E-Ticarette Kart Saklama (Tokenization) Nedir ve PCI-DSS Seviye 1 Sertifikasyonu Neden Zorunludur?

Asla kredi kartı numaralarını ve CVV kodlarını kendi sunucunuzda veya veritabanınızda saklamayın! 6493 sayılı Kanun ve BDDK/TCMB regülasyonları uyarınca ham kart verisi saklamak PCI-DSS Seviye 1 (Payment Card Industry Data Security Standard) sertifikasyonuna tabidir ve yıllık yüz binlerce dolarlık bağımsız denetim maliyeti gerektirir. Yetkisiz kart saklamanın tespiti halinde ağır adli para cezaları uygulanır.

Çözüm: Kart Saklama (Tokenization) Altyapısı kullanmaktır:

1. Müşteri kart bilgilerini girdiğinde bu veriler sizin sunucunuza hiç uğramadan doğrudan TCMB lisanslı ödeme kuruluşunun (Masterpass, BKM Express, İyzico, PayTR vb.) PCI-DSS Seviye 1 sertifikalı kasasına gider.
2. Ödeme kuruluşu kart numarasını siler ve yerine anlamsız bir kriptografik kod olan Token (Jeton) üretir (Örn: tok_9x8f7d6e5a4b).
3. Siz kendi veritabanınızda yalnızca bu token kodunu ve kartın son 4 hanesini saklarsınız.
4. Sonraki alışverişte müşteri 'Kaydedilen Kartımla Öde' dediğinde, siteniz ödeme kuruluşuna token kodunu iletir ve ödeme güvenle çekilir.

Bu model sayesinde siteniz hacklense dahi saldırganlar hiçbir kart verisine ulaşamaz ve işletmeniz sıfır güvenlik riski taşır.