50k–200k $ / an
Conformité PCI DSS Niveau 1 enterprise : audit QSA, scans ASV, pen-tests, surveillance, équipe de sécurité dédiée. Récurrent chaque année.
Le Card Data Reveal SDK permet à votre application d'afficher au porteur le PAN, le CVV et la date d'expiration complets — sans que vos serveurs, votre application ou vos développeurs ne touchent jamais aux données de la carte. Une iframe cross-origin servie par l'infrastructure certifiée PCI‑DSS de Codego rend la carte dans le navigateur de l'utilisateur final. La Same-Origin Policy du navigateur garantit que votre code ne peut pas la lire. Passez de SAQ-D (plus de 300 contrôles) à SAQ-A (22 contrôles) — sans changer d'émetteur.
Si votre application ne serait-ce qu'une fois stocke, traite ou transmet un PAN complet — même pour l'afficher une seule fois à l'écran — vous êtes à l'intérieur du cardholder data environment PCI DSS. Cela signifie SAQ-D, une mission QSA de Niveau 1, des scans ASV trimestriels, des tests d'intrusion annuels, une surveillance continue et environ de 50 000 à 200 000 dollars par an de surcoût de conformité — avant même d'écrire la moindre ligne de code produit.
Conformité PCI DSS Niveau 1 enterprise : audit QSA, scans ASV, pen-tests, surveillance, équipe de sécurité dédiée. Récurrent chaque année.
Les nouveaux programmes de cartes restent souvent en file d'attente pendant six mois pendant que la conformité, l'infrastructure et les processus rattrapent une posture PCI Niveau 1.
Le questionnaire SAQ-D complet entraîne des systèmes adjacents — logs, sauvegardes, postes de développement. Les auditeurs continuent d'en trouver d'autres dans le périmètre.
La plupart des reveal SDK proviennent d'un seul émetteur (Marqeta.js, Stripe Issuing Elements, Galileo MyCardInfo) — vous n'adoptez le SDK qu'en adoptant l'émetteur.
La garantie technique n'est pas une politique — c'est le navigateur. Lorsque votre page intègre une iframe cross-origin depuis cardview.codegotech.com, le navigateur refuse de laisser votre JavaScript en lire le contenu. C'est la même frontière qui empêche des sites web arbitraires de lire votre boîte de réception Gmail. Le PAN est rendu en pixels à l'intérieur d'un DOM isolé, visible pour votre utilisateur mais inaccessible à votre code.
Votre backend appelle la Card Reveal API avec l'identifiant du porteur, vos identifiants tenant et l'ID de la carte. Aucune donnée de carte n'est envoyée.
Codego renvoie un token à usage unique de 64 caractères hexadécimaux lié exactement à cette carte et à cet utilisateur, valable 5 minutes. Le token est stocké sous forme de hachage SHA-256 ; la valeur en clair n'est jamais conservée.
Votre frontend insère <iframe src="cardview.../v/<token>"> dans la page. Le navigateur récupère l'iframe directement auprès de Codego.
L'iframe reçoit le payload chiffré, le déchiffre dans le contexte du navigateur et rend le PAN, le CVV, le porteur et l'expiration sous forme de pixels.
Le viewer efface son propre DOM après 60 secondes, bloque les raccourcis d'impression et de capture d'écran et révoque le token à la première visualisation. Une relecture renvoie 403.
curl -X POST https://cardapi.codegotech.com/getCardInfo \
-H "Content-Type: application/json" \
-d '{
"authkey": "<tenant_api_key>",
"authekey": "<base64(user:pass)>",
"whitelabel_id": "<your_tenant_id>",
"user_id": "<end_user_id>",
"web_token": "<session_token>",
"cid": "<card_id>"
}'
# response
{
"status": true,
"token": "f5b3...c801",
"image_url": "https://cardview.codegotech.com/v/f5b3...c801"
}
Ouvrir la documentation du sandbox → Clé gratuite, sans carte de crédit. Le même payload qu'en production.
La plupart des reveal SDK sont liés à un émetteur précis — vous adoptez le SDK en adoptant l'émetteur. Le Card Data Reveal SDK de Codego est différent. Nous récupérons le PAN depuis la source autoritative de votre émetteur existant à chaque requête. Vous n'avez pas besoin de migrer votre portefeuille de cartes. Vous n'avez pas besoin d'exploiter un token vault. Vous n'avez pas besoin de changer de BIN sponsor.
Si vos cartes sont émises dans le cadre d'un programme BIN Codego, le reveal SDK s'active avec un seul réglage d'administration. Aucune intégration supplémentaire.
Connecteurs prêts à l'emploi pour les plus grands processeurs américains et européens. Nous appelons leur API du secure element pour votre compte et servons le résultat via notre viewer.
Compatible avec les endpoints de reveal de Stripe Issuing et Adyen Card Issuing. Votre programme de cartes reste là où il est.
Si votre émetteur ou BIN sponsor expose une API de récupération du PAN, nous construisons le connecteur — généralement en 2–3 jours d'ingénierie. Parlons-en.
Affichez la carte virtuelle à l'utilisateur avant l'arrivée du plastique. Touchez pour copier le CVV, voyez l'expiration, le tout sous la marque de votre app — sans empreinte PCI.
Affichez à un salarié ou à un fournisseur le numéro de sa carte attribuée pour les réservations en ligne. Viewer à usage unique, journalisé, avec allowlists d'IP et d'origine.
Flux de versement push-to-card où le bénéficiaire voit sa carte virtuelle fraîchement émise. Tokenisée, limitée dans le temps, à visualisation unique.
Cartes financées en crypto rendues dans l'UI de votre wallet. Pas de vault, pas de SAQ-D, pas d'équipe d'ingénierie transformée en équipe de conformité.
Skyflow, Very Good Security et Basis Theory sont des coffres-forts (vaults) PCI — vous déplacez les données de vos cartes dans leur store. Marqeta.js, Stripe Issuing Elements et Galileo MyCardInfo sont des reveal SDK fournis par les émetteurs de cartes — vous ne pouvez les utiliser que si vous êtes déjà leur client d'issuing. Le SDK de Codego occupe une position différente : reveal via iframe au-dessus de votre émetteur existant, sans migration de vault.
Sandbox self-service gratuit. Inscrivez-vous avec votre email, obtenez une clé en 30 secondes, lancez votre première requête immédiatement. Le sandbox renvoie 4 cartes de test prédéfinies (Visa, Mastercard, Amex, Visa refusée) et utilise exactement le même payload que la production — quand vous êtes prêt, vous changez une URL et vous êtes en production.
Codego Group LTD · Malta · Est. 2012
EUIPO 018922174 · PCI DSS Niveau 1 by Adsigo, 2025
Clé gratuite, sans carte de crédit, inscription en 30 secondes. Intégrez l'iframe dans votre environnement de développement dès aujourd'hui.
Obtenir une clé sandbox Lire la documentation sandboxPour les allowlists au niveau du tenant, les connecteurs émetteur sur mesure et les identifiants de production. Réponse sous 24 heures.
Ouvrir un programme banking@codegotech.comÉmission programmatique de cartes Visa et Mastercard — programmes BIN Codego.
Couche d'autorisation, de clearing et de settlement sous le card SDK.
Infrastructure bancaire complète — IBAN, SEPA, SWIFT, cartes dans un seul stack.
Périmètre, niveaux, types de SAQ, ce qui déclenche SAQ-D plutôt que SAQ-A.
Sandbox self-service gratuit · cartes de test · payload identique à la production.