Токенизация: архитектура и реализация

Токенизация — замена sensitive card data (PAN) на nonsensitive token, снижающая PCI scope и риск утечки.

Как работает

Merchant отправляет card data → gateway → token vault. Vault хранит PAN, возвращает token. Merchant хранит только token. При повторном использовании — merchant отправляет token → vault возвращает PAN процессору. Merchant environment out of scope.

Types

Merchant-specific: token валиден только у этого merchant. Multi-use: постоянный token для recurring. Single-use: одноразовый для одной транзакции. Format-preserving: token выглядит как card number (16 цифр, luhn valid). Network tokens: Visa/Mastercard, обновляются при перевыпуске карты.

Провайдеры

Stripe: card_ID токены. Braintree: token vault включен. Adyen: multi-use tokens. Собственный vault: HSM + secure DB, complex compliance. Cost: $0.05–0.20 за токенизацию у gateway. Обычно free для recurring transactions.

Advantages

Reduced PCI scope: только vault под audit. Convenience: recurring без re-entry карты. Card updater service: token остаётся при перевыпуске. Cross-channel: same customer в web/mobile/pos через один token. Security: breach exposes only tokens, useless outside merchant.