50k–200k $ / Jahr
PCI-DSS-Compliance der Enterprise-Stufe 1: QSA-Audit, ASV-Scans, Pen-Tests, Überwachung, dediziertes Sicherheitspersonal. Jährlich wiederkehrend.
Das Card Data Reveal SDK ermöglicht es Ihrer Anwendung, dem Karteninhaber die vollständige PAN, den CVV und das Ablaufdatum anzuzeigen — ohne dass Ihre Server, Ihre Anwendung oder Ihre Entwickler jemals die Kartendaten berühren. Ein Cross-Origin-iframe, das von der PCI‑DSS-zertifizierten Infrastruktur von Codego bereitgestellt wird, rendert die Karte im Browser des Endnutzers. Die Same-Origin Policy des Browsers garantiert, dass Ihr Code sie nicht lesen kann. Wechseln Sie von SAQ-D (über 300 Kontrollen) zu SAQ-A (22 Kontrollen) — ohne den Issuer zu wechseln.
Wenn Ihre Anwendung auch nur einmal eine vollständige PAN speichert, verarbeitet oder übermittelt — selbst um sie einmal auf dem Bildschirm anzuzeigen — befinden Sie sich innerhalb des PCI-DSS-Cardholder-Data-Environment. Das bedeutet SAQ-D, ein QSA-Mandat der Stufe 1, vierteljährliche ASV-Scans, jährliche Penetrationstests, laufende Überwachung und ungefähr 50.000 bis 200.000 US-Dollar pro Jahr an Compliance-Aufwand — bevor Sie auch nur eine einzige Zeile Produktcode schreiben.
PCI-DSS-Compliance der Enterprise-Stufe 1: QSA-Audit, ASV-Scans, Pen-Tests, Überwachung, dediziertes Sicherheitspersonal. Jährlich wiederkehrend.
Neue Kartenprogramme stehen häufig ein halbes Jahr in der Warteschlange, während Compliance, Infrastruktur und Prozesse zu einer PCI-Stufe-1-Aufstellung aufholen.
Der vollständige SAQ-D-Fragebogen zieht angrenzende Systeme hinein — Logs, Backups, Entwickler-Workstations. Auditoren finden ständig weitere im Geltungsbereich.
Die meisten Reveal-SDKs stammen von einem einzigen Issuer (Marqeta.js, Stripe Issuing Elements, Galileo MyCardInfo) — Sie übernehmen das SDK nur, indem Sie den Issuer übernehmen.
Die technische Garantie ist keine Richtlinie — es ist der Browser. Wenn Ihre Seite ein Cross-Origin-iframe von cardview.codegotech.com einbettet, weigert sich der Browser, Ihr JavaScript darin lesen zu lassen. Es ist dieselbe Grenze, die beliebige Websites daran hindert, Ihren Gmail-Posteingang zu lesen. Die PAN wird als Pixel innerhalb eines isolierten DOM gerendert — sichtbar für Ihren Nutzer, aber unzugänglich für Ihren Code.
Ihr Backend ruft die Card Reveal API mit der Kennung des Karteninhabers, Ihren Tenant-Anmeldedaten und der Karten-ID auf. Es werden keine Kartendaten gesendet.
Codego gibt einen einmalig verwendbaren 64-stelligen Hex-Token zurück, der genau an diese Karte und diesen Nutzer gebunden ist und 5 Minuten gültig ist. Der Token wird als SHA-256-Hash gespeichert; der Klartextwert wird nie persistiert.
Ihr Frontend fügt <iframe src="cardview.../v/<token>"> in die Seite ein. Der Browser ruft das iframe direkt von Codego ab.
Das iframe empfängt das verschlüsselte Payload, entschlüsselt es im Browser-Kontext und rendert PAN, CVV, Inhaber und Ablaufdatum als Pixel.
Der Viewer löscht sein eigenes DOM nach 60 Sekunden, blockiert Druck- und Screenshot-Tastenkürzel und widerruft den Token bei der ersten Anzeige. Ein Replay gibt 403 zurück.
curl -X POST https://cardapi.codegotech.com/getCardInfo \
-H "Content-Type: application/json" \
-d '{
"authkey": "<tenant_api_key>",
"authekey": "<base64(user:pass)>",
"whitelabel_id": "<your_tenant_id>",
"user_id": "<end_user_id>",
"web_token": "<session_token>",
"cid": "<card_id>"
}'
# response
{
"status": true,
"token": "f5b3...c801",
"image_url": "https://cardview.codegotech.com/v/f5b3...c801"
}
Sandbox-Dokumentation öffnen → Kostenloser Schlüssel, keine Kreditkarte. Dasselbe Payload wie in der Produktion.
Die meisten Reveal-SDKs sind an einen bestimmten Issuer gebunden — Sie übernehmen das SDK, indem Sie den Issuer übernehmen. Das Card Data Reveal SDK von Codego ist anders. Wir rufen die PAN bei jeder Anfrage aus der autoritativen Quelle Ihres bestehenden Issuers ab. Sie müssen Ihr Kartenportfolio nicht migrieren. Sie müssen keinen Token Vault betreiben. Sie müssen den BIN-Sponsor nicht wechseln.
Wenn Ihre Karten im Rahmen eines Codego-BIN-Programms herausgegeben werden, wird das Reveal SDK mit einem einzigen Admin-Schalter aktiviert. Keine zusätzliche Integration.
Vorgefertigte Konnektoren für die größten US- und EU-Prozessoren. Wir rufen deren Secure-Element-API für Sie auf und liefern das Ergebnis über unseren Viewer aus.
Kompatibel mit den Reveal-Endpoints von Stripe Issuing und Adyen Card Issuing. Ihr Kartenprogramm bleibt, wo es ist.
Wenn Ihr Issuer oder BIN-Sponsor eine PAN-Abruf-API bereitstellt, bauen wir den Konnektor — in der Regel in 2–3 Engineering-Tagen. Sprechen Sie mit uns.
Zeigen Sie dem Nutzer die virtuelle Karte an, bevor das Plastik ankommt. Tippen, um den CVV zu kopieren, das Ablaufdatum sehen, alles unter Ihrer App-Marke — ohne PCI-Fußabdruck.
Zeigen Sie einem Mitarbeiter oder Lieferanten die zugewiesene Kartennummer für Online-Buchungen an. Einmal-Viewer, protokolliert, mit IP- und Origin-Allowlists.
Push-to-Card-Auszahlungsabläufe, bei denen der Empfänger seine frisch ausgegebene virtuelle Karte sieht. Tokenisiert, zeitlich begrenzt, mit einmaliger Anzeige.
Krypto-finanzierte Karten, gerendert in der UI Ihres Wallets. Kein Vault, kein SAQ-D, kein Engineering-Team, das zum Compliance-Team wird.
Skyflow, Very Good Security und Basis Theory sind PCI-Vaults — Sie verlagern Ihre Kartendaten in deren Store. Marqeta.js, Stripe Issuing Elements und Galileo MyCardInfo sind Reveal-SDKs von Kartenherausgebern — Sie können sie nur nutzen, wenn Sie bereits deren Issuing-Kunde sind. Das SDK von Codego nimmt eine andere Position ein: Reveal per iframe über Ihrem bestehenden Issuer, ohne Vault-Migration.
Kostenlose Self-Service-Sandbox. Melden Sie sich mit Ihrer E-Mail an, erhalten Sie in 30 Sekunden einen Schlüssel, senden Sie sofort Ihre erste Anfrage. Die Sandbox gibt 4 fest hinterlegte Testkarten zurück (Visa, Mastercard, Amex, Visa abgelehnt) und verwendet genau dasselbe Payload wie die Produktion — wenn Sie bereit sind, ändern Sie eine URL und sind live.
Codego Group LTD · Malta · Est. 2012
EUIPO 018922174 · PCI DSS Stufe 1 by Adsigo, 2025
Kostenloser Schlüssel, keine Kreditkarte, Anmeldung in 30 Sekunden. Betten Sie das iframe noch heute in Ihre Entwicklungsumgebung ein.
Sandbox-Schlüssel holen Sandbox-Dokumentation lesenFür Allowlists auf Tenant-Ebene, individuelle Issuer-Konnektoren und Produktions-Anmeldedaten. Antwort innerhalb von 24 Stunden.
Programm starten banking@codegotech.comProgrammatische Ausgabe von Visa- und Mastercard-Karten — Codego-BIN-Programme.
Autorisierungs-, Clearing- und Settlement-Schicht unter dem Card SDK.
Vollständige Bankinfrastruktur — IBAN, SEPA, SWIFT, Karten in einem Stack.
Geltungsbereich, Stufen, SAQ-Typen, was SAQ-D statt SAQ-A auslöst.
Kostenlose Self-Service-Sandbox · Testkarten · Payload identisch zur Produktion.