شرح ترميز المدفوعات (Tokenization): رموز المزوّد والشبكة والأجهزة

فريق Visatk · ٢١ سبتمبر ٢٠٢٦ · 8 دقائق قراءة · Read in English

شرح ترميز المدفوعات: كيف تحل رموز المزوّد والشبكة والأجهزة محل أرقام البطاقات، وكيف تعمل رموز الشبكة، وما أثرها في الأمان ومتطلبات PCI DSS.

كل رقم بطاقة مخزّن يمثل عبئًا ومخاطرة؛ فإذا تسرّب يمكن إساءة استخدامه، وإذا أُعيد إصدار البطاقة يتوقف الرقم المخزّن عن العمل، وطالما تحتفظ به تبقى أنظمتك داخل نطاق معيار PCI DSS. ويعالج ترميز المدفوعات (Tokenization) هذه المشكلات الثلاث باستبدال رقم البطاقة الحقيقي بقيمة بديلة تُسمى الرمز (Token)، لا فائدة منها لمن يسرقها خارج السياق المخصص لها.

أصبح الترميز حاضرًا في كل مكان: في الدفع بنقرة واحدة، والاشتراكات، والمحافظ الرقمية على الهواتف، وبرامج حفظ البطاقات. ومع ذلك يختلف معنى كلمة "رمز" حسب الجهة التي تُصدره. يشرح هذا الدليل الأنواع الثلاثة الرئيسية لرموز الدفع، ويوضح خطوة بخطوة كيف يعمل ترميز الشبكة، ويستعرض الفوائد والحدود والخطوات العملية للتجار.

ما هو ترميز المدفوعات؟ #

الترميز هو عملية استبدال قيمة حساسة، وهي هنا رقم الحساب الأساسي (PAN)، بقيمة بديلة لا معنى قابلًا للاستغلال لها بمفردها. ويُحفظ الربط بين الرمز ورقم PAN الحقيقي في نظام آمن يسمى خزنة الرموز (Token Vault)، ولا يستطيع تحويل الرمز إلى رقم البطاقة مجددًا إلا الطرف الذي يتحكم في الخزنة، وتُسمى هذه الخطوة إزالة الترميز (Detokenization).

وبالنسبة للتاجر، يعني ذلك أنك تستطيع الاحتفاظ بمرجع لبطاقة العميل، والخصم منها لاحقًا، وإصدار المبالغ المستردة، دون أن تحتفظ أبدًا برقم البطاقة الفعلي. وإذا سرق مهاجم قاعدة بياناتك، فلن يحصل إلا على رموز لا يمكن استخدامها لدى تاجر آخر.

ويمكن أيضًا تقييد نطاق الرموز؛ فقد يكون الرمز صالحًا لتاجر واحد فقط، أو لقناة واحدة مثل التجارة الإلكترونية، أو لجهاز واحد، أو حتى لمعاملة واحدة. وكلما ضاق النطاق قلّ الضرر الذي يمكن أن يُحدثه رمز مسرّب، ولهذا تعتمد أنظمة الدفع الحديثة على طبقات متعددة من الرموز بدلًا من نوع واحد.

الترميز مقابل التشفير #

كثيرًا ما يُخلط بين المفهومين، ولكل منهما مكانه في منظومة دفع آمنة. والفرق الجوهري أن البيانات المشفّرة يمكن فك تشفيرها لكل من يملك المفتاح، بينما لا تربط الرمز أي علاقة رياضية بالرقم الأصلي.

الأنواع الثلاثة لرموز الدفع #

1. رموز مزوّد خدمة الدفع أو البوابة #

عندما تحفظ بطاقة عبر مزوّد الدفع، فإنه يخزّن رقم PAN في خزنته الخاصة ويعطيك رمزًا، غالبًا ما يكون سلسلة من الحروف والأرقام. تعمل هذه الرموز مع ذلك المزوّد فقط؛ فهي ممتازة لتقليص نطاق PCI لديك، لكنها تخلق قدرًا من الارتباط بالمزوّد: فإذا انتقلت إلى مزوّد آخر، ستحتاج إلى ترحيل آمن لبيانات البطاقات بين الخزنتين القديمة والجديدة.

2. رموز الشبكة (Network Tokens) #

تُصدر شبكات البطاقات نفسها رموز الشبكة عبر خدمات مثل Visa Token Service وMastercard Digital Enablement Service ‏(MDES)، وفقًا لإطار الترميز الصادر عن EMVCo. ويبدو رمز الشبكة مثل رقم بطاقة، وترتبط به البطاقة الأصلية عبر الشبكة والجهة المُصدِرة، ويقتصر استخدامه على تاجر محدد أو جهة طالبة للرمز (Token Requestor)، ويُستخدم مع رمز تشفيري (Cryptogram) لمرة واحدة في كل معاملة.

3. رموز الأجهزة #

تستخدم المحافظ الرقمية مثل Apple Pay وGoogle Pay رموز شبكة مخصصة لجهاز بعينه. ويُخزَّن رمز الجهاز، الذي يُسمى أحيانًا Device PAN، بشكل آمن على الهاتف أو الساعة، وتتضمن كل عملية دفع رمزًا تشفيريًا يُولَّد على الجهاز بعد أن يتحقق المستخدم من هويته ببصمة الإصبع أو الوجه أو رمز المرور.

وكثيرًا ما تتراكب هذه الطبقات؛ إذ يمكن للمزوّد أن يحتفظ برمز شبكة في خزنته ويعطيك رمز مزوّد يشير إليه، فتحصل على سهولة الأول وفوائد الثاني معًا.

كيف يعمل ترميز الشبكة خطوة بخطوة #

1. طلب الإصدار: عندما يحفظ العميل بطاقته، تطلب الجهة الطالبة للرمز (وهي عادةً مزوّد الدفع نيابةً عنك) رمزًا من خدمة الترميز التابعة للشبكة.
2. موافقة الجهة المُصدِرة: تتواصل الشبكة مع الجهة المُصدِرة، التي يمكنها الموافقة على إصدار الرمز أو رفضه.
3. إصدار الرمز: تعيد الشبكة رمزًا مرتبطًا بالبطاقة ومقيّدًا بتلك الجهة الطالبة ونطاق الاستخدام.
4. الدفع: عند الدفع، يطلب المزوّد رمزًا تشفيريًا جديدًا للرمز ويرسل الاثنين معًا في طلب التفويض.
5. إزالة الترميز: تتحقق الشبكة من الرمز التشفيري، وتربط الرمز برقم PAN الحقيقي، وتمرّر الطلب إلى الجهة المُصدِرة.
6. تحديثات دورة الحياة: إذا أُعيد إصدار البطاقة أو انتهت صلاحيتها أو أُغلقت، تحدّث الشبكة الرمز أو تعلّقه تلقائيًا.

وإذا أردت الصورة الأشمل لمسار طلب التفويض بين التاجر والبنك المستحوذ والشبكة والجهة المُصدِرة، فراجع دليلنا حول كيف تعمل المدفوعات بالبطاقات.

فوائد رموز الشبكة للتجار #

• فشل أقل في التجديدات: عندما يحصل العميل على بطاقة جديدة يظل الرمز صالحًا، فتستمر الاشتراكات والبطاقات المحفوظة في العمل دون مطالبة العميل بتحديث بياناته.
• أمان أقوى: رمز الشبكة المسروق مقيّد بتاجر واحد ولا يمكن استخدامه دون رمز تشفيري صالح.
• ثقة أكبر من الجهات المُصدِرة: ترى الجهات المُصدِرة أن المعاملة تستخدم رمزًا ورمزًا تشفيريًا، ويعدّ كثير منها ذلك مؤشرًا إيجابيًا. وتشير الشبكات إلى تحسن معدلات الموافقة على المعاملات المرمّزة، وإن كانت النتائج تختلف حسب السوق والجهة المُصدِرة.
• تأثير أقل للاختراقات: قاعدة بيانات من الرموز أقل قيمة بكثير للمجرمين من قاعدة بيانات تحتوي على أرقام بطاقات.
• حوافز محتملة في التكلفة: تقدم بعض الشبكات والبنوك المستحوذة حوافز سعرية للمعاملات المرمّزة التي تتم دون حضور البطاقة في أسواق معينة؛ تحقق من ذلك مع مزوّدك.

الحدود والمفاضلات #

الترميز أداة قوية، لكنه ليس علاجًا لكل شيء. ضع هذه النقاط في اعتبارك:

• ليست كل البطاقات قابلة للترميز. بعض الجهات المُصدِرة أو برامج البطاقات لا تدعم رموز الشبكة، لذا يجب أن يرجع نظامك إلى رمز المزوّد المرتبط برقم PAN.
• الرموز لا توقف كل أنواع الاحتيال. فالاستيلاء على الحسابات والاحتيال الودّي والهندسة الاجتماعية تظل ممكنة مع البطاقات المرمّزة، لذا حافظ على ضوابط المخاطر لديك.
• قابلية النقل تحتاج إلى تخطيط. اسأل مزوّدك مسبقًا كيف يمكنك تصدير بيانات البطاقات بأمان إلى خزنة أخرى متوافقة مع PCI إذا قررت الانتقال يومًا ما.
• تتغير التحليلات. لأن الرمز يختلف عن رقم PAN، قد تظهر البطاقة نفسها بقيم مختلفة عبر القنوات المختلفة.

الرموز في الاشتراكات ومدفوعات البطاقات المحفوظة #

تظهر فائدة الترميز بأوضح صورها في الفوترة المتكررة. فبدون الرموز، يخزّن نشاط الاشتراكات أرقام البطاقات (أو رموز المزوّد المرتبطة بها)، ثم يرى نسبة ثابتة من التجديدات تفشل كل شهر لأن البطاقات انتهت صلاحيتها أو فُقدت أو استُبدلت بعد اختراق. وتساعد خدمات تحديث البطاقات في ذلك، لكنها تعمل على دفعات ولا تغطي كل الجهات المُصدِرة.

أما مع رموز الشبكة، فيتم التحديث على مستوى الشبكة بمجرد أن تعيد الجهة المُصدِرة إصدار البطاقة، فتستخدم عملية الخصم التالية الرمز نفسه ببساطة. وللاستفادة القصوى من ذلك، اتبع بعض الممارسات:

• صنّف معاملات بيانات الاعتماد المحفوظة بشكل صحيح (معاملة يبدأها العميل أو يبدأها التاجر) حتى تفهم الجهات المُصدِرة سياقها.
• احتفظ بمرجع المعاملة الأصلية من أول عملية دفع وأرسله مع عمليات الخصم المتكررة اللاحقة حيث يدعم مزوّدك ذلك.
• راقب إشعارات Webhooks الخاصة بدورة حياة الرمز، مثل تعليق الرمز، وتواصل مع العميل قبل موعد الفوترة التالي.
• أعد محاولة المعاملات المرفوضة بعناية، ملتزمًا بقواعد الشبكات بشأن حدود إعادة المحاولة بدلًا من إغراق الجهة المُصدِرة بالطلبات.

الترميز ومعيار PCI DSS #

إذا كان مزوّدك هو من يولّد الرموز ويخزّنها، ولم تكن لديك أي وسيلة لتحويلها مجددًا إلى أرقام بطاقات، فإن الأنظمة التي تحتفظ بالرموز فقط يمكن غالبًا أن تقع خارج نطاق PCI DSS لديك. ولهذا يُعد الترميز، مع حقول الدفع المستضافة، أساس معظم استراتيجيات الامتثال منخفضة الجهد الموضحة في دليل PCI DSS للتجار الصغار.

لكن تقليص النطاق لا يعني إلغاءه؛ فالصفحات التي تحمّل حقول الدفع، والحسابات القادرة على تنفيذ عمليات الخصم، وعلاقاتك مع المزوّدين، كلها لا تزال بحاجة إلى حماية. وتأكد من النطاق النهائي مع البنك المستحوذ أو المقيّم المعتمد.

الرموز وأرقام BIN وتحليل الاحتيال #

تأتي رموز الشبكة ورموز الأجهزة من نطاقات رموز تخصصها الشبكات، لذا فإن الأرقام الأولى من الرمز لا تطابق دائمًا رقم BIN للبطاقة الأصلية. وإذا أجريت بحثًا عن BIN باستخدام رمز، فقد تحصل على بيانات نطاق الرمز بدلًا من بيانات البطاقة الأصلية لدى الجهة المُصدِرة. ويعيد معظم المزوّدين رقم BIN للبطاقة الأصلية وآخر أربعة أرقام والعلامة التجارية والنوع كبيانات وصفية منفصلة؛ استخدم هذه الحقول في قواعد المخاطر وابحث عنها عبر أداة فحص BIN.

كما تتفاعل مدفوعات المحافظ المرمّزة التي تتم المصادقة عليها على الجهاز مع قواعد المصادقة القوية للعملاء. ويشرح مقالنا حول 3-D Secure كيف تعمل المصادقة ونقل المسؤولية جنبًا إلى جنب مع الرموز.

كيف تبدأ #

1. اسأل مزوّدك هل يدعم رموز الشبكة للبطاقات المحفوظة والمدفوعات المتكررة، وهل هي مفعّلة افتراضيًا.
2. تأكد من أن البيانات الوصفية للبطاقة مثل رقم BIN وآخر أربعة أرقام وتاريخ الانتهاء وقيمة PAR تُعاد مع كل رمز.
3. احذف أي أرقام PAN مخزنة في أنظمتك واستبدلها بالرموز.
4. وفّر المحافظ الرقمية مثل Apple Pay وGoogle Pay للاستفادة من رموز الأجهزة.
5. تابع معدلات الموافقة وحالات فشل التجديد قبل تفعيل رموز الشبكة وبعده.
6. وثّق شروط قابلية نقل البيانات في عقدك مع المزوّد.

اعرف الجهة المُصدِرة ونوع البطاقة ودولتها من رقم BIN

الأسئلة الشائعة #