İnternet ya da elektrik gidince marketteki POS bankaya ulaşamaz. Bugün çoğu yerde kartla ödeme orada biter ve kasiyer nakit olup olmadığını sorar. Mastercard bunu Avrupa'da değiştiriyor: 8 Ekim'de duyurduğu kurala göre Şubat 2027'den sonra basılan her Mastercard kartı, Mayıs 2027'den sonra takılan her yeni POS da bağlantı yokken ödeme alabilecek (The Paypers).
Çevrimdışı ödeme (offline payment), POS'un o an bankaya soramadığı kart ödemesi. Bu adla iki ayrı şey anılıyor: kartın çipinin ödemeyi kendisi onaylaması ve POS'un işlemi saklayıp bağlantı gelince bankaya sorması. Mastercard'ın kuralı birincisi. Aradaki fark, para yetmediğinde açığın kimde kalacağını belirliyor.
Diyagram: Kesintiden kurala zaman çizelgesi. Nisan 2025'te İspanya ve Portekiz'de elektrik kesintisi. Ekim 2026'da Mastercard çevrimdışı ödeme kuralını duyurdu. Şubat 2027'den itibaren yeni basılan kartlar, Mayıs 2027'den itibaren yeni takılan POS'lar çevrimdışı ödemeyi destekleyecek.
28 Nisan 2025'te İspanya ve Portekiz'de elektrik kesildi. Mastercard kuralı 8 Ekim 2026'da duyurdu. Şubat 2027'den sonra basılan kartlar, Mayıs 2027'den sonra takılan ya da değiştirilen POS'lar bağlantısız ödeme alabilecek.
Kural nereden çıktı?
28 Nisan 2025'te İspanya ve Portekiz'de elektrik kesildi. Mastercard'a göre o gün yaklaşık 55 milyon kişi dijital ödeme yapamadı. Danimarka, İsveç, Estonya ve Letonya'da çevrimdışı ödeme zaten kullanılıyor; Letonya'daki bir fırtınada jeneratörle çalışan dükkânlarda kartla ödeme sürmüş (Electronic Payments International).
Yeni kural bunu Avrupa'nın geneline yayıyor. POS tarafı bir gecede değişmeyecek; dükkânlar cihazlarını yeniledikçe yayılacak.
Kart kendisi onaylayınca
Kartın çipi küçük bir bilgisayar. Ödeme sırasında POS çipe tutarı ve kendi kontrollerinin sonucunu verir, çip de üç cevaptan birini döner: onay (TC), "bankaya sor" (ARQC) ya da ret (AAC). Normal bir günde çip neredeyse her zaman "bankaya sor" der ve kararı banka verir.
Bağlantı yokken bu yol kapalı. Burada devreye giren, çipli kartların ödeme standardı EMV'nin bağlantısız onayı; sektörde adı offline EMV. Karar, bankanın kartı basarken çipe yazdığı kurallara kalıyor: PIN doğru mu, tutar çevrimdışı limitin içinde mi, kart art arda kaç kez bankaya sorulmadan kullanılmış. Hepsi tamamsa çip işlemi imzalayıp onaylıyor. Bu imza, bankanın işlemi sonradan gördüğünde gerçekten o karttan geldiğini doğrulamasını sağlıyor.
Diyagram: Bağlantı yokken onayı çip verir. POS bankaya ulaşamıyor ve tutarı çipe soruyor. Çip, bankanın önceden yazdığı kurallara bakıyor: PIN doğru mu, tutar çevrimdışı limitin içinde mi, art arda kaçıncı bağlantısız işlem. Üç cevaptan birini veriyor: onay (TC, çip işlemi imzalar), bankaya sor (ARQC, bağlantı olmadığı için yapılamaz) ya da ret (AAC).
Normal günde çip neredeyse her zaman "bankaya sor" der. Bağlantı yokken bu yol kapalı; karar, bankanın kartı basarken çipe yazdığı kurallara kalır.
Mastercard'ın kuralında harcama limiti çipte duruyor ve onu kartın bankası belirliyor. Tek işlemde üst sınır 200 euro. Limit çipte olduğu için kart hangi POS'a takılırsa takılsın harcama aynı sayaçtan düşüyor; iki ayrı markette art arda alışveriş yapıp limiti ikiye katlamak mümkün değil.
Çipin bilmediği tek şey hesaptaki para.
Bakiye yetmezse işlem yine onaylanmış olur ve bağlantı gelince takasa gider. Açık bankada kalır. Limiti bankanın koyması da bu yüzden: ne kadar risk alacağına kendisi karar veriyor.
POS saklayıp sonra sorunca
İkinci yolun adı store and forward (sakla ve ilet). Burada çip yine "bankaya sor" der. POS soramayınca işlemi saklar, ekranda kabul gösterir ve bağlantı gelince normal onay isteğini gönderir. Yani o anda kimse onay vermemiştir, karar yalnızca ertelenmiştir (offline EMV ile farkı).
Banka saatler sonra işlemi yetersiz bakiye ya da kapalı hesap yüzünden reddedebilir. Satıcı ürünü çoktan vermiştir. Adyen'in dokümanı bunu açıkça yazıyor: çevrimdışı alınan ödemelerde başarısız tahsilat ve itiraz riski satıcıda (Adyen). Sağlayıcıların bu yolda tutar, adet ve süre sınırı koyması bundan.
Backend'den bakınca bu, idempotency yazısındaki "bankaya iletildi" durumuna benziyor: ödeme alınmış görünüyor ama sonucunu henüz kimse bilmiyor. Farkı, burada ürünün çoktan kapıdan çıkmış olması.
Risk kimde kalıyor?
Diyagram: Çevrimdışı ödemenin iki yolu. Çip onaylar (offline EMV): kararı çip bankanın kurallarıyla verir, banka sonradan reddedemez, para yetmezse açık bankada ve limitle sınırlı kalır. POS saklar (store and forward): o anda kimse onay vermez, POS kabul gösterir; banka saatler sonra reddedebilir ve açık satıcıda kalır.
İkisi de kasada "onaylandı" gösterebilir. Farkı, para yetmediğinde ortaya çıkar.
Çevrimdışı EMV'de risk bankanın çizdiği limitle sınırlı. Çip PIN'i kendisi doğruladığı için PIN'i bilinmeyen çalıntı bir kart da işe yaramıyor. Store and forward'da sınırı ödeme sağlayıcısı koyuyor ama bedeli satıcı ödüyor. Kasadaki ekran iki durumda da "onaylandı" diyebilir.
Türkiye'nin bu kurala dahil olup olmadığını duyurulardan çıkaramadım. Haberler "Avrupa" diyor ve ülke listesi vermiyor.
Bu yazı ilk olarak huseyinbozdemir.com'da yayımlandı.
Top comments (1)
the distinction between offline EMV and store-and-forward is where most implementations get burned, and the 'bankaya iletildi' framing is exactly right: from the backend's view both look like submitted payments whose outcome nobody knows yet.
the chip-side detail is interesting too. since the card itself enforces the offline limit from issuance, the risk sits on the issuer's side of the table, which is why the shortfall cases quietly settle once connectivity returns. the open question you flagged about Türkiye's inclusion in the European rollout is the same one I had reading the announcements: no published country list yet.