Hoe werkt betalen via NFC?

Met NFC-betalen kun je betalen door een contactloze bankkaart, telefoon of smartwatch dicht bij een compatibele betaalterminal te houden. NFC zorgt voor de draadloze verbinding over korte afstand, terwijl de kaartchip, de terminal, het betalingsnetwerk en de bank de daadwerkelijke transactie afhandelen.

Een tik duurt misschien maar een seconde, maar in die tijd vinden er verschillende stappen plaats. Het betaalapparaat communiceert met de terminal, genereert beveiligingsgegevens voor de transactie en stuurt de betaling via het banknetwerk ter goedkeuring.

Wat is betalen via NFC?

NFC, oftewel Near Field Communication, is een draadloze technologie voor korte afstanden die werkt op een frequentie van 13,56 MHz. Bij betalingen maakt deze technologie het mogelijk dat een betaalkaart of een mobiel apparaat communiceert met een betaalterminal zonder dat deze in de lezer hoeft te worden gestoken.

EMV Contactless ondersteunt betalingen via zowel contactloze chipkaarten als mobiele apparaten met NFC-functionaliteit. De kaart of het apparaat hoeft alleen maar heel dicht bij de terminal te worden gehouden.

Veelgebruikte NFC-betaalmethoden zijn onder meer contactloze debet- en creditcards, Apple Pay, Google Pay en smartwatches waarmee je kunt betalen.

De NFC-verbinding zelf zorgt niet voor de overdracht van geld tussen rekeningen. Ze zorgt voor de lokale communicatieverbinding tussen het betaalapparaat en de betaalterminal. De rest van de transactie verloopt via de gebruikelijke betaalinfrastructuur.

Hoe werkt betalen via NFC?

Een typische transactie met een contactloze kaart kan in vijf fasen worden onderverdeeld.

1. De terminal activeert de kaart

De handelaar voert eerst het aankoopbedrag in of bevestigt dit. Vervolgens creëert de betaalterminal een radiofrequentieveld rond de contactloze lezer.

Een fysieke contactloze bankkaart heeft geen eigen batterij nodig. De interne antenne van de kaart vangt energie op uit het veld van de betaalterminal en levert voldoende stroom om de chip te laten werken.

Daarom kan een contactloze kaart soms jarenlang ongebruikt in een portemonnee liggen en toch verbinding maken met een terminal wanneer je ermee tikt.

Mobiele telefoons en smartwatches onderscheiden zich doordat ze over een eigen stroombron beschikken, hoewel ze bij de communicatie met de betaalterminal nog steeds gebruikmaken van dezelfde contactloze interface met een kort bereik.

2. De kaart en de terminal brengen een verbinding tot stand

Zodra de kaart het leesveld van de terminal binnenkomt, beginnen de terminal en de kaart met elkaar te communiceren.

Contactloze betaalkaarten maken doorgaans gebruik van technologie die is gebaseerd op ISO/IEC 14443. De EMV-specificaties leggen vervolgens vast hoe de betaalapplicatie en de betaalterminal de informatie uitwisselen die nodig is om de transactie te verwerken.

De terminal herkent een beschikbare betaalapp en start de EMV-transactie. Op dit moment doet de kaart meer dan alleen het verzenden van een opgeslagen kaartnummer.

3. De kaart genereert transactiegegevens

De betaalchip bevat identificatiegegevens en cryptografische informatie die zijn uitgegeven in het kader van het betaalkaartsysteem.

Tijdens een transactie gebruikt het deze inloggegevens om beveiligingsgegevens te genereren die specifiek zijn voor die betaling. EMV omschrijft dit als een eenmalige beveiligingscode of cryptogram. Voor elke nieuwe transactie wordt een nieuwe waarde gegenereerd; er wordt dus niet telkens dezelfde vaste beveiligingscode gebruikt.

De transactie kan ook informatie bevatten die door de terminal wordt verstrekt, zoals het aankoopbedrag en andere transactieparameters.

4. De transactie wordt ter goedkeuring verzonden

Nadat de terminal verbinding heeft gemaakt met de kaart, stuurt hij de betaling door naar het financiële netwerk.

Een vereenvoudigde route ziet er als volgt uit:

Kaart of telefoon → POS-terminal → acquirer/betalingsverwerker van de handelaar → kaartnetwerk → uitgevende bank

De uitgevende bank is de bank of financiële instelling die verantwoordelijk is voor de kaart van de klant.

Het ontvangt de transactiegegevens en voert de controles uit die nodig zijn om te bepalen of de betaling moet worden geaccepteerd. Hierbij kan het gaan om het valideren van de betalingsgegevens en cryptografische gegevens, en het controleren van de rekening- en transactiestatus.

5. De goedkeuring of afwijzing wordt teruggestuurd naar de terminal

De uitgever geeft zijn besluit door via het betalingsnetwerk.

Als de betaling wordt goedgekeurd, bevestigt de POS-terminal de betaling. Als de betaling wordt geweigerd, ontvangt de terminal in plaats daarvan het bijbehorende antwoord.

De hele transactie is vaak binnen enkele seconden afgerond.

De afwikkeling van het geld tussen de financiële instellingen vindt afzonderlijk plaats. Het aanraken van de terminal dient voornamelijk voor de authenticatie en autorisatie van de transactie, en niet om geld onmiddellijk van de ene bankrekening rechtstreeks naar de rekening van de handelaar over te maken.

Is voor NFC-betalingen een internetverbinding nodig?

Voor de NFC-uitwisseling op korte afstand zelf is geen mobiele of wifi-verbinding op de telefoon van de klant nodig. Een standaard betaalterminal van een handelaar heeft echter wel toegang nodig tot de acquirer of betalingsverwerker om online autorisatie aan te vragen. Sommige betaalomgevingen ondersteunen onder bepaalde voorwaarden mogelijk een beperkte offline, uitgestelde of ‘store-and-forward’-verwerking.

Wat zit er in een contactloze bankkaart?

Een contactloze debet- of creditcard is een speciale contactloze smartcard.

In de plastic kaart zitten twee belangrijke onderdelen: een beveiligde chip en een antenne. De antenne loopt doorgaans langs een groot deel van de kaart, zodat deze verbinding kan maken met het elektromagnetische veld dat door de terminal wordt opgewekt.

De chip bevat de betaalapplicatie en de beveiligde gegevens die nodig zijn voor betalingstransacties. Hij kan cryptografische bewerkingen uitvoeren in plaats van zich te gedragen als een eenvoudig leesbaar geheugen.

Dit verklaart ook waarom schade aan de antenne contactloos betalen kan verhinderen, zelfs als de zichtbare chipcontacten aan de voorkant van de kaart nog steeds werken. Bij contactbetalingen via de metalen contacten en bij contactloos betalen worden verschillende fysieke interfaces gebruikt om met de chip te communiceren.

Is een contactloze bankkaart dan een NFC-kaart?

Voor normaal gebruik, ja: het is een kaart die geschikt is voor NFC/contactloze communicatie op 13,56 MHz. Om precies te zijn: het is een beveiligde betaalkaart die speciaal is ontworpen voor contactloze EMV-transacties, en geen NFC-tag voor algemeen gebruik.

Welke informatie wordt uitgewisseld tijdens een NFC-betaling?

Er wordt wel eens gezegd dat contactloze kaarten simpelweg “je kaartgegevens versturen”. Die beschrijving laat het belangrijkste onderdeel van het proces buiten beschouwing.

Tijdens de transactie kunnen bepaalde betalingsgegevens worden verzonden. Visa geeft bijvoorbeeld aan dat zijn contactloze kaarten het rekeningnummer, de vervaldatum en een eenmalige code kunnen verzenden, die bij elke transactie in de winkel verandert.

Het belangrijke onderscheid ligt tussen relatief statische accountgegevens en dynamische beveiligingsgegevens van transacties.

De rekeninggegevens identificeren de betaalrekening. Aan de hand van de dynamisch gegenereerde cryptografische waarde kan de uitgever vaststellen of de transactie afkomstig is van geldige betaalgegevens en of de transactiegegevens geldig zijn.

Een onderschepte contactloze transactie levert een ander apparaat dus geen herbruikbaar cryptogram op dat zomaar opnieuw kan worden aangeboden voor een nieuwe contactloze EMV-transactie. De beveiligingswaarde is gekoppeld aan de individuele transactie.

Dat betekent niet dat betalingsgegevens als niet-gevoelig moeten worden behandeld. Het betekent dat de beveiliging van contactloos betalen via EMV niet uitsluitend berust op het geheimhouden van een kaartnummer.

Hoe NFC-betalingen werken op telefoons en smartwatches

Een telefoon kan communiceren met hetzelfde type contactloze betaalterminal, maar biedt niet noodzakelijkerwijs dezelfde betalingsgegevens aan als de fysieke kaart die in je portemonnee zit.

Bij mobiele portemonnees wordt vaak gebruikgemaakt van tokenisatie van betalingen.

Wanneer bijvoorbeeld een compatibele kaart aan Google Pay wordt toegevoegd, kan er een apparaattoken – ook wel DPAN of virtueel rekeningnummer genoemd – aan het apparaat worden toegewezen. Google geeft aan dat dit apparaattoken tijdens een NFC-betaling naar de terminal wordt verzonden in plaats van het daadwerkelijke primaire rekeningnummer van de kaart.

Apple Pay hanteert een vergelijkbare apparaatspecifieke aanpak. Apple geeft aan dat er een apparaataccountnummer wordt opgeslagen in het Secure Element van het apparaat en dat dit wordt gebruikt in combinatie met transactiespecifieke dynamische beveiligingsgegevens. Het daadwerkelijke betaalkaartnummer wordt tijdens een Apple Pay-transactie niet door het apparaat verzonden.

De algemene betalingsprocedure is nog steeds bekend:

Telefoon → NFC-betaalterminal → betalingsnetwerk → kaartuitgever

Wat verandert, is de authenticatie-informatie die door het apparaat wordt aangeboden.

Telefoons en horloges kunnen ook verificatie van de kaarthouder op apparaatniveau bieden. Afhankelijk van het apparaat en de digitale portemonnee kan de gebruiker zich authenticeren met Face ID, een vingerafdruk, een toegangscode of een andere goedgekeurde methode voordat de betalingsgegevens worden gebruikt.

De NFC-interface vormt dus slechts een onderdeel van mobiel betalen. Daarachter spelen beveiligde hardware, het toekennen van tokens, gebruikersauthenticatie en de verwerking via het betalingsnetwerk een rol.

Is een pincode altijd nodig bij contactloos betalen?

Nee. Of een pincode of een andere verificatiemethode voor de kaarthouder vereist is, hangt af van factoren zoals het transactiebedrag, de regels van de kaartuitgever, de configuratie van de betaalterminal, de regels van het betalingsnetwerk en de lokale regelgeving. Bij een contactloze kaarttransactie kan het soms nodig zijn dat de klant een pincode invoert. Op een telefoon of smartwatch kan een succesvolle biometrische verificatie of verificatie met een toegangscode dienen als een 'Consumer Device Cardholder Verification Method', ook wel CDCVM genoemd.

NFC-betaalkaarten versus standaard NFC-tags

Een contactloze bankkaart en een standaardkaart NFC-tag Ze zenden misschien allebei uit op 13,56 MHz, maar hun mogelijkheden lopen sterk uiteen.

Standaard NFC-chips zoals de NTAG213, NTAG215 en NTAG216 zijn NFC Forum Type 2-tags. Ze bieden gebruikersgeheugen voor toepassingen zoals slimme reclame, productinteractie, authenticatie en andere NFC-toepassingen. Ze ondersteunen NDEF-gegevensstructuren die door compatibele telefoons kunnen worden gelezen.

Een NTAG213 zou bijvoorbeeld een URL kunnen bevatten zoals:

https://example.com/pay/order123

Wanneer een klant op de tag tikt, opent de telefoon die pagina en kan de klant doorgaan naar de online kassa.

De NFC-tag heeft geholpen om het betalingsproces op gang te brengen, maar de tag zelf heeft geen EMV-bankkaarttransactie uitgevoerd. De tag heeft alleen de gegevens aangeleverd die de telefoon naar de betaaldienst hebben geleid.

Hetzelfde concept kan worden toegepast in restaurants, onbemande kiosken, productverpakkingen, evenementensystemen of andere toepassingen waarbij een tikbeweging een fysiek object moet koppelen aan een online betaalpagina.

Sommige organisaties maken ook gebruik van contactloze kaarten of apparaten in gesloten systemen, waarbij de identificatiegegevens een account binnen het eigen platform van die organisatie identificeren. Vervoerskaarten, campussystemen, prepaidkaarten en soortgelijke toepassingen kunnen gebruikmaken van geavanceerdere, beveiligde contactloze chips. Deze systemen mogen echter niet worden verward met de uitgifte van een gewone bankkaart die werkt via Visa, Mastercard of een ander open betalingsnetwerk.

Hoe worden NFC-betalingen beveiligd?

De beveiliging van contactloos betalen is gebaseerd op de betalingsgegevens en de cryptografische uitwisseling, en niet alleen op de korte leesafstand van NFC.

Transactiespecifieke cryptogrammen

EMV-chiptransacties genereren beveiligingsgegevens voor afzonderlijke transacties. EMVCo omschrijft het cryptogram als een eenmalige waarde die de uitgever en de betaalterminal helpt bij het verifiëren van de transactie.

Als iemand één geldige transactie registreert, kan die cryptografische waarde niet zomaar worden hergebruikt als het geldige cryptogram voor een andere transactie.

Beveiligde cryptografische sleutels

De sleutels die worden gebruikt om geldige betalingscryptogrammen te genereren, worden binnen de betalingsgegevens beveiligd en worden niet openlijk verzonden telkens wanneer de kaart wordt gelezen.

De uitgever of het betalingsnetwerk kan de bijbehorende informatie gebruiken om het cryptogram tijdens de transactieverwerking te verifiëren.

Tokenisatie op mobiele apparaten

Mobiele portemonnees voegen een extra beveiligingslaag toe door het primaire rekeningnummer van de fysieke kaart te vervangen door een apparaatspecifiek betalingstoken.

Zowel Apple Pay als Google Pay maken gebruik van apparaatspecifieke betalingsgegevens voor ondersteunde contactloze betalingen. Als de betalingsgegevens van het apparaat verloren gaan, hoeft het oorspronkelijke kaartnummer dat is gebruikt om het apparaat op te laden, dus niet bekend te worden gemaakt.

Deze combinatie van beveiligde inloggegevens, dynamische transactiegegevens en verificatie door de uitgever is de reden waarom NFC-betalingen niet mogen worden opgevat als een situatie waarin een lezer simpelweg een bankkaart scant en klakkeloos vertrouwt op het nummer dat hij ontvangt.

Waar wordt NFC-betalen gebruikt?

Hetzelfde basisproces voor contactloos betalen kan overal worden gebruikt waar een compatibele betaalterminal en betaalinfrastructuur beschikbaar zijn.

Winkels en restaurants zijn de bekendste voorbeelden. Contactloze betaalterminals komen ook veel voor in automaten, parkeersystemen, zelfbedieningskiosken en andere onbemande betaalpunten.

Het openbaar vervoer is een andere belangrijke toepassing. Bij sommige systemen kunnen gewone contactloze bankkaarten of mobiele portemonnees direct bij de poort worden gebruikt. Deze systemen worden vaak ‘open-loop’-systemen genoemd, omdat er gebruik wordt gemaakt van bestaande, door banken uitgegeven betaalgegevens.

Andere systemen op het gebied van vervoer, de campus, horeca en evenementenlocaties geven hun eigen kaarten of toegangsbewijzen uit. Dit zijn gesloten kringloop systemen waarbij de gebruiker zelf de inloggegevens en het bijbehorende account beheert.

Beide maken weliswaar gebruik van contactloze technologie, maar het financiële systeem achter de betaling bepaalt wat de kaart of het apparaat daadwerkelijk kan doen.

Conclusie

NFC zorgt voor de draadloze verbinding waarmee een kaart, telefoon of smartwatch kan communiceren met een betaalterminal. De betaalchip of mobiele portemonnee levert de beveiligde inloggegevens, de terminal stuurt de transactie door naar het financiële netwerk en de uitgever beslist of deze wordt geautoriseerd.

Die rolverdeling is ook van belang bij de keuze voor NFC-technologie voor een project. Een programmeerbare NFC-tag kan een klant doorverwijzen naar een betaalpagina of een andere digitale dienst, terwijl voor directe betaling met een bankkaart de beveiligde inloggegevens en infrastructuur van een speciaal betalingssysteem nodig zijn.