🔐Tokenization(토큰화)
PG(Payment Gateway)에서 Tokenization(토큰화)란
민감한 결제 정보(카드번호 등)를 직접 저장하지 않고, 안전한 대체값(Token)으로 치환하는 기술을 말한다.
토큰을 이용하면 실제 카드 번호 없이도 결제 승인/재결제를 수행할 수 있어 PCI-DSS 컴플라이언스를 충족하고 보안 수준을 크게 높일 수 있다.
✔ 왜 Tokenization이 필요한가?
1) 보안 강화
- 카드번호(PAN)를 직접 저장하면 PCI-DSS 규제 범위가 크게 증가한다.
- 토큰을 저장하면 민감 정보가 아니기 때문에 보안 부담이 낮아진다.
2) 재결제(정기결제/원클릭 결제) 가능
- 최초 결제 시 발급된 Token을 이용해 이후 결제를 자동으로 수행할 수 있다.
- 고객이 정보 입력을 반복하지 않아도 된다.
(예시 - NHN KCP의 자동결제 서비스 (빌링), NICE CMS 정기결제)
3) 정보 유출 위험 감소
- DB가 해킹되더라도 Token만 유출되기 때문에 실제 카드 정보 노출 가능성이 매우 낮다.
✔ PG Tokenization 흐름
1. 최초 결제 시
- 고객이 카드 정보 입력
- 가맹점 → PG → 카드사로 검증
- PG가 카드번호를 내부에 저장하고 가맹점에는 토큰만 발급해줌
2. 이후 결제(2회차, 3회차...)
- 가맹점은 토큰만 보내서 결제 요청
- 고객 인증(X) / 카드번호 재입력(X)
중요한 점
토큰은 최초 한 번 발급, 이후는 계속 재사용해서 정기결제(Recurring Billing)
예외
카드 갱신(유효기간 변경)
카드 분실/재발급
고객이 카드 삭제 요청
안녕하세요. 개발 로그입니다.