Evet gerekir. Her yeni BIN için sertifika üretilerek kart çipine basılarak kart çipiyle terminal arasındaki güvenli iletişimi kurar. Özellikle offline işlemlerde doğrulama için kritiktir.
Yeni BIN’ler İçin Sertifika Oluşturmanın Önemi
Yeni bir BIN açıldığında o BIN’e özel sertifika oluşturmak, sadece bir formalite değil; ödeme altyapısının sorunsuz işlemesi ve Ödeme Şeması kurallarına tam uyum açısından kritik bir gereklilik. EMV sisteminde her BIN, kendi “issuer sertifikası”yla eşleştirilir. Bu sertifika, kart çipiyle terminal arasındaki güvenli iletişimi kurar ve özellikle offline işlemlerde doğrulama için kullanılır.
Ödeme Şemaları (Visa, Mastercard vb.) tarafında da her BIN için ayrı sertifika kaydı zorunludur. Sertifikası bulunmayan bir BIN, Ödeme Şeması testlerinden geçemez veya denetimlerde uyumsuzluk raporu alır. Bu da hem devreye alma sürecini uzatır hem de operasyonel risk yaratır.
Eski BIN Sertifikasını Kullanmanın Etkileri ve Riskleri
Bazı durumlarda yeni BIN açıldığında süreci hızlandırmak amacıyla eski BIN’in sertifikası kullanılabiliyor. Bu yöntem kısa vadede pratik görünse de uzun vadede ciddi teknik ve uyum riskleri barındırıyor:
- Doğrulama sorunları: Kartın üzerindeki BIN ile sertifikadaki BIN eşleşmediğinde, özellikle offline işlemlerde POS veya switch bu farkı tespit edip işlemi reddedebilir.
- Ödeme Şeması uyumsuzluğu: Sertifika-BIN eşleşmesinin Ödeme Şeması kurallarına aykırı olması, testlerde ve denetimlerde “non-compliance” olarak raporlanabilir.
- Anahtar yönetimi riski: Eski sertifikanın son kullanma tarihi, yeni BIN kartlarının vadesiyle örtüşmeyebilir. Bu da piyasada aktif kartların toplu şekilde offline hata üretmesine neden olabilir. Ayrıca compromise durumunda hangi BIN’in etkilendiğini ayrıştırmak güçleşir.
Bazı Ödeme Şemaları belirli koşullar altında aynı ürün grubundaki birkaç BIN için ortak sertifika kullanımına izin verebiliyor, ancak bunun için önceden resmi onay alınması gerekiyor. Onay olmadan yapılan geçici kullanım, ileride büyük sorunlara dönüşebilir.
Önerilen Yaklaşım
Yeni BIN devreye alımında en güvenli yol, her BIN için ayrı sertifika ve anahtar seti oluşturmak, Ödeme Şeması’na doğru şekilde kaydetmek ve kart basımı aşamasında bu sertifikaları kullanmaktır. Eğer geçici durumlar söz konusuysa aşağıdaki tablo yol gösterici olabilir:
| Durum | Yapılması Gereken |
|---|---|
| Yeni BIN açıldı | Yeni Issuer Public Key ve sertifika oluşturun, Ödeme Şeması portalına kaydedin. |
| Aynı BIN grubunda ama aynı ürün tipi | Ödeme Şeması’na başvurup aynı key kullanımına izin verilip verilmeyeceğini teyit edin. |
| Test amaçlı geçici kullanım | Test ortamında kullanılabilir; prod’a geçmeden sertifika ayrıştırılmalı. |
| Eski sertifikayı geçici kullanma zorunluluğu varsa | Expiry kontrolü yapın, Ödeme Şeması’na geçici kullanım için yazılı başvuruda bulunun, personalization loglarını net şekilde ayırın. |
Bu yaklaşım hem Ödeme Şeması kurallarına tam uyum sağlar hem de ileride oluşabilecek güvenlik, uyumluluk ve operasyonel sorunların önüne geçer. Kısa vadeli kolaylıklar yerine, baştan doğru yapı kurmak uzun vadede her zaman daha az maliyetli ve daha güvenlidir.