卡令牌化和PAN安全流

1）為什麼要進行令牌化以及PAN安全是什麼

• 最大限度地減少PCI DSS（和控制成本），
• 降低泄漏的風險，
• 改進授權（自動安裝,COF,單擊）,
• 簡化多個PSP路由和重復註銷。

PAN安全流是一種自定義和服務器腳本，其中PAN僅出現在隔離的受信任外圍（華爾特/TSP/PSP iframe）中，並且永遠不會以開放形式通過您的bekend/logi/事件總線。

2）令牌類型和生命周期

2.1個保險庫代幣（私人）

由您的代幣華爾街或第三方保險提供商生成。
綁定到PAN，但可逆匹配僅存儲在華爾特（HSM）中。
用於路由到任何PSP/akavayer（靈活性）。
另外：獨立於計劃；減：需要自己的compliant-walt。

2.2網絡令牌（電路；Visa/Mastercard/AmEx TSP)

由網絡通過TSP發布；通常伴有設備-/商品綁定和密碼。
改進了授權：高於親和力率，降低了親和力。
重新發布卡時支持自動更新。
減：搭配PSP/CPU支持和市場覆蓋。

2.3一次性（單用）和可重復使用（COF）

單一使用：用於一次性註銷/啟動SCA。
COF （Card-on-File）：用於訂閱、轉發、重復付款。

2.4生命周期

1.初始化：前端接收的支付字段不是來自您的域（主機字段/iframe TSP/PSP）。
2.令牌化：PAN →令牌（vault或network），密碼圖發布（如果需要）。
3.存儲：令牌和元數據（BIN數據，電路，時限，域綁定）。
4.使用：代幣授權/kapchur/retrai。
5.輪換/更新：自動升級（網絡）、卡片更新（vault/PSP）。
6.召回/刪除：應用戶要求（GDPR/DSR）或根據撤銷策略。

3）PAN安全建築模式

3.1個客戶端層（web/mobile）

PSP/TSP 的主機/iFrame SDK： PAN在您的DOM外部輸入。
您的前端僅接收令牌+非關鍵屬性（最後4位數字，BIN-meta）。
SCA/3DS通過提供商開始；您的服務器得到結果/判決。

3.2 「Payments Orchestrator」服務"

看不到PAN；用令牌操作。
實現：路由（primary/secondary PSP）, idempotency keys, retries/backoff, smart-routing（通過BIN/區域/轉換）。
擁有PSP（SLI/SLO）的規則和健康樣本。
知道如何使用detokenize代理（僅作為可信賴的華爾街周邊內的「服務班車」）。

3.3令牌華爾特（如果他的話）

HSM後端，FIPS兼容的加密。
網絡隔離/分段,AAA （MFA/least privilege）,審核日誌,關鍵輪換。
API：具有薄ACL/Scopes的tokenize（）、detokenize（）、rotate（）、purge（）。
Format-peserving encryption （FPE）支持-如果需要可視化「可屏蔽」存儲,則可選。

3.4事件總線和DWH

在事件中-僅令牌和安全元數據。
授權鏈接↔ kapchur/refanda通過payment_id（非PAN）。
在BI存儲中，PAN和CVV被禁止。

4）線程（文字圖表）

4.1個主要COF（保存地圖）

1.User → Hosted Fields（PSP/TSP iframe）引入PAN。
2.PSP/TSP →返回token（+device binding/cryptogram）。

3.Front → Backend (Orchestrator): `{token, order_id, context}`.

4.Orchestrator → PSP： 「auth」通過令牌（可能3 DS挑戰）。

5.PSP → Orchestrator: `auth_result`.

6.Orchestrator → Wallet Service：我們保留「token」和meta。

PAN不會出現在您的服務中。

4.2重新註銷/訂閱

1.Scheduler/Business → Orchestrator: `charge(token, amount)`.

2.Orchestrator → PSP: `capture/auth`.

3.PSP → Orchestrator：結果+arn/rrn。

4.Orchestrator → Ledger/Reconciliation.

4.3 Failover и smart-routing

規則： 'IF PSP_A。degraded OR BIN in {X} THEN PSP_B ELSE PSP_A`.

對於網絡令牌，請確保兩個PSP都支持其接受；否則-保持二進制綁定（network+vault）。

5）3 DS和SCA在PAN安全回路

3DS2從hosted-SDK啟動；您的服務器接受狀態的alias （frictionless, challenge, failure）。
將3 DS判決與payment_id聯系起來；在沒有PAN的情況下存儲事務工件（ARes、CRes refs）。
對於重新隔離（MIT/recurring/unscheduled COF）-正確標記事務標誌（MIT類型、原始CIT參考）。

6）安全性、合規性和數據政策

PCI DSS漏洞：沒有PAN的前端，沒有PAN的後端⇒分數簡化（SAQ-A/變體）。如果有自己的華爾特/分解-上方的scope（SAQ-D）。
HSM/關鍵旋轉：主鍵周期性旋轉，雙控制，分裂知識。
GDPR/DSR：應用戶要求刪除令牌和相關元數據（PAN仍然未知）。
Logi/Traces：最嚴格的偽裝、泄漏檢測器（DLP）、序列化錯誤時的消毒。
細分：專用細分中的華爾特；僅通過mTLS和短壽命令牌（STS）訪問。

7）與PSP/akawayers的集成

7.1 PAN安全的最低PSP功能集

托管場/帶標記化的SDK。
采用network tokens（如果可能）和/或導出vault令牌。
卡上標，COF標記，麻省理工學院標誌。
3 DS server+SCA編排。
具有idempotent 交付和簽名的Webhooks。

7.2 Multi-PSP體系結構

Orchestrator中的「連接器」抽象（字段統一）。
「權重/優先級」表+健康品格。
BIN策略表（方案，區域，產品，風險評分）。
關鍵路線備用PSP（fallback SLA）。

8）卡更新和令牌耐用性

Network tokens：重新發布時自動更新（最適合LTV）。
Vault tokens：使用updater卡（通過PSP/3rd-party）。
跟蹤到期日、用戶符號化、軟轉發（exponential backoff+ jitter）。
將COF綁定到account-id,而不是PII上的用戶,以便簡單地重新發布。

9）Retrai，錯誤和idempotency

Idempotency-key = хеш(merchant_id, account_id, order_id, attempt_n).

錯誤分類：hard （decline代碼永久）vs soft （timeout, network, risk pending）。
Backoff： 1m → 10 m → 1h → 24 h，上限和取消時硬扣。
Webhooks重復數據消除：存儲event_id和狀態轉換（state machine）。

10）重新安置和財務

在沒有PAN的情況下運行支付Ledger：「payment_id」，「psp_txn_id」，「arn/rn」，「token_id」，狀態。
PSP/akavayer的每日垃圾文件輸入；清算金額，傭金，沖鋒隊。
refunds/voids/chargebacks的單獨管線；與賬單/會計核對。
PSP/國家/BIN禁忌中的KPI。

11）度量與目標（KPI）

安全/合規性

PAN從未見過的服務的百分比（目標：100%）。
PCI scope級別（下面-更好）。

業務

按令牌類型（network vs vault）分類的Approval Rate（AR）。
COF retention rate,自更新方法的比例。
D+0/D+1重構差異（目標：→ 0）。

技術

P95代幣化時間。
通過後退PSP進行交易的份額。
分解（目標：最小化，僅在華爾街內）。

12）頻繁的反模式

例外情況中的PAN/CVV邏輯。
沒有主機字段的客戶端表單。
通過API總線發送PAN「暫時」。
混合不同域的令牌而沒有顯式策略（風險）。
沒有路由卡（所有「單個PSP」付款）。
存儲冗余PII的3 DS工件。

13）實施計劃（按步驟）

1.Frontend：集成主機場/SDK，刪除自己的支付表格。
2.PSP/TSP選擇：確認支持網絡對講機、3DS2、webhooks、card updater。
3.Orchestrator：在PSP、路由規則、idempotency、retries上抽象層。
4.華爾特（可選）：選擇管理金庫或構建自己的金庫（HSM, ACL,旋轉）。
5.數據/事件：禁止PAN進入輪胎和DWH；在CI/CD中實施DLP門。
6.合規性：升級PCI區域、程序、審核日誌、掩碼測試。
7.可觀察性：PSP的AR/LSR/latency度量，降解差，死板。
8.經濟學：A/B測試網絡vs vault代幣按AR/frode/成本計算，流量優化。

14） PAN-safe支票清單

• 僅在iframe/hosted fields中輸入PAN。
• 貝肯德從未接受PAN/CVV。
• 代幣在存儲中加密，密鑰在HSM中，輪換打開。
• 3DS2和SCA標記正確（CIT/MIT/COF）。
• Multi-PSP路由和失敗測試。
• 啟用updater卡（network/PSP）。
• Logi/Traces/Dumps-無PAN（口罩/消毒劑）。
• Reconciliation和沒有PAN的chargeback-pipline。
• 已實施GDPR/代幣刪除策略。
• 度量標準和Alertes涵蓋了令牌流量的質量。

15）詞匯表摘要

PAN：卡號。
Token （vault/network）：安全的PAN替代品。
TSP：令牌服務提供商（網絡令牌服務）。
COF/MIT/CIT：地圖存儲/商戶計劃/客戶計劃。
HSM：硬件安全模塊。
SCA/3DS2：強大的身份驗證/卡驗證協議。

16）摘要

令牌化是降低PCI風險，提高升級率以及將付款靈活路由到iGaming的基本技術。將network tokens（通過轉換和自動更新）與vault tokens（通過控制和獨立性）結合使用,構建帶有主機字段、編排器、密鑰管理和從授權到重新定位透明可觀察性的PAN-safe flow。這將帶來安全、規模和可預測的貨幣化。