Wat is een X-code limiet?

X-code limieten zijn EMV-risicoparameters die door de issuer op de chip van een betaalkaart worden geprogrammeerd. Deze parameters bepalen onder welke voorwaarden de kaart zelfstandig offline transacties mag goedkeuren, zonder real-time communicatie met de issuer.

EMV card risk management

Bij een POS-transactie voeren zowel de terminal als de chipkaart risicobeoordelingen uit. De terminal controleert tegen zijn eigen floor limits en kan willekeurig transacties selecteren voor online verwerking. De kaart op haar beurt controleert de ingestelde X-code limieten om te bepalen of zij akkoord kan gaan met een offline autorisatie.

Deze kaart-gebaseerde risicocontroles zijn gedefinieerd door de issuer en opgeslagen in de EMV-applicatie op de chip. De terminal kan deze limieten niet omzeilen – als de kaart besluit dat online autorisatie noodzakelijk is, moet de transactie online worden verwerkt of worden afgewezen.

Hoe werkt velocity checking?

De terminal vergelijkt de Application Transaction Counter (ATC) met het Last Online ATC Register. Het verschil geeft aan hoeveel transacties offline zijn uitgevoerd sinds de laatste online autorisatie. Als dit aantal de LCOL overschrijdt, vraagt de terminal om online te gaan. Overschrijdt het de UCOL, dan weigert de kaart een offline goedkeuring.

Dit mechanisme voorkomt dat een gestolen of gecompromitteerde kaart onbeperkt offline kan worden gebruikt. Na een bepaald aantal transacties of een bepaald totaalbedrag moet de kaart contact maken met de issuer, die kan controleren of de kaart nog geldig is en niet als gestolen is gemeld.

Verschil met zero stand-in limieten

X-code limieten en zero stand-in limieten werken op verschillende niveaus maar hebben een vergelijkbaar effect:

In de praktijk werken beide mechanismen samen. Een kaart kan offline worden geweigerd door zowel haar eigen X-code limieten als door zero stand-in restricties op netwerkniveau.