Netzwerk-Token

Was die Netzwerke tatsächlich ausgeben

Jedes Netzwerk betreibt einen Tokenisierungsdienst — Visa Token Service, Mastercard Digital Enablement Service, American Express Token Service — und was diese Dienste ausgeben, ist eine Ersatzkontonummer. Sie hat die gleiche Form wie eine Kartennummer und bewegt sich durch dieselben Systeme, aber sie stammt aus einem Token-BIN-Bereich und ist nicht die Karte des Kunden.

Drei Attribute sind daran angehängt, und sie sind es, die einen Netzwerk-Token von einer gewöhnlichen Datenbankreferenz unterscheiden. Eine Token-Anforderer-ID identifiziert die Partei, die berechtigt ist, ihn zu verwenden. Domänenbeschränkungen legen fest, wo er präsentiert werden darf — welcher Kanal, welcher Händler, welche Art von Transaktion. Und jede Autorisierung trägt ein Kryptogramm, einen Wert pro Transaktion, der beweist, dass die Anfrage vom berechtigten Anforderer stammt und nicht von jemandem, der eine Nummer aus einem Protokoll kopiert hat.

Diese Kombination ist der Grund, warum ein geleakter Netzwerk-Token ein viel kleineres Ereignis ist als eine geleakte Kartennummer. Für sich allein autorisiert er nichts, da er außerhalb seiner Domäne nicht präsentiert werden kann und kein gültiges Kryptogramm erzeugen kann.

Die Netzwerke stellen auch eine Zahlungskonto-Referenz bereit, einen stabilen Identifikator für die zugrunde liegende Karte, der mit jedem daraus erstellten Token mitreist. Er ermöglicht es einem Händler zu erkennen, dass zwei Token dieselbe Kundenkarte betreffen — zur Deduplizierung, für Betrugsregeln, um dieselben Zahlungsdaten über einen Web-Checkout und eine Wallet hinweg zu erkennen — ohne jemals die Kartennummer zu sehen.

Was passiert, wenn die Karte neu ausgestellt wird

Der Token ist eine Referenz auf eine Zuordnung, die das Netzwerk pflegt, keine Kopie der Karte. Wenn der Emittent die Karte mit einer neuen Nummer oder einem neuen Ablaufdatum neu ausstellt, aktualisiert das Netzwerk seine Seite der Zuordnung. Der von Ihnen gespeicherte Token ändert sich nicht, und auch nichts in Ihrer Datenbank.

Dies ist ein anderer Mechanismus als ein Account Updater, und der Unterschied ist es wert, präzise beschrieben zu werden. Ein Updater ändert den Wert, den Sie speichern: Er gibt eine neue Nummer zurück, Sie schreiben sie in Ihren Vault, und Sie müssen die Abfrage rechtzeitig ausgeführt haben, damit die Speicherung vor der Belastung erfolgt. Ein Netzwerk-Token ändert nichts, was Sie speichern, da der von Ihnen gespeicherte Wert von vornherein nie die Karte war.

Die praktische Konsequenz ist, dass die Art von Fehlern, die durch veraltete Zahlungsdaten verursacht werden, weitgehend verschwindet, anstatt verwaltet zu werden. Es gibt keinen Batch-Job zu planen, keine Antwortdatei zu verarbeiten und kein Zeitfenster, in dem Ihre Kopie veraltet ist. Für ein Abonnementgeschäft, bei dem die durchschnittlichen Zahlungsdaten Jahre alt sind, ist diese Art von Fehlern kein Rundungsfehler.

Warum sich Autorisierungsraten ändern

Die Steigerung kommt von drei separaten Mechanismen, und es ist wichtig, sie zu trennen, da sie nicht für jeden Händler gleichermaßen gelten.

Der erste ist arithmetisch: Belastungen, die bei einer abgelaufenen oder neu nummerierten Karte fehlgeschlagen wären, sind nun erfolgreich, sodass die Fehler den Nenner verlassen. Der zweite ist das Kryptogramm, das dem Risikomodell des Emittenten ein starkes Authentizitätssignal gibt, das eine bloße Kartennummer nicht tragen kann — eine tokenisierte Anfrage stammt nachweislich von dem Händler, der berechtigt ist, sie zu stellen, was genau die Unterscheidung ist, die Emittentenmodelle nur schwer treffen können zwischen einer legitimen gespeicherten Zahlungsdaten und einem Kartentest-Skript. Der dritte ist die Datenvollständigkeit: Tokenisierte Transaktionen tragen reichhaltigere Identifikatoren durch das Netzwerk, und Emittenten können daher eine fundiertere Entscheidung treffen als eine konservative Standardeinstellung.

Daraus folgt, dass die Größe der Verbesserung davon abhängt, wie Ihr Geschäft aussieht. Ein Händler, der frische, auf dem Markt befindliche Karten jeweils einmal belastet, hat wenig zu gewinnen, da nur wenige seiner Zahlungsdaten veraltet sind und sein Risikoprofil bereits lesbar ist. Ein Abonnementgeschäft, das drei Jahre alte Zahlungsdaten über mehrere Märkte hinweg abrechnet, ist der Fall, für den Netzwerk-Token entwickelt wurden. Wer einen einzelnen Steigerungsprozentsatz angibt, als wäre er eine Eigenschaft der Technologie, beschreibt sein eigenes Geschäft, nicht Ihres.

Netzwerk-Token versus Zahlungsdienstleister-Vault-Token

Beide sind Token und beide halten Kartennummern aus Ihren Systemen fern, womit die Ähnlichkeit endet. Ein Zahlungsdienstleister-Vault-Token ist eine Referenz in der Datenbank eines Unternehmens. Ein Netzwerk-Token ist ein Instrument, das das Kartennetzwerk ausgegeben hat und weiterhin pflegt.

Die Unterscheidung, die Plattformmigrationen entscheidet, ist, wer der Token-Anforderer ist. In den meisten Standardintegrationen ist der Zahlungsdienstleister oder das Gateway der registrierte Token-Anforderer, was bedeutet, dass die Token für sie und nicht für Sie bereitgestellt werden. Die Netzwerke unterstützen Vereinbarungen, bei denen ein Händler sein eigener Token-Anforderer ist, und sie unterstützen Portabilitätsanfragen zwischen Anforderern, aber beides ist nicht automatisch und geschieht nicht ohne die Zusammenarbeit einer Partei, deren kommerzielles Interesse in die andere Richtung weist. Der Zeitpunkt, um festzulegen, welche Vereinbarung Sie nutzen, ist, bevor Sie eine Abonnentenbasis haben, nicht während einer Migration.