Определение
Card Vault — это защищённое хранилище токенизированных данных банковских карт, которое позволяет интернет-магазинам и сервисам проводить повторные списания без повторного ввода реквизитов покупателем. Простыми словами: это «сейф» на стороне платёжного провайдера, где вместо номера карты лежит криптографический токен, привязанный к конкретному мерчанту, клиенту и платёжному контексту.
Когда покупатель оформляет первый заказ и сохраняет карту, реальный PAN (Primary Account Number) не остаётся в базе магазина. Платёжный шлюз заменяет его на токен — например, tok_9f3a... — и кладёт в Card Vault. При следующей покупке в один клик, при подписке или при частичном возврате система обращается к сейфу, подставляет токен и инициирует транзакцию. Соответствие PCI DSS в этом случае резко упрощается: мерчант не хранит, не обрабатывает и не передаёт чувствительные данные карты.
Аналогия
Представьте гардероб в дорогом ресторане. Вы сдаёте пальто, получаете номерок — и больше не думаете о вещи. Номерок бесполезен вне ресторана: по нему нельзя забрать пальто в другом месте. Card Vault работает так же: карта «остаётся» у провайдера, а магазину выдаётся номерок-токен, который действует только в связке «этот мерчант + этот клиент + этот тип операции».
Формула
Экономика повторных списаний через Card Vault описывается так:
LTV_vault = AOV × F × R_retry × (1 − C_vault) × T
Где:
- AOV — средний чек (например, 3 200 ₽);
- F — частота повторных покупок в год (например, 4,5);
- R_retry — доля успешных повторных списаний (типично 0,82–0,94);
- C_vault — стоимость хранения и токенизации (0,5–2 % от оборота);
- T — срок жизни клиента в годах (например, 2,3).
Пример: 3 200 × 4,5 × 0,88 × 0,985 × 2,3 ≈ 28 700 ₽ дополнительной выручки на одного подписчика за жизненный цикл — против 0 ₽, если карта не сохранена и клиент уходит на этапе ввода реквизитов.
Сравнительная таблица
| Критерий | Card Vault (токенизация) | Хранение PAN в своей БД | Редирект на платёжную страницу |
|---|---|---|---|
| Соответствие PCI DSS | SAQ A / A-EP | SAQ D (максимальный объём) | SAQ A |
| Повторное списание в 1 клик | Да | Да, но с риском | Нет |
| Конверсия повторной покупки | 78–92 % | 74–88 % | 41–56 % |
| Стоимость интеграции | Средняя | Высокая (аудит, шифрование) | Низкая |
| Восстановление после ретейта | Автоматическое | Ручное | Невозможно |
| Поддержка подписок | Полная | Полная, но с рисками | Ограниченная |
Сценарии применения
1. Подписки и регулярные платежи. SaaS, онлайн-кинотеатры, доставка продуктов, фитнес-приложения. Card Vault хранит токен и по расписанию инициирует списание. При неудаче — умный ретрай: сначала через 24 часа, затем через 3 и 7 дней. Это поднимает долю успешных продлений с ~62 % до ~89 %.
2. Покупка в один клик. Маркетплейсы и DTC-бренды показывают сохранённую карту как «•• 4242». Клиент не вводит CVV и не проходит 3-D Secure повторно (если провайдер поддерживает MIT — Merchant Initiated Transactions). Конверсия чекаута вырастает на 18–34 %.
3. Возвраты и частичные отмены. Токен позволяет вернуть деньги на ту же карту без запроса реквизитов. Для DTC это критично: скорость возврата напрямую влияет на NPS и повторные заказы.
4. Кросс-продажи. Клиент с сохранённой картой в 2,7 раза чаще соглашается на апселл в момент оформления, потому что трение оплаты равно нулю.
Частые заблуждения
«Card Vault = хранение карт у себя». Нет. Если PAN физически лежит в вашей базе — это не vault, а зона максимального риска. Настоящий сейф — у провайдера, у вас только токен.
«Токен можно перенести к другому провайдеру». Как правило, нет. Токены привязаны к экосистеме эмитента (Visa VTS, Mastercard MDES) и к конкретному PSP. Миграция требует массового перевыпуска токенов и повторного согласия клиентов, что стоит 3–8 % оттока подписчиков.
«Сохранённая карта = согласие на любые списания». Ошибочно. Нужно явное согласие (opt-in), хранение его в аудите и возможность отзыва в один клик. Иначе — чарджбэки и штрафы от платёжных систем.
«Card Vault решает проблему истёкших карт». Нет. При перевыпуске карты токен обновляется через Account Updater — но только если провайдер поддерживает эту услугу. Без неё 12–19 % подписок теряются на реквизитах.
«Чем больше карт в сейфе, тем лучше». Качество важнее количества. 10 000 активных токенов с R_retry 0,9 дают больше выручки, чем 50 000 «мёртвых» с 0,3.
Связанные термины
- Токенизация — процесс замены PAN на токен.
- PCI DSS — стандарт безопасности платёжных данных.
- MIT / CIT — Merchant- и Customer-Initiated Transactions.
- Account Updater — автообновление реквизитов перевыпущенных карт.
- Recurring billing — регулярные списания по расписанию.
- 3-D Secure 2.0 — аутентификация, влияющая на долю успешных MIT.
- PSP — платёжный провайдер, владелец сейфа.
- Dunning — управление неудачными списаниями и ретраями.