PIN pad: czym jest, jak działa i kiedy jest wymagany przy terminalu płatniczym?

Każda transakcja kartą, podczas której wpisujesz czterocyfrowy kod, przechodzi przez PIN pad. To urządzenie, które większość klientów obsługuje codziennie, a które przedsiębiorcy często mylą z terminalem płatniczym lub ignorują przy wyborze sprzętu kasowego.

Czym jest PIN pad i jak go odróżnić od terminala płatniczego?

PIN pad to dedykowane urządzenie do bezpiecznego wprowadzania kodu PIN, działające jako osobny moduł podłączony do terminala POS lub kasy fiskalnej online.

Rozróżnienie między PIN padem a terminalem płatniczym bywa źródłem nieporozumień, bo oba urządzenia wyglądają podobnie i pełnią zbliżoną rolę z perspektywy klienta. Różnica jest jednak zasadnicza z punktu widzenia architektury systemu płatniczego. Terminal płatniczy (POS) to kompletne urządzenie: obsługuje komunikację z agentem rozliczeniowym, przetwarza dane karty, zarządza transakcją i drukuje potwierdzenie. PIN pad natomiast pełni wyłącznie jedną funkcję: przyjmuje kod PIN od klienta i szyfruje go, zanim trafi do dalszego przetwarzania.

Upraszczając: terminal POS to "mózg" transakcji, a PIN pad to zabezpieczona klawiatura, której jedynym zadaniem jest ochrona kodu PIN przed przechwyceniem. Takie rozdzielenie funkcji ma sens wszędzie tam, gdzie terminal jest po stronie kasjera, a klient powinien mieć własny, oddzielny punkt do wpisywania danych.

Pytanie "pin pad co to jest" pojawia się najczęściej w kontekście integracji z kasą fiskalną online. Kasa fiskalna sama w sobie nie obsługuje płatności kartą. Dopiero połączenie kasy z terminalem POS lub bezpośrednio z PIN padem tworzy kompletne stanowisko kasowe. Czym jest PIN pad kasa w praktyce? To właśnie taki zestaw: urządzenie do przyjmowania PIN-u zintegrowane ze stanowiskiem kasowym, gdzie dane o transakcji płatniczej i fiskalnej są rejestrowane niezależnie, ale sprzężone czasowo i kwotowo.

Jak działa PIN pad krok po kroku?

PIN pad szyfruje wprowadzony kod natychmiast w miejscu wpisania, używając dedykowanego procesora kryptograficznego EPP, co uniemożliwia przechwycenie danych w postaci jawnej.

Mechanizm działania PIN pada jest bardziej złożony, niż sugeruje prosta klawiatura z dziesięcioma cyframi. Gdy klient zbliża lub wkłada kartę do czytnika, terminal POS inicjuje transakcję i przekazuje do PIN pada żądanie wprowadzenia kodu. Od tego momentu PIN pad przejmuje kontrolę nad procesem.

Kod PIN nigdy nie opuszcza urządzenia w postaci jawnej. Szyfrowanie odbywa się wewnątrz modułu EPP (Encrypting PIN Pad) przy użyciu algorytmów zgodnych ze standardem ISO 9564. Najczęściej stosowaną metodą zarządzania kluczami kryptograficznymi jest DUKPT (Derived Unique Key Per Transaction), która generuje unikalny klucz dla każdej transakcji z osobna. Oznacza to, że nawet jeśli atakujący przechwyciłby zaszyfrowany PIN z jednej transakcji, nie mógłby go użyć do odszyfrowania innej.

Zaszyfrowany blok PIN trafia następnie do terminala POS, który przesyła go razem z danymi karty do agenta rozliczeniowego. Agent rozliczeniowy przekazuje dane do sieci płatniczej (Visa, Mastercard), gdzie odbywa się weryfikacja PIN-u. W przypadku kart EMV (karta chipowa) możliwa jest również weryfikacja PIN offline: chip karty sam weryfikuje poprawność kodu bez konieczności połączenia z centrum autoryzacyjnym. To rozwiązanie przyspiesza transakcje i działa nawet przy chwilowym braku łączności.

Warto wiedzieć, że "PIN pad test" to procedura diagnostyczna uruchamiana przez technika lub automatycznie przez oprogramowanie urządzenia. Sprawdza ona poprawność działania modułu szyfrującego, integralność oprogramowania i stan klawiatury. Regularne testy są wymagane przez standardy PCI-DSS i stanowią część procesu certyfikacji urządzenia.

Kiedy terminal PIN pad jest wymagany? Regulacje i limity transakcji

PIN pad staje się obowiązkowy przy płatnościach zbliżeniowych powyżej 100 PLN oraz co piątej transakcji NFC z rzędu, zgodnie z wymogami silnego uwierzytelnienia SCA wynikającymi z dyrektywy PSD2.

To właśnie ten obszar jest najsłabiej opisany przez większość dostępnych materiałów, a dla przedsiębiorcy ma bezpośrednie konsekwencje operacyjne i prawne.

Limity zbliżeniowe i obowiązek SCA

Dyrektywa PSD2 nakłada obowiązek silnego uwierzytelnienia dla transakcji zbliżeniowych powyżej 50 euro, co odpowiada progowi ok. 100 PLN stosowanemu przez organizacje płatnicze Visa i Mastercard w Polsce.

Organizacje płatnicze narzucają dodatkowo regułę kumulatywną: po pięciu kolejnych transakcjach zbliżeniowych bez PIN-u terminal musi zażądać kodu przy szóstej, niezależnie od kwoty. Przekroczenie skumulowanego limitu (150 euro dla Visa, zbliżony próg dla Mastercard) również wyzwala obowiązek weryfikacji PIN-u. Jeśli terminal płatniczy nie ma możliwości przyjęcia PIN-u od klienta (bo jest zamontowany po stronie kasjera bez osobnego PIN pada), transakcja zostanie odrzucona lub wymagać będzie podpisu, co w wielu środowiskach jest niepraktyczne lub niedopuszczalne przez regulaminy organizacji płatniczych.

Certyfikaty PCI PTS: jak sprawdzić, czy urządzenie jest bezpieczne?

Certyfikat PCI PTS potwierdza, że konkretny PIN pad spełnia wymagania bezpieczeństwa PCI Security Standards Council dla sprzętu obsługującego kody PIN klientów.

To rozróżnienie ma znaczenie, bo PCI-DSS dotyczy całego środowiska przetwarzania danych płatniczych, natomiast PCI PTS to certyfikat dla konkretnego urządzenia fizycznego. Każdy PIN pad dopuszczony do użytku komercyjnego przez agentów rozliczeniowych działających w Polsce musi posiadać aktualny certyfikat PCI PTS. Listę certyfikowanych urządzeń prowadzi publicznie PCI Security Standards Council na swojej stronie internetowej. Przy wyborze lub dzierżawie PIN pada warto sprawdzić numer certyfikatu i datę jego ważności, bo urządzenia z wygasłym certyfikatem mogą być wycofywane z akceptacji przez sieci płatnicze.

Standard EMVCo narzuca z kolei wymagania dotyczące współpracy PIN pada z modułem EMV terminala. Urządzenie musi obsługiwać zarówno weryfikację PIN online (przez sieć), jak i offline (przez chip karty).

Rodzaje PIN padów i modele kosztowe dla przedsiębiorcy

PIN pady dzielą się na przewodowe (USB, RS232, Ethernet) i bezprzewodowe (Bluetooth, Wi-Fi), a koszt dzierżawy wynosi zwykle 15-40 PLN miesięcznie, zaś zakup urządzenia to wydatek od 300 do ponad 1000 PLN.

Wybór między dzierżawą a zakupem zależy od modelu współpracy z agentem rozliczeniowym. Większość operatorów działających w Polsce (eService, PolCard, PayTel, Elavon i inni) oferuje PIN pady w modelu abonamentowym jako element pakietu terminalowego. Abonament obejmuje zazwyczaj serwis, aktualizacje oprogramowania i wymianę urządzenia w razie awarii. To wygodne, ale w perspektywie kilkuletniej może okazać się droższe niż jednorazowy zakup.

Przy zakupie własnego urządzenia przedsiębiorca musi samodzielnie zadbać o:

• certyfikację urządzenia przez agenta rozliczeniowego (nie każdy operator akceptuje dowolny sprzęt)

• aktualizacje firmware zgodne z wymogami PCI PTS

• serwis i wymianę w razie uszkodzenia

• integrację techniczną z kasą fiskalną lub systemem POS

Rodzaj połączenia PIN pada z terminalem lub kasą ma znaczenie praktyczne. Połączenie przez RS232 to starszy standard, spotykany w kasach fiskalnych starszej generacji. USB jest dziś najczęstsze przy integracji z nowoczesnymi terminalami. Ethernet pozwala na podłączenie PIN pada do sieci lokalnej, co bywa przydatne przy bardziej rozbudowanych stanowiskach. Bluetooth i Wi-Fi to opcje dla środowisk mobilnych: gastronomii, dostaw czy obsługi przy stoliku.

PIN pad poza tradycyjną kasą: zastosowania w niestandardowych środowiskach

PIN pad sprawdza się nie tylko przy kasach sklepowych, ale też w kioskach, automatach vendingowych, transporcie publicznym i gastronomii mobilnej, gdzie zastępuje pełny terminal POS.

Ten segment rynku rośnie szybko, a jego specyfika bywa pomijana w standardowych opisach urządzeń płatniczych. W kioskach (np. kasy obsługiwane przez klienta w supermarketach, automaty biletowe) PIN pad jest zintegrowany bezpośrednio z obudową urządzenia. Musi spełniać podwyższone wymagania odporności na manipulację fizyczną (tamper resistance), bo nie ma w pobliżu pracownika, który mógłby zauważyć próbę ingerencji w sprzęt.

W gastronomii mobilnej i cateringu PIN pady bezprzewodowe pozwalają na przyjmowanie płatności bezpośrednio przy stoliku lub na evencie, bez konieczności prowadzenia klienta do stacjonarnej kasy. Połączenie z kasą fiskalną odbywa się przez Bluetooth lub Wi-Fi, a paragon fiskalny może być drukowany zdalnie lub wysyłany elektronicznie.

Ciekawym przypadkiem jest tzw. wirtualny PIN pad, stosowany w niektórych rozwiązaniach e-commerce i bankowości internetowej. Zamiast fizycznej klawiatury klient używa interfejsu graficznego z losowo rozmieszczonymi cyframi, co utrudnia przechwycenie sekwencji przez oprogramowanie śledzące ruchy myszy lub dotknięcia ekranu. To rozwiązanie nie wymaga fizycznego urządzenia, ale spełnia analogiczną funkcję: bezpieczne przekazanie kodu uwierzytelniającego.

Program Polska Bezgotówkowa, realizowany przez Fundację Rozwoju Obrotu Bezgotówkowego, przyspieszył upowszechnienie terminali płatniczych wśród małych przedsiębiorców. Część z dofinansowanych urządzeń to zestawy terminal z PIN padem, szczególnie w branżach, gdzie obsługa przy stoisku lub stoliku wymaga oddzielenia interfejsu klienta od interfejsu kasjera.

Dla przedsiębiorcy rozważającego wdrożenie lub wymianę sprzętu płatniczego zestawienie najważniejszych kwestii wygląda następująco:

• czy terminal lub kasa fiskalna online obsługuje protokół komunikacji z PIN padem (OPOS, JavaPOS, dedykowane SDK agenta)

• czy planowane urządzenie posiada aktualny certyfikat PCI PTS i jest na liście akceptowanych przez wybranego agenta rozliczeniowego

• jaki model połączenia (USB, Bluetooth, Ethernet) odpowiada układowi stanowiska kasowego

• czy operator oferuje dzierżawę z serwisem czy wymaga zakupu własnego urządzenia

• czy środowisko pracy wymaga szczególnej odporności mechanicznej lub certyfikacji dla środowisk zewnętrznych

Odpowiedzi na te pytania, zadane przed podpisaniem umowy z agentem rozliczeniowym, pozwalają uniknąć sytuacji, w której zakupiony lub wydzierżawiony PIN pad okazuje się niekompatybilny ze sprzętem kasowym lub niezaakceptowany przez sieć płatniczą.