در چند ثانیه‌ای که مشتری کارت را در دستگاه می‌کشد یا نزدیک صفحه‌خوان نگه می‌دارد، زنجیره‌ای از فرایندهای رمزنگاری‌شده در سراسر شبکه بانکی کشور جاری می‌شود. درک این زنجیره نه‌تنها کنجکاوی فنی را پاسخ می‌دهد، بلکه به پذیرنده کمک می‌کند خطاها را درست تفسیر کند، اهمیت امنیت دستگاه را بفهمد و با اطمینان با تسویه بانکی کار کند. در این مقاله، مسیر علمی یک تراکنش کارتخوان را از لحظه خواندن کارت تا تسویه حساب، گام‌به‌گام مرور می‌کنیم.
سه روش خواندن اطلاعات کارت
دستگاه کارتخوان برای خواندن اطلاعات کارت مشتری از یکی از این سه مسیر استفاده می‌کند:
- نوار مغناطیسی (سوایپ): قدیمی‌ترین روش؛ داده‌ها روی سه نوار مغناطیسی پشت کارت ثبت شده‌اند (استاندارد ISO 7811). سادگی زیاد، اما امنیت پایین‌تر؛ چون داده‌ها ثابت و قابل کپی‌اند و به همین دلیل در بسیاری از شبکه‌های پرداخت این روش به‌شدت محدود شده است.
- چیپ تماسی (سوخت و ساز EMV): کارت‌های شتاب ایران چیپ هوشمند دارند (استاندارد ISO 7816). چیپ یک «ریزپردازنده» است که تراکنش را با کلیدهای رمزنگاری امضا می‌کند و داده‌های هر تراکنش یکتاست؛ به همین دلیل کپی‌برداری از آن به‌مراتب سخت‌تر است.
- بی‌تماس (NFC): ارتباط با القای الکترومغناطیسی در فرکانس ۱۳٫۵۶ مگاهرتز (استاندارد ISO/IEC 14443)؛ همان فناوری کش‌لس که در مقاله کش‌لس بیسیم چیست؟ توضیح داده‌ایم.
مسیر تراکنش؛ از پین‌پد تا بانک صادرکننده
- ورود مبلغ و خواندن کارت: فروشنده مبلغ فروش را وارد می‌کند و دستگاه اطلاعات کارت را می‌خواند؛ مشتری رمز را در پین‌پد امن دستگاه وارد می‌کند (در تراکنش‌های بی‌تماسِ زیر سقف، بدون رمز).
- ساختن پیام تراکنش: دستگاه یک پیام استاندارد تراکنش می‌سازد؛ شامل شناسه ترمینال، مبلغ، نوع عملیات، داده‌های کارت و اطلاعات رمزنگاری‌شده.
- رمزنگاری: پیام با کلیدهای دینامیک (که در نشست‌های امن بین دستگاه و هاست به‌روز می‌شوند) رمزنگاری می‌شود؛ این کلیدها مانع از دسترس قرار گرفتن داده‌ها در مسیر شبکه می‌شوند.
- ارسال به هاست شرکت پذیرنده (PSP): دستگاه بیسیم این پیام را از طریق شبکه تلفن همراه (GPRS/3G/4G) و دستگاه ثابت از طریق خط تلفن یا شبکه محلی به هاست می‌فرستد.
- سوئیچ شاپرک: هاست PSP، درخواست را به سوئیچ مرکزی شبکه الکترونیکی پرداخت کارتی (شاپرک) می‌فرستد؛ سوئیچ بر اساس شماره کارت، درخواست را به بانک صادرکننده هدایت می‌کند.
- تصمیم بانک صادرکننده: بانک صادرکننده اعتبار مشتری، وضعیت کارت و صحت رمز را بررسی و پاسخ تأیید یا رد صادر می‌کند.
- بازگشت پاسخ و چاپ رسید: پاسخ از همان مسیر برمی‌گردد و دستگاه رسید چاپ می‌کند؛ این رسید سند تراکنش برای مغازه‌دار و مشتری است.
تمام این مسیر معمولاً در چند ثانیه طی می‌شود.
امنیت تراکنش چگونه تضمین می‌شود؟
سه لایه اصلی امنیتی وجود دارد:
- رمزنگاری پیام تراکنش با کلیدهای دینامیک در مسیر دستگاه تا هاست؛
- پین‌پد امن: رمز مشتری در محیط ایزوله دستگاه وارد و بلافاصله رمزنگاری می‌شود؛ این حوزه از سخت‌افزار به‌صورت ویژه ارزیابی و تأیید می‌شود (استانداردهای امنیتی پایانه‌ها مثل PCI PTS و الزامات EMVCo)؛
- احراز هویت ترمینال: هاست فقط از ترمینال‌های شناسایی‌شده تراکنش می‌پذیرد؛ به همین دلیل تغییر محل یا واگذاری ترمینال، بدون اعلام رسمی، به‌سرعت شناسایی می‌شود.
تسویه چیست و چه زمانی انجام می‌شود؟
نکته‌ای که خیلی از مغازه‌داران با آن غافلگیر می‌شوند: تأیید تراکنش با تسویه حساب یک چیز نیست. تأیید یعنی بانک صادرکننده اجازه کسر داده و مبلغ به‌صورت پیش‌دستی (مسدودی) از حساب مشتری درآمده است. تسویه یعنی این مبالغ واقعاً به حساب پذیرنده واریز شود؛ این عمل در چرخه‌های زمانی معین (مثلاً روزانه یا همان‌روز، بسته به ضوابط و نوع قرارداد پذیرندگی) توسط شرکت پذیرنده انجام می‌شود.
| مرحله | چه چیزی می‌شود؟ | عامل مسئول |
|---|---|---|
| تأیید تراکنش | کسری/مسدودی از حساب مشتری و رزرو مبلغ | بانک صادرکننده |
| گردآوری | ثبت تراکنش در چرخه شاپرک | سوئیچ شاپرک |
| تسویه | واریز مبلغ (پس از کسر کارمزد) به حساب پذیرنده | شرکت پذیرنده (PSP) |
کارمزد پذیرندگی نیز درصدی از مبلغ تراکنش است که طبق ضوابط بانک مرکزی و شاپرک تعیین می‌شود و در همین چرخه تسویه اعمال می‌گردد.
این دانش در عمل چه کمکی می‌کند؟
- تفسیر درست خطاها: وقتی تراکنش مردود می‌شود، مشکل می‌تواند در لایه ارتباط (آنتن/سیم‌کارت)، کارت مشتری (مسدودی/دریافت) یا هاست باشد؛ رسید مردودی را چاپ کنید و بر اساس پیام واکنش نشان دهید.
- حفظ امنیت: می‌فهمید چرا نباید دستگاه را باز کنید، چرا کلیدها فقط از مسیر نماینده مجاز به‌روز می‌شوند و چرا واگذاری ترمینال تخلف است.
- مدیریت درآمد: تسویه چرخه‌ای را می‌شناسید و جریان نقدی مغازه را بر اساس آن برنامه‌ریزی می‌کنید.
سوالات متداول
اگر رسید مردود چاپ شد ولی پول از حساب مشتری کم شد چه کنیم؟
چنین مواردی معمولاً در فرایند تطبیق بانکی ظرف روزهای بعد به‌طور خودکار برمی‌گردد. رسید مردودی را نگه دارید، شماره پیگیری را ثبت کنید و در صورت ادامه مشکل، با پشتیبانی شرکت پذیرنده خود مطرح کنید.
آیا دستگاه اطلاعات رمز مشتری را ذخیره می‌کند؟
خیر. رمز در پین‌پد امن وارد و بلافاصله رمزنگاری و ارسال می‌شود؛ ذخیره آن در دستگاه، خلاف طراحی امنیتی پایانه‌های پرداخت است.
چرا تراکنش‌های بی‌تماس بدون رمز انجام می‌شوند؟
برای مبالغ پایین، استانداردهای بی‌تماس سقف‌های بدون‌رمز تعریف می‌کنند تا سرعت پرداخت حفظ شود؛ این تراکنش‌ها هم با داده‌های دینامیک رمزنگاری می‌شوند و برای مبالغ بالاتر، رمز الزامی است.
مطالب مرتبط: تسویه بانکی کارتخوان؛ پول چه زمانی به حساب می‌رسد؟ و کارمزد تراکنش کارتخوان چگونه محاسبه می‌شود؟
جمع‌بندی
کارتخوان، یک دوربین خواندن کارت نیست؛ یک پایه تراکنش امن است که با رمزنگاری دینامیک، سوئیچینگ شاپرک و تأیید بانک صادرکننده کار می‌کند و درآمد شما را در چرخه‌های تسویه به حساب می‌ریزد. شناخت این زنجیره به شما کمک می‌کند حرفه‌ای‌تر کار کنید، خطاها را درست مدیریت کنید و از دستگاه خود بیشترین بهره را ببرید. اگر قصد خرید دارید، مدل‌های کارتخوان و کش‌لس پارس‌پویش را ببینید یا از صفحه تماس راهنمایی بگیرید.
