Токенизация карты — что это и зачем нужна при оплате QR

Что такое токенизация карты

Токенизация карты — процесс замены реального номера банковской карты (PAN, Primary Account Number) на уникальный цифровой идентификатор — токен. Токен не позволяет восстановить исходный номер карты и действует только в связке с конкретным устройством, приложением и продавцом, для которых был выпущен.

Токен формирует платёжная система (Visa, Mastercard, «Мир») или банк-эмитент при добавлении карты в цифровой кошелёк — Apple Pay, Google Pay, приложение банка. С этого момента при оплате телефоном или через QR-код передаётся не номер карты, а токен, привязанный к конкретной сессии или устройству.

Как токен заменяет номер карты при оплате телефоном и по QR

При оплате через Apple Pay или Google Pay телефон хранит не сам номер карты, а токен и криптографический ключ для подписи каждой транзакции. Похожий принцип используется и при оплате по QR через приложение банка: вместо статичных реквизитов в запрос на списание уходит ограниченный по времени токен.

Токен привязан к паре «устройство + приложение» — скопировать его на другой телефон нельзя без повторной токенизации.
Для каждой транзакции формируется дополнительный динамический код, поэтому перехват одного платежа не даёт возможности повторить его.
Передача токена через ближнее поле называется Host Card Emulation — она же лежит в основе бесконтактной оплаты телефоном.

Практический пример того, как токенизация выглядит в интерфейсе конкретного банка, разобран в статье о QR-кодах ВТБ.

Что видит магазин вместо номера карты

Продавец при токенизированной оплате получает от эквайера сокращённые данные: тип карты, платёжную систему, признак успешной операции и токен транзакции — но не полный номер карты. В чеке и в системе учёта отображаются последние цифры токена, а не PAN, и часто отдельная маркировка способа оплаты (Apple Pay, QR СБП и так далее).

Это снижает объём конфиденциальных данных, которые проходят через кассу и попадают в базы магазина, и сокращает требования PCI DSS к защите такой информации — компания, которая никогда не видит реальный PAN, не обязана хранить и защищать его на своей стороне. Определить категорию операции банк по-прежнему может через MCC-код торговой точки, токенизация на это не влияет.

Зачем нужна токенизация

Токенизация решает две задачи одновременно. Для держателя карты она снижает риск: даже если токен перехвачен, использовать его для новой транзакции с другого устройства нельзя, а полный номер карты вообще не передаётся при оплате. Для отрасли в целом она снижает число точек, где хранится настоящий PAN, и уменьшает потенциальный ущерб от утечек данных на стороне продавцов.

Дополнительно токенизация упрощает перевыпуск карт: при компрометации или окончании срока действия физической карты банк обновляет токен в кошельке без участия клиента, а привязанные подписки и рекуррентные платежи продолжают работать без повторного ввода реквизитов.

Частые вопросы

Чем токен карты отличается от номера карты?

Токен — отдельный набор цифр, который платёжная система связывает с конкретной картой, устройством и продавцом, но по которому нельзя восстановить настоящий номер карты. Реальный PAN хранится только в защищённой системе платёжной системы или банка-эмитента, а не на устройстве клиента.

Может ли продавец узнать настоящий номер карты по токену?

Нет, у продавца нет доступа к таблице соответствия токенов и реальных номеров карт — она под контролем платёжной системы. Магазин видит только тип карты, платёжную систему и результат операции, восстановить PAN из токена технически невозможно на стороне эквайера или кассы.

Нужно ли отдельное согласие клиента на токенизацию карты?

Да, клиент подтверждает добавление карты в цифровой кошелёк — вводит данные карты вручную или сканирует её, затем проходит проверку через смс-код, звонок или подтверждение в приложении банка. Без этого шага банк не выпустит токен для конкретного устройства.

Что произойдёт с токеном при перевыпуске карты?

Банк обычно обновляет связанный токен автоматически, без участия клиента — новый номер или срок действия карты подтягивается в кошелёк через защищённый канал между банком и платёжной системой. В части случаев нужно повторно подтвердить карту в приложении, но пересоздавать привязку целиком не требуется.

Используется ли токенизация при оплате по QR-коду через СБП?

Да, при оплате QR-кодом через приложение банка применяется похожий принцип: приложение не передаёт постоянные реквизиты счёта повторно при каждой операции, а формирует ограниченный по времени идентификатор транзакции — по логике близкий к токену карточных платежей.

Можно ли отменить токенизацию и вернуться к обычной карте?

Да, клиент может удалить карту из цифрового кошелька в любой момент — это отзывает связанный токен, и попытки оплаты через это устройство перестают работать. Сама пластиковая карта при этом продолжает действовать обычным образом при оплате через терминал или банкомат.

Токенизация карты — как работает защита и что настроить