توکن‌سازی شبکه: پرداخت‌های امن، نرخ‌های بالاتر احراز هویت

شماره کارت‌ها، اعتبارنامه‌های پرداخت وحشتناکی هستند. یک شماره حساب اصلی ۱۶ رقمی بین پذیرندگان تغییر نمی‌کند، به آرامی در طول سال‌ها قدیمی می‌شود و در ده‌ها پایگاه داده وجود دارد - که هر یک از آنها می‌تواند مورد نفوذ قرار گیرد. صنعت پرداخت مدت‌هاست که این موضوع را می‌داند، اما این راه حل اخیراً در مقیاس بزرگ عملی شده است.

توکن‌سازی شبکه، راه‌حل این مشکل است. ویزا، مسترکارت و امریکن اکسپرس، شماره کارت ذخیره‌شده را با یک مقدار جایگزین - یک توکن شبکه - جایگزین می‌کنند که فقط برای یک پذیرنده خاص کار می‌کند و برای هر تراکنش، یک رمزنگاری یکبار مصرف تولید می‌کند. توکن را بدزدید؛ در جای دیگر بی‌ارزش است. آمار ویزا: کاهش میانگین ۲۶ درصدی کلاهبرداری، افزایش ۴.۶ درصدی نرخ مجوز در تراکنش‌های بدون حضور کارت برای پذیرندگانی که از توکن‌های شبکه استفاده می‌کنند.

این مقاله به بررسی سازوکار، مقایسه با توکنیزاسیون دروازه (که از نظر مالی با آن متفاوت است) و نحوه پیاده‌سازی آن در عمل می‌پردازد.

توکنیزاسیون شبکه چیست؟

شماره حساب اصلی کارت شما (PAN) یک شناسه ۱۶ رقمی ثابت است. این شماره بین پذیرندگان یا تراکنش‌ها تغییر نمی‌کند؛ همین مقدار در دوازده پایگاه داده مختلف ذخیره می‌شود تا زمانی که بانک کارت فیزیکی را دوباره صادر کند. مشکل همین است. اطلاعات اعتباری ثابت و ذخیره شده در حجم زیاد، اهداف آسانی برای هکرها هستند.

شبکه‌های کارت - ویزا، مسترکارت، امریکن اکسپرس - این مشکل را از طریق توکن‌سازی شبکه حل می‌کنند. آن‌ها PAN را با یک مقدار عددی تصادفی، توکن شبکه، جایگزین می‌کنند که فقط درون زیرساخت خود شبکه کارت به کارت واقعی نگاشت می‌شود. این توکن مختص فروشنده است. یک توکن رهگیری‌شده از یک فروشگاه را نمی‌توان در فروشگاه دیگری دوباره پخش کرد یا برای کپی کردن کارت استفاده کرد.

توکن‌سازی درگاه (که به آن توکن‌سازی PCI نیز گفته می‌شود) به طور متفاوتی عمل می‌کند. یک ارائه‌دهنده خدمات پرداخت یا درگاه، توکن خود را تولید می‌کند و آن را در خزانه خود نگهداری می‌کند. توکن‌های درگاه فقط در همان اکوسیستم واحد عمل می‌کنند. توکن‌های شبکه از خود شبکه‌های کارت می‌آیند و سیگنال‌های اعتمادی را حمل می‌کنند که صادرکنندگان آنها را تشخیص می‌دهند، و این همان چیزی است که باعث افزایش نرخ مجوز می‌شود.

نحوه عملکرد توکن‌سازی شبکه

چرخه حیات شامل سه مرحله است: تأمین، پردازش تراکنش و مدیریت چرخه حیات.

تأمین اعتبار قبل از اولین شارژ اتفاق می‌افتد:

1. فروشنده یا ارائه‌دهنده پرداخت، اطلاعات کارت را به یک ارائه‌دهنده خدمات درخواست‌کننده توکن (TPSP)، که معمولاً PSP یا درگاه پرداخت با ادغام مستقیم شبکه کارت است، ارسال می‌کند.
2. TPSP درخواست را به شبکه کارت مربوطه (سرویس توکن ویزا، سرویس توانمندسازی دیجیتال مسترکارت و غیره) هدایت می‌کند.
3. شبکه کارت، کارت را با بانک صادرکننده بررسی می‌کند. پس از تأیید، یک توکن شبکه مرتبط با آن فروشنده و زمینه دستگاه ایجاد می‌کند.
4. توکن به TPSP برمی‌گردد و ذخیره می‌شود. دیگر نیازی به PAN خام نیست.

پردازش تراکنش از این مسیر پیروی می‌کند:

1. مشتری پرداخت می‌کند.
2. فروشنده توکن شبکه را به پردازنده پرداخت ارسال می‌کند.
3. پردازنده از شبکه کارت، یک رمز عبور (کریپتوگرام) درخواست می‌کند. این رمز عبور، یک کد یکبار مصرف است که به مدت ۱۵ دقیقه اعتبار دارد و به این تراکنش خاص مرتبط است.
4. توکن به همراه رمزنگاری برای مجوز به بانک صادرکننده می‌رود.
5. صادرکننده، اعتبارنامه‌ی تأیید شده توسط شبکه را مشاهده می‌کند و تراکنش را پردازش می‌کند.

مدیریت چرخه عمر به صورت بی‌صدا در پس‌زمینه اجرا می‌شود. وقتی کارتی به دلیل انقضا، گم شدن یا کلاهبرداری دوباره صادر می‌شود، شبکه کارت، نگاشت توکن را به‌روزرسانی می‌کند. توکن ذخیره شده فروشنده بدون هیچ اقدامی از سوی مشتری به کار خود ادامه می‌دهد.

توکن شبکه در مقابل توکن دروازه: تفاوت‌های کلیدی

بیشتر بازرگانان در حال حاضر داده‌های کارت توکنیزه شده را از طریق PSP خود ذخیره می‌کنند. توکن‌های Gateway از این داده‌ها در یک محیط پرداخت محافظت می‌کنند، اما به سقفی می‌رسند که توکن‌های شبکه ندارند.

توکن دروازه یک کنترل امنیتی است. توکن شبکه یک کنترل امنیتی است که درآمد را نیز بهبود می‌بخشد.

مزایای توکن‌سازی شبکه برای بازرگانان

داده‌ها به اندازه کافی خاص هستند که بتوان یک طرح توجیهی تجاری پیرامون موارد زیر ایجاد کرد:

• کاهش ۲۶ درصدی کلاهبرداری. تحقیقات ویزا در مورد بازرگانانی که از توکن‌های شبکه استفاده می‌کنند، این کاهش متوسط در نرخ کلاهبرداری را نشان می‌دهد. یک توکن رهگیری‌شده را نمی‌توان دوباره در یک بازرگان دیگر استفاده کرد - این توکن از نظر طراحی، قفل‌شده برای بازرگان است.
• نرخ‌های بالاتر مجوز. ویزا نرخ مجوز جهانی ۴.۶٪ را برای تراکنش‌های بدون حضور کارت در مقابل ارسال‌های خام PAN افزایش می‌دهد. مسترکارت این رقم را ۲.۱٪ اعلام می‌کند. با احتساب میلیون‌ها تراکنش در ماه، این رقم، درآمد بازیابی شده‌ی زیادی است.
• به‌روزرسانی‌های خودکار کارت. وقتی کارتی منقضی می‌شود یا تعویض می‌شود، توکن شبکه خودبه‌خود به‌روزرسانی می‌شود. فروشندگان دیگر تمدید اشتراک ناموفق از مشتریانی که کارت جدیدی دریافت کرده‌اند اما جزئیات پرداخت خود را به‌روزرسانی نکرده‌اند، نمی‌بینند.
• تغییر مسئولیت برگشت وجه. برای تراکنش‌هایی که با توکن شبکه و رمزنگاری انجام می‌شوند، مسئولیت برگشت وجه از فروشنده به بانک صادرکننده منتقل می‌شود. حجم اختلافات کمتر، سربار عملیاتی کمتر.
• کارمزدهای پایین‌تر برای تبادلات. نرخ تبادلات ویزا در تراکنش‌های توکنیزه شده واجد شرایط، تا 10 واحد پایه کمتر از نرخ غیر توکنیزه شده است. برای تاجری که ماهانه 100 میلیون دلار تراکنش انجام می‌دهد، این تفاوت به 100000 دلار صرفه‌جویی ماهانه می‌رسد.
• کاهش دامنه PCI DSS. عدم ذخیره PAN های خام در محیط تجاری به این معنی است که سیستم‌های کمتری تحت الزامات حسابرسی PCI قرار می‌گیرند. این امر هزینه‌های انطباق و تعداد فرآیندهای در معرض بررسی دقیق را کاهش می‌دهد.

تحقیقات ClearSale زمینه را فراهم می‌کند: ۳۹٪ از دارندگان کارت پس از یک بار کلاهبرداری کاذب، خرید از یک فروشگاه را متوقف می‌کنند. فروشگاه‌های آمریکایی به ازای هر دلار کلاهبرداری واقعی ۳.۷۵ دلار ضرر می‌کنند (Statista). هر دو عدد، هرگونه بهینه‌سازی که پذیرش را بهبود بخشد و ضررهای نامشروع را کاهش دهد، را توجیه می‌کنند.

موارد استفاده: چه کسی بیشتر به توکن‌های شبکه نیاز دارد؟

توکن‌سازی شبکه بیشترین بازدهی را در شرایطی دارد که اطلاعات کارت ذخیره و مکرراً از آن برداشت شود، نه اینکه فقط یک بار در هنگام پرداخت استفاده شود.

• کسب و کارهای اشتراکی و SaaS. صدور صورتحساب‌های دوره‌ای برای معتبر ماندن در طول تمدید، نیاز به یک اعتبارنامه ذخیره شده دارد. کارت‌های منقضی شده باعث ریزش غیرارادی می‌شوند - مشتری لغو نکرده است، فقط پرداخت ناموفق بوده است. توکن‌های شبکه هنگام صدور مجدد کارت‌ها به طور خودکار به‌روزرسانی می‌شوند و اعتبارنامه‌ها را به‌روز نگه می‌دارند.
• بازرگانان تجارت الکترونیک با کارت‌های ذخیره‌شده. تراکنش‌های CNP بیشترین میزان کلاهبرداری را دارند. بازرگانانی که داده‌های کارت را برای پرداخت با یک کلیک ذخیره می‌کنند، اهداف اصلی سرقت اعتبارنامه هستند. توکن‌های شبکه، ذخیره‌سازی خام PAN را به طور کامل از محیط بازرگان حذف می‌کنند.
• بازارها و پلتفرم‌ها. پلتفرم‌های چندوجهی که از طرف کاربران روش‌های پرداخت را در اختیار دارند، از مزیت قابلیت حمل بهره‌مند می‌شوند: توکن‌ها با تغییر کارت اصلی، در بین پردازنده‌ها، معتبر می‌مانند.
• سفر و مهمان‌نوازی. هتل‌ها، خطوط هوایی و پلتفرم‌های رزرواسیون پس از رزرو اولیه - هزینه‌های جانبی پس از اقامت، ارتقاء صندلی، تغییرات برنامه - مرتباً از کارت‌ها هزینه دریافت می‌کنند. به‌روزرسانی‌های خودکار توکن از افزایش هزینه‌های ناموفق به اختلافات رزرو جلوگیری می‌کند.
• بازی و محتوای دیجیتال. خریدهای درون برنامه‌ای و شارژ کیف پول با کارت‌های ذخیره شده با فرکانس تراکنش بالا انجام می‌شوند. توکن‌های شبکه، بدون افزایش احتمال کلاهبرداری، اصطکاک احراز هویت مجدد را کاهش می‌دهند.

نحوه پیاده‌سازی توکن‌سازی شبکه

بیشتر پذیرندگان مستقیماً با ویزا یا مسترکارت ادغام نمی‌شوند. شبکه‌های کارت از طریق ارائه‌دهندگان خدمات درخواست توکن به پذیرندگان می‌رسند و اکثر PSPهای اصلی از قبل این ادغام‌های TPSP را در خود دارند.

مسیر عملی:

1. یک PSP یا درگاه پرداخت با پشتیبانی از توکن‌سازی شبکه محلی انتخاب کنید. Stripe، Adyen، Checkout.com و Braintree همگی هنگام ذخیره کارت، به طور خودکار توکن شبکه را تأمین می‌کنند. نیازی به ادغام جداگانه از طرف شما نیست.
2. آن را در پیکربندی پرداخت خود فعال کنید. برای PSPهایی که به صورت بومی از آن پشتیبانی می‌کنند، فعال کردن توکن‌سازی شبکه معمولاً یک پرچم پیکربندی است، نه یک تغییر کد. اسناد ارائه‌دهنده خود را بررسی کنید - ممکن است از قبل فعال باشد.
3. کارت‌های ذخیره شده فعلی خود را به صورت عطف به ماسبق توکنیزه کنید. آیا تعداد زیادی PAN دارید؟ PSP شما می‌تواند آنها را از طریق تأمین انبوه به صورت دسته‌ای ارسال کند و بدون دست زدن به حتی یک حساب مشتری، سیستم را از حالت مبتنی بر PAN به حالت مبتنی بر توکن تبدیل کند.
4. توکن و رمزنگاری را در جریان پرداخت خود قرار دهید. PSP برای هر تراکنش یک رمزنگاری تولید می‌کند. ادغام شما هنگام شروع هزینه‌ها، به جای PAN خام، مرجع توکن را ارسال می‌کند.
5. تأیید کنید که مدیریت چرخه عمر در حال اجرا است. مطمئن شوید که PSP شما به‌روزرسانی خودکار حساب و مدیریت چرخه عمر توکن را فعال کرده است. این همان قطعه‌ای است که صدور مجدد کارت را بدون دخالت مشتری مدیریت می‌کند.

یک سناریو که ارزش برنامه‌ریزی دارد: اگر با چندین PSP کار می‌کنید یا به قابلیت انتقال توکن بین پردازنده‌ها نیاز دارید، این موضوع را به صراحت مدیریت کنید. گزینه‌ها شامل یک ارائه‌دهنده مستقل توکن والت یا یک PSP است که از انتقال اعتبار بین درگاه‌ها پشتیبانی می‌کند.

توکن‌سازی شبکه و انطباق با PCI DSS

توکن‌سازی شبکه، دامنه‌ی PCI DSS را کاهش می‌دهد، اما تعهدات PCI را از بین نمی‌برد.

مزیت واقعی این است: یک توکن شبکه ذخیره شده به عنوان داده دارنده کارت تحت PCI DSS طبقه بندی نمی شود، زیرا شماره کارت نیست. سیستم هایی که فقط توکن را لمس می کنند و هرگز PAN خام را نمی بینند، می توانند به طور کامل از محدوده PCI خارج شوند. این امر تعداد سیستم ها، افراد و فرآیندهای تجاری که نیاز به ارزیابی سالانه دارند را کاهش می دهد که هم هزینه و هم ریسک را کاهش می دهد.

تغییر مسئولیت، این موضوع را تقویت می‌کند. برای تراکنش‌های توکنیزه شده که با رمزنگاری انجام می‌شوند، صادرکنندگان با علم به اینکه اعتبارنامه توسط شبکه تأیید شده است، کارمزد را تأیید می‌کنند. اگر در تراکنشی که صادرکننده تأیید کرده است، کلاهبرداری رخ دهد، مسئولیت متوجه صادرکننده است، نه تاجر. این یک تغییر ساختاری در نحوه عملکرد بازپرداخت‌ها است.

محدودیت: توکن‌سازی شبکه، مرحله‌ی تأمین را پوشش نمی‌دهد. وقتی PAN خام برای اولین بار به TPSP ارسال می‌شود، آن انتقال باید ایمن شود و هر سیستمی که در آن لحظه PAN را مدیریت می‌کند، در محدوده‌ی PCI باقی می‌ماند. هدف این است که این میزان در معرض خطر بودن به حداقل برسد - کاری کنید که PAN در سریع‌ترین زمان ممکن محیط شما را ترک کند و در هیچ جای دیگری از پشته‌ی شما ظاهر نشود.

انطباق با PCI هنوز به رمزگذاری، کنترل‌های دسترسی و تقسیم‌بندی شبکه نیاز دارد. توکن‌سازی یک کنترل قوی است، نه جایگزینی برای برنامه کامل.

پذیرندگانی که عملیات پرداخت با کارت را انجام می‌دهند، متوجه خواهند شد که توکنیزاسیون شبکه از یک ارتقاء اختیاری به زیرساخت پایه تغییر یافته است. نرخ بالاتر مجوز، کلاهبرداری کمتر، مدیریت خودکار چرخه عمر کارت و صرفه‌جویی در هزینه‌های مبادله، به سرعت در هر حجم تراکنش معناداری افزایش می‌یابد.

برای کسب‌وکارهایی که کاملاً فراتر از کارت‌های اعتباری هستند، درگاه‌های پرداخت کریپتو مانند Plisio یک لایه جایگزین ارائه می‌دهند که در آن این نگرانی‌ها وجود ندارند. پرداخت‌های بومی بلاکچین هیچ اعتبار کارت ذخیره‌شده‌ای، هیچ PAN و هیچ صادرکننده‌ای در جریان تراکنش ندارند - یک مدل امنیتی اساساً متفاوت برای بازرگانانی که آن را می‌خواهند.

Simon Chartan

A journalist with a strong technical background and a passion for decentralized finance. With degrees in MBA and Master of Engineering in Data Science, the author combines analytical expertise with a clear, engaging writing style. At Plisio, they cover topics such as cryptocurrency, blockchain, DeFi, and digital finance—helping readers make sense of a rapidly evolving fintech landscape.