Mastercard’ın Avrupa’daki çevrimiçi ödemelerde kayıtlı kart bilgilerinin tokenizasyonuna ilişkin yeni kuralı 1 Ekim’de yürürlüğe girdi. Ancak Türkiye, kuralın uygulanmadığı 12 ülke arasında yer alıyor.

Mastercard Rules dokümanına göre Avrupa bölgesinde faaliyet gösteren kart kabul kuruluşları ve ödeme hizmeti sağlayıcıları, 1 Ekim 2026’dan itibaren kayıtlı kart bilgilerinin Mastercard Secure Card on File (SCOF) veya EMVCo standartlarına uygun eşdeğer bir tokenizasyon hizmeti üzerinden kullanılmasını desteklemek zorunda. Türkiye ise Ermenistan, Azerbaycan, Belarus, Gürcistan, Kazakistan, Kırgızistan, Moldova, Tacikistan, Türkmenistan, Ukrayna ve Özbekistan ile birlikte uygulamanın dışında tutuluyor.

Türkiye’nin neden kapsam dışında bırakıldığı ve ülke için farklı bir geçiş takvimi bulunup bulunmadığı ise henüz açık değil.

Kart numarası yerine token

Yeni model, özellikle internet siteleri ve uygulamalarda kayıtlı tutulan kartların kullanım biçimini değiştiriyor.

Bugün bir kullanıcı kartını bir e-ticaret sitesine veya uygulamaya kaydettiğinde ödeme altyapısının arka planında gerçek kart numarası, yani PAN, kullanılabiliyor. Network tokenizasyonunda ise gerçek kart numarasının yerine ödeme ağı tarafından oluşturulan farklı bir kimlik kullanılıyor.

Mastercard’ın Secure Card on File hizmetinde kart numarası, üye işyerine özgü bir token ile değiştiriliyor. Mastercard, bu yapının gerçek kart bilgilerinin ödeme zincirindeki görünürlüğünü azaltmasının yanı sıra sahtekârlığı düşürmeye ve işlem onay oranlarını yükseltmeye yardımcı olduğunu belirtiyor. Şirketin Türkiye sitesinde yer alan bilgilere göre tokenize işlemlerde PAN kullanılan işlemlere kıyasla onay oranlarında 3 ila 6 puanlık artış görülebiliyor.

EMVCo şartı ise her şirketin kendi sisteminde kart numarası yerine oluşturduğu herhangi bir kodun bu yükümlülüğü karşılamadığı anlamına geliyor. Mastercard kuralları, alternatif bir sağlayıcının kullanılması halinde çözümün uluslararası ödeme sistemlerinin ortak teknik standartlarını belirleyen EMVCo’nun Payment Tokenization Specifications standardına uygun olmasını istiyor.

Mastercard 2030’da yüzde 100 tokenizasyon hedefliyor

1 Ekim değişikliği daha geniş bir dönüşümün parçası.

Mastercard, Haziran 2026 itibarıyla Avrupa’daki Mastercard e-ticaret işlemlerinin beşte üçünün tokenize edildiğini açıkladı. Secure Card on File ise 45 Avrupa ülke ve bölgesinde kullanılıyor. Şirket, 2030 yılına kadar Avrupa’daki e-ticaret işlemlerinde yüzde 100 tokenizasyona ulaşmayı ve manuel kart numarası girişine bağımlılığı ortadan kaldırmayı hedefliyor.

Bu nedenle Türkiye’nin 1 Ekim yükümlülüğünün dışında kalması yalnızca bir ürün lansmanı farklılığı değil. Kural, bankalar, kart kabul kuruluşları, ödeme geçitleri ve üçüncü taraf işlemcilerin altyapılarını hangi ödeme kimlik bilgilerini destekleyecek şekilde hazırlaması gerektiğini belirliyor.

Mastercard’ın kuralında yükümlülük doğrudan “her üye işyeri kartlarını tokenize etmek zorunda” şeklinde tanımlanmıyor. Düzenleme, kart kabul kuruluşlarının ve merchant payment gateway ile third-party processor gibi hizmet sağlayıcılarının kayıtlı kartların tokenizasyonunu desteklemesini şart koşuyor.

Dolayısıyla Türkiye açısından temel soru, mevcut istisnanın geçici bir takvim farkından mı, yerel ödeme altyapısı veya düzenlemelerden mi, yoksa farklı bir tokenizasyon geçiş modelinden mi kaynaklandığı.

Yıl sonunda ikinci değişiklik

Ödeme altyapılarının önünde bir başka tarih daha bulunuyor.

Checkout.com’un 24 Eylül’de müşterilerine yaptığı teknik duyuruya göre Mastercard, mevcut Mastercard Digital Enablement Service for Merchants (M4M) hizmetini 31 Aralık 2026’dan itibaren Secure Card on File ile değiştirmeyi planlıyor. Checkout.com, kendi kart saklama altyapısını kullanan müşterilerinin değişiklik yapmasına gerek olmadığını, üçüncü taraf tokenizasyon sağlayıcıları kullanan şirketlerin ise sağlayıcılarının SCOF desteğini kontrol etmesini öneriyor.

Bu geçişin Türkiye’deki ödeme kuruluşları ve üye işyerleri açısından nasıl uygulanacağı da netleştirilmesi gereken başlıklar arasında.

Bir başka açık soru ise sınır ötesi işlemler.

Örneğin Türkiye’deki bir e-ticaret şirketinde Almanya veya Fransa’da çıkarılmış bir Mastercard’ın kayıtlı olarak kullanılması halinde Türkiye istisnasının mı geçerli olacağı, yoksa Avrupa’daki kartı çıkaran ülkenin tokenizasyon kurallarının mı devreye gireceği sektör açısından önemli bir teknik ayrıntı.

Türkiye için ayrı takvim var mı?

Satırarası, Mastercard Türkiye’ye Türkiye’nin neden 1 Ekim kapsamının dışında tutulduğunu, ülke için ayrı bir geçiş takvimi bulunup bulunmadığını ve sınır ötesi kayıtlı kart işlemlerinde kuralın nasıl uygulanacağını sordu.

Haber yayına hazırlanırken Mastercard Türkiye’den yanıt ulaşmamıştı.

Avrupa’da tokenizasyonun ödeme altyapısının varsayılan katmanlarından biri haline gelmeye başlaması, Türkiye açısından soruyu artık “tokenizasyon kullanılacak mı?” noktasından çıkarıyor. Asıl soru, Avrupa’da takvime bağlanan bu dönüşümün Türkiye’ye ne zaman ve hangi modelle geleceği.