Jak technicky funguje platba kartou – od čipu po vypořádání

Kartou platíme desetkrát denně a skoro nikdy nad tím nepřemýšlíme – přiložíte, terminál pípne, jdete dál. Přesně tahle neviditelnost je ale znak dobře odvedené inženýrské práce: za dvě sekundy u kasy se stihne odehrát komunikace mezi klidně pěti různými subjekty, kryptografické ověření pravosti karty a rozhodnutí o tom, jestli vám banka peníze na útratu vůbec půjčí. V tomhle článku se na celý proces podíváme technicky – od fyzické karty v peněžence až po chvíli, kdy peníze skutečně doputují na účet obchodníka.

Kdo všechno se platby účastní

Naprostá většina karet na světě (Visa, Mastercard) funguje na tzv. čtyřstranném modelu (four-party model), který zapojuje:

• Držitele karty – vy, kdo platí.
• Obchodníka – kdo přijímá platbu, u nás typicky přes pokladní systém napojený na terminál.
• Acquirera (přijímající banku) – poskytovatele terminálu, který obchodníkovi zajišťuje přijímání karet a peníze mu na účet posílá.
• Issuera (vydávající banku) – banku, která vám kartu vydala a která transakci nakonec schvaluje nebo zamítá.
• Kartové schéma (Visa, Mastercard) – síť, která propojuje acquirery s issuery po celém světě a nastavuje pravidla celé hry.

Výjimkou je tzv. třístranný model (American Express, dříve Diners Club), kde je schéma zároveň issuerem i acquirerem a strany jsou tak jen tři – v Česku je ale naprostá většina plateb postavená na tom čtyřstranném.

Anatomie karty: co je vlastně na tom plastu

Moderní platební karta v sobě kombinuje tři technologie, které dnes většinou fungují souběžně:

• EMV čip – zkratka podle Europay, Mastercard, Visa, standardu z 90. let. Čip obsahuje kryptografický klíč a umí sám vygenerovat jedinečný kód pro každou transakci, takže i kdyby někdo data z jedné platby odposlechl, k ničemu dalšímu mu nebudou – na rozdíl od statického magnetického proužku, který dnes už jen dosluhuje.
• NFC anténa pro bezkontaktní platby – komunikuje na frekvenci 13,56 MHz s terminálem na vzdálenost pár centimetrů podle stejné rodiny standardů EMV, jen v tzv. Contactless kernelu.
• Potisk – číslo karty (PAN, Primary Account Number), datum expirace a CVV/CVC kód, které se používají hlavně u plateb, kde kartu fyzicky nikdo nevidí (viz níže).

Zajímavé je, že mobilní peněženky jako Apple Pay nebo Google Pay skutečné číslo karty (PAN) vůbec neposílají – při přidání karty do peněženky vygeneruje kartové schéma tzv. síťový token (network token, např. Visa Token Service nebo Mastercard MDES), svázaný jen s konkrétním zařízením. Terminálu i obchodníkovi tak nikdy neprojde skutečné číslo vaší karty, jen jednorázový náhradní kód, který je mimo dané zařízení k ničemu.

Cesta jedné platby krok za krokem

Ať platíte čipem, bezkontaktně nebo na e-shopu, jádro procesu je stejné – liší se jen první krok, kterým transakce vzniká.

1. Iniciace. Terminál načte data z karty (čip, NFC) nebo je zákazník ručně zadá na e-shopu (tzv. card-not-present, CNP transakce – méně bezpečná, protože terminál kartu fyzicky nevidí).
2. Sestavení autorizační zprávy. Terminál nebo platební brána sestaví zprávu ve formátu ISO 8583 – mezinárodním standardu pro finanční zprávy, který se v této branži používá už od 80. let. Zpráva nese typ (např. 0100 pro autorizační požadavek), číslo karty nebo token, částku, měnu a kód kategorie obchodníka (MCC).
3. Cesta k acquirerovi a schématu. Zpráva putuje od terminálu k acquirerovi a odtud do sítě kartového schématu, které podle čísla karty pozná, které vydávající bance ji má poslat dál.
4. Rozhodnutí issuera. Vydávající banka zkontroluje zůstatek, limity a rizikové skóre a vrátí odpověď – schváleno, nebo zamítnuto s konkrétním důvodem (např. kód 05 „Do Not Honor“, 51 „Nedostatek prostředků“, 54 „Expirovaná karta“).
5. Odpověď zpátky k terminálu. Odpověď (zpráva typu 0110) proputuje stejnou cestou zpět. Celý tenhle kolotoč typicky trvá jednotky sekund.
6. Zablokování částky. Schválená částka se na účtu zákazníka jen dočasně zablokuje (tzv. hold) – fyzicky se ještě nepřevedla, k tomu dojde až při zúčtování.

Platby přes internet: proč navíc řešíte 3D Secure

U plateb, kde terminál kartu fyzicky nevidí (e-shopy), přibývá jeden krok navíc: 3D Secure, dnes ve verzi 2.x. Jde o dodatečné ověření, že platbu skutečně zadává majitel karty, ne někdo, kdo se jen dostal k jejímu číslu. V Evropské unii ho navíc vyžaduje směrnice PSD2 formou tzv. silného ověření zákazníka (SCA) – kombinace alespoň dvou nezávislých faktorů (něco, co znáte – PIN, něco, co máte – mobil, něco, čím jste – otisk prstu).

3D Secure 2 pracuje se dvěma scénáři:

• Frictionless flow – na pozadí se odešle desítky datových bodů o transakci (typické chování zákazníka, zařízení, historie) do rizikového enginu vydávající banky. Pokud vyhodnotí platbu jako nízkorizikovou, proběhne bez jakéhokoliv zásahu zákazníka.
• Challenge flow – při vyšším riziku (nebo prostě zákonné povinnosti) banka zákazníka přesměruje k dodatečnému ověření – potvrzení v bankovní aplikaci, SMS kód apod. To je ten „práskavý“ moment, který znáte z vlastního nakupování.

PSD2 zároveň definuje výjimky ze SCA, které umožňují část plateb ověřit bez zásahu zákazníka i mimo frictionless flow – třeba platby do 30 eur, opakované platby stejné částky stejnému příjemci, nebo tzv. analýza transakčního rizika (TRA) na straně banky nebo obchodníka do určitého limitu.

Zúčtování a vypořádání: kam se peníze skutečně přesunou

Autorizace řekne jen „ano, tuhle částku můžete strhnout“ – samotný přesun peněz řeší až dva navazující procesy:

• Clearing (zúčtování) – obchodník (přes terminál nebo pokladní systém) typicky jednou denně odešle dávku (tzv. batch) všech autorizovaných transakcí ke zpracování.
• Settlement (vypořádání) – kartové schéma spočítá, kolik si která banka komu dluží, a peníze skutečně putují od vydávající banky přes acquirera na účet obchodníka. V praxi tohle trvá jeden až dva pracovní dny (T+1 / T+2), než částku uvidíte na výpisu.

Kolik to celé stojí a kdo si co bere

Poplatek, který obchodník za přijetí karty zaplatí, se skládá ze tří vrstev:

Regulace interchange fee (nařízení EU 2015/751) je důvod, proč se poplatky za kartu v Evropě v posledních letech citelně srazily. Konkrétní aktuální sazby jednotlivých dodavatelů terminálů na českém trhu jsme si loni procházeli podrobně v srovnání platebních terminálů.

Jak se karty brání podvodu

Kromě EMV čipu a 3D Secure stojí za zmínku i další vrstvy ochrany, které běžně nevidíte:

• AVS (Address Verification System) – u některých CNP plateb se porovnává zadaná fakturační adresa s adresou vedenou u vydávající banky.
• Kontrola CVV/CVC – trojmístný kód na zadní straně karty, který se nikde needukuje na magnetickém proužku ani v čipu, takže jeho zadání dokazuje, že platící má kartu fyzicky v ruce (nebo aspoň zná číslo z paměti).
• Velocity checks – issuer i acquirer sledují neobvyklé vzorce (příliš mnoho transakcí za krátký čas, neobvykle vysoká částka, neobvyklá lokalita) a v podezřelých případech transakci zamítnou nebo si vyžádají dodatečné ověření.
• Chargeback – pokud přesto dojde ke zneužití, může držitel karty transakci reklamovat u své banky a peníze se přes celý řetězec (issuer → schéma → acquirer → obchodník) vrátí zpátky – obchodník navíc často platí za samotné vyřízení reklamace poplatek.

Shrnutí

Platba kartou je za těch pár sekund u pokladny výsledkem desítek let vývoje bezpečnostních standardů, mezinárodních zpráv ve formátu ISO 8583 a spolupráce bank, které si navzájem nedůvěřují, ale musí si navzájem věřit systému, který mezi nimi celou komunikaci zprostředkovává. Právě proto, že to tak dobře funguje – a je to regulačně i uživatelsky ověřené – zůstává karta i v roce 2026 pro naprostou většinu obchodníků výchozí volbou. Pokud vás zajímá i to, jak se k téhle infrastruktuře staví úplně nový, na blockchainu postavený přístup, mrkněte na náš článek o protokolu x402.

Časté otázky