מה זה טוקן בסליקה, ולמה הוא כובל אותך לספק

טוקן הוא מזהה שמחליף את מספר כרטיס האשראי. הלקוח מזין את הכרטיס פעם אחת, ספק הסליקה שומר אותו בסביבה מאובטחת ומחזיר לכם מזהה חסר משמעות, ומאותו רגע אתם מחייבים באמצעות המזהה. זה מה שמאפשר חיוב חוזר בלי שפרטי הכרטיס יישמרו אצלכם - וזה גם מה שהופך מעבר ספק לפרויקט.

איך זה עובד, בלי מונחים

1. הלקוח מזין את פרטי הכרטיס בדף התשלום של הספק, לא אצלכם.
2. הספק שומר את הפרטים בסביבה שעומדת בתקן אבטחת נתוני כרטיסים.
3. הספק מחזיר לכם מזהה - טוקן - ואת ארבע הספרות האחרונות ותוקף, לתצוגה.
4. אתם שומרים את הטוקן במערכת שלכם, ליד הלקוח.
5. בחיוב הבא אתם שולחים את הטוקן והסכום, ולא את מספר הכרטיס.

השלב הראשון הוא זה שמוריד מכם את עיקר הסיכון. ברגע שהמספר לא עובר דרך השרתים שלכם, גם לא צריך להגן עליו שם. זו הסיבה שדפי תשלום מתארחים ו-iframe פופולריים כל כך: הם מקטינים את מה שאתם צריכים לאבטח.

שלוש הדרכים שבהן טוקן נוצר

חשוב לדעת באיזו דרך הטוקנים שלכם נוצרו, כי זה קובע מה אפשר לעשות איתם אחר כך:

1. מדף התשלום. הלקוח נרשם לבד, מזין כרטיס, והטוקן נוצר עם המנוי. זו הדרך הנקייה ביותר וגם זו שמייצרת את התיעוד הטוב ביותר להסכמה.
2. ממסוף וירטואלי. עובד מקליד את הכרטיס בשיחה עם הלקוח. עובד מצוין בגבייה טלפונית, ודורש בקרה - מי הקליד, מי מורשה, ומה נרשם על ההסכמה.
3. ב-API מתוך המערכת שלכם. מתאים כשהרשמה היא חלק מתהליך רחב. כאן צריך לוודא שהטוקן נשמר ליד הלקוח הנכון, כי טוקן שנשמר על רשומה שגויה יחייב את האדם הלא נכון.

הדרך השנייה היא זו שדורשת את מרב הבקרה, והיא גם הנפוצה בעסקים שגובים בטלפון.

מה עושים כשארבע הספרות האחרונות הן כל מה שיש

כשצריך לבקש מלקוח לעדכן אמצעי תשלום, אתם לא יכולים לומר לו איזה כרטיס נשמר - אין לכם אותו. מה שכן יש: ארבע ספרות אחרונות, תוקף, ולפעמים סוג הכרטיס. זה מספיק כדי לנסח בקשה ברורה:

• ציינו את ארבע הספרות האחרונות והתוקף, כדי שהלקוח יזהה על מה מדובר.
• שלחו קישור לעדכון ולא בקשה למסור פרטים בתשובה להודעה. פרטי כרטיס לא צריכים לעבור בהודעות.
• כתבו מה יקרה אם לא יעדכן, ומתי.
• ודאו שהעדכון יוצר טוקן חדש ומקשר אותו לאותו מנוי, ולא פותח מנוי שני.

הסעיף האחרון הוא באג נפוץ: לקוח שמעדכן כרטיס דרך דף חדש יוצר לפעמים מנוי מקביל, ואז הוא מחויב פעמיים או בכלל לא.

למה כדאי לשמור את ארבע הספרות והתוקף אצלכם

זה נשמע מיותר - הרי הספק מחזיק את הכרטיס - אבל בלי שני השדות האלה בעותק שלכם אתם עיוורים בשני מצבים מעשיים:

• כשאתם רוצים לדעת מה עומד לפוג. דוח של מנויים שהכרטיס בהם פג בחודש הבא מאפשר לפנות לפני הכשל ולא אחריו. זה ההבדל בין תזכורת לגבייה.
• כשלקוח מתקשר ולא מבין על מה חויב. כשאתם יכולים לומר לו את ארבע הספרות, השיחה נגמרת בדקה.

שני השדות האלה אינם מידע רגיש כמו מספר מלא, ולכן בדרך כלל מותר להחזיק אותם. ודאו שזה מופיע בייצוא שהספק מאפשר, כי זה גם מה שתצטרכו אם תעברו ספק. ואם המערכת שלכם לא שומרת אותם היום, זה שינוי קטן שכדאי לעשות עוד לפני שמתעוררת שאלת המעבר - עדיף להתחיל לאסוף את השדות מהמנוי הבא ולא לגלות בדיעבד שאין אותם על אף אחד מהמנויים הקיימים.

למה הטוקן לא עובר לספק אחר?

כי הוא לא מכיל את הכרטיס - הוא מפנה אליו במאגר של אותו ספק. טוקן בלי המאגר שיצר אותו הוא מספר חסר משמעות. לכן, כשעוברים ספק, הטוקנים שברשותכם לא שווים דבר אצל החדש.

מה שכן קיים לפעמים הוא תהליך העברה מוסדר בין ספקים, שנעשה מול חברות האשראי ולא ביניכם לבין הספק. זה לא זמין תמיד, הוא דורש שיתוף פעולה של הספק היוצא, ויש לו לוח זמנים. לכן את השאלה הזו שואלים ביום החתימה ולא ביום שרוצים לעבור. הפירוט המעשי נמצא במעבר ספק סליקה עם מנויים פעילים.

מה לדרוש בהסכם, בגלל הטוקנים

השורה הרביעית היא זו שאף אחד לא קורא לפני החתימה ושכולם רוצים אחריה.

מה טוקן לא עושה

• הוא לא מונע דחייה. מסגרת, חסימה או כרטיס שפג תוקפו ידחו את החיוב גם עם טוקן תקין.
• הוא לא מהווה הסכמה. האישור של הלקוח לחיוב חוזר הוא תיעוד נפרד, וצריך שיהיה לכם.
• הוא לא מחליף חשבונית. חיוב שהצליח עדיין דורש מסמך ללקוח.
• הוא לא מתחדש לבד. כרטיס שפג תוקפו דורש מנגנון עדכון, וזו יכולת נפרדת של המערכת - ראו מה חייב להיות במערכת חיוב חוזר.

מקורות

• PayBox - הסבר על אבטחת התשלומים ומערכת הטוקנים, דף העסקים
• Cardcom - פתרונות סליקה
• שב"א - תשתית סליקת האשראי בישראל