orchestrator: `auth_result`.
6. Orchestrator → Wallet Service: 'token' we meta saklaýarys.

PAN hyzmatlaryňyzda hiç ýerde görünmeýär.

4. 2 Gaýtadan ýazylmak/abuna ýazylmak

1. Scheduler/Business → Orchestrator: `charge(token, amount)`.
2. Orchestrator → PSP: `capture/auth`.
3. PSP → Orchestrator: netije + arn/rrn.
4. Orchestrator → Ledger/Reconciliation.

4. 3 Failover и smart-routing

Düzgün: 'IF PSP_A. degraded OR BIN in {X} THEN PSP_B ELSE PSP_A`.
Network tokenleri üçin iki PSP-iň hem kabul edilmegini goldaýandygyna göz ýetiriň; otherwiseogsam - ikilik baglanyşygy saklaň (network + vault).

5) PAN-safe konturynda 3DS we SCA

3DS2 hosted-SDK-dan başlaýar; serwerleriňiz status alialaryny kabul edýär (frictionless, challenge, failure).
3DS hökümini payment_id bilen baglanyşdyryň; PAN-syz geleşik artefaktlaryny (ARes, CRes refs) saklaň.
Rekarantingler üçin (MIT/recurring/unscheduled COF) - geleşikleriň baýdaklaryny dogry belläň (MIT görnüşi, asyl CIT reference).

6) Howpsuzlyk, laýyklyk we maglumatlar syýasaty

PCI DSS satyn almak: PAN-syz öň, PAN-syz öň ⇒ baha bermek ýönekeýleşdirilýär (SAQ-A/üýtgeşmeler). Öz waltt/detokenizasiýa bar bolsa, has ýokary (SAQ-D).
HSM/açar aýlawy: ussat açarlaryň wagtal-wagtal aýlanmagy, dual control, split knowledge.
GDPR/DSR: ulanyjynyň haýyşy boýunça tokeni we baglanyşykly meta maglumatlary aýyrmak (PAN näbelli bolup galýar).
Logy/trade: gaty maskalar, syzdyryş detektorlary (DLP), ýalňyşlyklary seriýallaşdyrmakda arassalamak.
Segmentasiýa: saýlanan segmentde walt; giriş - diňe mTLS we gysga ömürli tokenler (STS) arkaly.

7) PSP/akawaýerler bilen integrasiýa

7. 1 PAN-safe üçin PSP mümkinçilikleriniň iň az toplumy

Tokenizasiýa bilen Hosted fields/SDK.
Network tokenlerini kabul etmek (mümkin boldugyça) we/ýa-da vault tokenlerini eksport etmek.
Card updater, COF bellikleri, MIT baýdaklary.
3DS serwer + orkestr SCA.
Webhooks idempotent-gowşuryş we signatura bilen.

7. 2 Multi-PSP arhitektura

Orçestratorda "konnektoryň" abstraksiýasy (meýdanlary birleşdirmek).
"Tereziler/ileri tutulýan ugurlar" tablisasy + health-pingler.
BIN-syýasat tablisasy (shema, sebit, önüm, töwekgelçilik-skoring).
Möhüm ugurlar üçin ätiýaçlyk PSP (fallback SLA).

8) Kartlary täzelemek we tokenleriň dowamlylygy

Network tokens: Täzeden goýberilende awto täzelenmeler (LTV üçin has gowudyr).
Vault tokens: updater kartyny ulanyň (PSP/3rd-party arkaly).
Möhleti yzarlamak, ulanyja bellik etmek, ýumşak retra (exponential backoff + jitter).
COF-i PII ulanyja däl-de, account-id-e baglamak.

9) Retraýalar, ýalňyşlyklar we idempotency

Idempotency-key = хеш(merchant_id, account_id, order_id, attempt_n).
Hatalaryň kategoriýasy: hard (decline code hemişelik) vs soft (timeout, network, risk pending).
Backoff: 1m → 10m → 1h → 24h ýokarky serhedi we hard-decline-de ýatyrylýar.
Webhooks: event_id we status geçişlerini saklaň (state machine).

10) Reconciliation we maliýe

Töleg Ledgeri PAN-syz geçiriň: 'payment _ id', 'psp _ txn _ id', 'arn/rrn', 'token _ id', statuslar.
PSP/akawaýerden gündelik rec file ingestion; pullary, komissiýalary, çarjbekleri deňeşdirmek.
Refunds/voids/chargebacks üçin aýratyn paýlaýynlar; billing/buhgalteriýa bilen ylalaşmak.
PSP/ýurtlar/BIN-tablar boýunça KPI.

11) Metrikler we maksatlar (KPI)

Howpsuzlyk/gabat gelmek

PAN görmeýän hyzmatlaryň% -i (maksat: 100%).
PCI skope level (aşakda - has gowy).

Iş

Approval Rate (AR) token görnüşleri boýunça (network vs vault).
COF retention rate, awtomatiki täzelenen usullaryň paýy.
D + 0/D + 1 rekonsilýasiýa tapawudy (maksat: → 0).

Tehnika

Tokenizasiýa wagty p95.
PSP fallback arkaly geleşikleriň paýy.
Detokenizasiýalaryň sany (maksat: iň az, diňe waltyň içinde).

12) Ýygy-ýygydan anti-patternler

PAN/CVV girişi kadadan çykmalar.
Hosted meýdanlary bolmadyk müşderi görnüşleri.
PAN-y "wagtlaýyn" API-şina arkaly iberiň.
Aç-açan syýasat bolmazdan dürli domen tokenlerini garyşdyrmak (risk).
Marşrut kartasynyň ýoklugy (ähli tölegler "bir PSP-e").
Artykmaç PII bolan 3DS-artefaktlary saklamak.

13) Durmuşa geçirmek meýilnamasy (ädimler boýunça)

1. Frontend: hosted fields/SDK-ny birleşdiriň, öz töleg görnüşlerini aýyryň.
2. PSP/TSP saýlawy: network tokens, 3DS2, webhooks, card updater goldawyny tassyklaýarys.
3. Orchestrator: PSP-iň üstündäki abstraksiýa gatlagy, marşrutlaşdyryş düzgünleri, idempotency, retries.
4. Walt (goşmaça): dolandyrylan-vault saýlaýarys ýa-da özümizi gurýarys (HSM, ACL, rotasiýa).
5. Maglumatlar/wakalar: teker PAN we DWH gadaganlygy; CI/CD-e DLP derwezesini girizmek.
6. Gabat gelmek: PCI sebitini, amallary, audit magazinesurnallaryny, gizlemek synaglaryny täzelemek.
7. Syn edilişi: PSP boýunça AR/LSR/latency metrikleri, pese gaçmak aladalary, deashbordlar.
8. Ykdysadyýet: A/B-test network vs vault AR/frod/bahasy boýunça tokenler, flow optimizasiýasy.

14) PAN-safe barlag sanawy

• PAN diňe iframe/hosted fields.
• Bekend hiç haçan PAN/CVV kabul etmeýär.
• Bellikler saklanylanda şifrlenýär, açarlar HSM-de, aýlaw açylýar.
• 3DS2 we SCA dogry bellik edilýär (CIT/MIT/COF).
• Multi-PSP marşrut we failover synagdan geçirildi.
• Card updater (network/PSP) goşuldy.
• Lagerler/söwda/damplar - PAN-syz (maskalar/arassalaýjylar).
• PAN-syz Reconciliation we chargeback-payplayns.
• GDPR/bellikleri aýyrmak syýasaty ýerine ýetirildi.
• Metrikler we alertler token-flounyň hilini ýapýar.

15) Sözlük gysgaça

PAN: Kartyň belgisi.
Token (vault/network): PAN-yň ygtybarly ornuny tutujy.
TSP: Token Service Provider (Network Token Service).
COF/MIT/CIT: kartyň saklanylmagy/söwdanyň başlangyjy/müşderiniň başlangyjy.
HSM: enjam howpsuzlyk moduly.
SCA/3DS2: kartlar boýunça güýçli autentifikasiýa/autentifikasiýa teswirnamasy.

16) Gysgaça mazmuny

Tokenizasiýa - PCI töwekgelçiliklerini azaltmak, approval rate-ni ýokarlandyrmak we iGaming-e tölegleriň çeýe marşrutlaşdyrylmagy üçin esasy tehnika. Network tokens (öwrülişik we awto täzelenmeler arkaly) vault tokens (gözegçilik we garaşsyzlyk arkaly) bilen birleşdiriň, hosted-meýdanlar, orkestrator, açar dolandyryşy we ygtyýarnamadan reconciliation-a çenli aç-açan gözegçilik bilen PAN-safe flou guruň. Bu bolsa howpsuzlygy, gerimi we öňünden aýdyp boljak monetizasiýa berer.