İnternet yokken kartla ödeme nasıl onaylanır?

İnternet ya da elektrik gidince marketteki POS bankaya ulaşamaz. Bugün çoğu yerde kartla ödeme orada biter ve kasiyer nakit olup olmadığını sorar. Mastercard bunu Avrupa’da değiştiriyor: 8 Ekim’de duyurduğu kurala göre Şubat 2027’den sonra basılan her Mastercard kartı, Mayıs 2027’den sonra takılan her yeni POS da bağlantı yokken ödeme alabilecek (The Paypers).

Çevrimdışı ödeme (offline payment), POS’un o an bankaya soramadığı kart ödemesi. Bu adla iki ayrı şey anılıyor: kartın çipinin ödemeyi kendisi onaylaması ve POS’un işlemi saklayıp bağlantı gelince bankaya sorması. Mastercard’ın kuralı birincisi. Aradaki fark, para yetmediğinde açığın kimde kalacağını belirliyor.

Kural nereden çıktı?

28 Nisan 2025’te İspanya ve Portekiz’de elektrik kesildi. Mastercard’a göre o gün yaklaşık 55 milyon kişi dijital ödeme yapamadı. Danimarka, İsveç, Estonya ve Letonya’da çevrimdışı ödeme zaten kullanılıyor; Letonya’daki bir fırtınada jeneratörle çalışan dükkânlarda kartla ödeme sürmüş (Electronic Payments International).

Yeni kural bunu Avrupa’nın geneline yayıyor. POS tarafı bir gecede değişmeyecek; dükkânlar cihazlarını yeniledikçe yayılacak.

Kart kendisi onaylayınca

Kartın çipi küçük bir bilgisayar. Ödeme sırasında POS çipe tutarı ve kendi kontrollerinin sonucunu verir, çip de üç cevaptan birini döner: onay (TC), “bankaya sor” (ARQC) ya da ret (AAC). Normal bir günde çip neredeyse her zaman “bankaya sor” der ve kararı banka verir.

Bağlantı yokken bu yol kapalı. Burada devreye giren, çipli kartların ödeme standardı EMV’nin bağlantısız onayı; sektörde adı offline EMV. Karar, bankanın kartı basarken çipe yazdığı kurallara kalıyor: PIN doğru mu, tutar çevrimdışı limitin içinde mi, kart art arda kaç kez bankaya sorulmadan kullanılmış. Hepsi tamamsa çip işlemi imzalayıp onaylıyor. Bu imza, bankanın işlemi sonradan gördüğünde gerçekten o karttan geldiğini doğrulamasını sağlıyor.

Mastercard’ın kuralında harcama limiti çipte duruyor ve onu kartın bankası belirliyor. Tek işlemde üst sınır 200 euro. Limit çipte olduğu için kart hangi POS’a takılırsa takılsın harcama aynı sayaçtan düşüyor; iki ayrı markette art arda alışveriş yapıp limiti ikiye katlamak mümkün değil.

Çipin bilmediği tek şey hesaptaki para.

Bakiye yetmezse işlem yine onaylanmış olur ve bağlantı gelince takasa gider. Açık bankada kalır. Limiti bankanın koyması da bu yüzden: ne kadar risk alacağına kendisi karar veriyor.

POS saklayıp sonra sorunca

İkinci yolun adı store and forward (sakla ve ilet). Burada çip yine “bankaya sor” der. POS soramayınca işlemi saklar, ekranda kabul gösterir ve bağlantı gelince normal onay isteğini gönderir. Yani o anda kimse onay vermemiştir, karar yalnızca ertelenmiştir (offline EMV ile farkı).

Banka saatler sonra işlemi yetersiz bakiye ya da kapalı hesap yüzünden reddedebilir. Satıcı ürünü çoktan vermiştir. Adyen’in dokümanı bunu açıkça yazıyor: çevrimdışı alınan ödemelerde başarısız tahsilat ve itiraz riski satıcıda (Adyen). Sağlayıcıların bu yolda tutar, adet ve süre sınırı koyması bundan.

Backend’den bakınca bu, idempotency yazısındaki “bankaya iletildi” durumuna benziyor: ödeme alınmış görünüyor ama sonucunu henüz kimse bilmiyor. Farkı, burada ürünün çoktan kapıdan çıkmış olması.

Risk kimde kalıyor?

Çevrimdışı EMV’de risk bankanın çizdiği limitle sınırlı. Çip PIN’i kendisi doğruladığı için PIN’i bilinmeyen çalıntı bir kart da işe yaramıyor. Store and forward’da sınırı ödeme sağlayıcısı koyuyor ama bedeli satıcı ödüyor. Kasadaki ekran iki durumda da “onaylandı” diyebilir.

Türkiye’nin bu kurala dahil olup olmadığını duyurulardan çıkaramadım. Haberler “Avrupa” diyor ve ülke listesi vermiyor.