1. DeCard 托管的敏感数据安全策略
DeCard 托管模式对卡密文、PIN 等敏感操作采用的安全策略如下：
结论：DeCard 托管把敏感数据锁定在 DCS 托管的 H5 页面上，从架构上避免了”接入机构处理加密卡数据”的路径——接入机构无需持有解密密钥或生成会话令牌，即可为无 PCI 资质的终端安全展示卡号、CVV 与 PIN。
2. DeCard 托管具备的加密与签名能力
DeCard 托管提供以下加密/签名能力，各自在对应子页详述；本页汇总索引，方便您快速定位。2.1 接口请求签名：HMAC-SHA256
每次调用 DCS 接口都需要在请求头携带X-DAPI-SIGN 签名。签名由 HMAC-SHA256 算法、以 DCS 交付的 SecretKey 为密钥、对拼接串（apiKey + timestamp + nonce + payload）计算得出。
详见 鉴权指南 · 接口签名。
2.2 Webhook 推送验签：HMAC-SHA256（X-Signature）
DCS 向您推送 Webhook 时，在 HTTP 头携带X-Signature。该签名同样是 HMAC-SHA256（密钥为您的 SecretKey，待签名内容 payload 为原始消息体）。您收到后复算签名进行比对，即可验证来源真实性与消息完整性。
详见 Webhook 与 WebSocket 实时通知 · X-Signature 验签。
2.3 字段级 AES 加密：手机号
用户注册接口POST /account/v1/register 的 mobile 字段支持 AES 加密传输（也可传明文）。接口定义注释为：
SecureUtil.aes(Base64.decode(SECRET)).encryptBase64(mobile)：以 Base64 解码后的 Secret Key 构造 AES，并把密文输出为 Base64；邮箱使用同一规则。该示例没有单独传 IV 参数，请按官方实现保持一致，不要自行改成另一套 AES-GCM/CBC 报文格式。/account/v1/register 的具体请求/响应格式见 用户注册。
2.4 H5 引导页的一次性 secret 令牌
DCS 托管 H5 页（KYC、卡信息查看、实体卡激活、PIN 设置等）使用一次性 secret 令牌进行鉴权：您调用签发接口拿到引导链接（含一次性 secret），终端用户打开该链接，DCS 页面用GET /redirect/public/v1/secret-validate?secret=… 校验其有效性。secret 由 DCS 生成、有效期一次性（用完或过期即失效）。
这是一种服务端签发、一次性消费的令牌模型：令牌由 DCS 服务端生成并下发，终端用户打开后由 DCS 校验消费，接入机构无需在客户端生成或加密任何会话令牌。
详见 H5 KYC 与开卡引导页。
2.5 Apple Pay 与 Google Pay 绑卡加密
在推送绑卡（Push Provisioning）流程中，DeCard 托管涉及 Apple Pay 的encryptedPassData（加密 PAN、有效期、日期时间，Base64）、activationData（加密 nonce + nonceSignature + authCode，Base64）、ephemeralPublicKey（ECC P-256 曲线、uncompressed 格式、Base64）等加密字段。这些字段的加密由 Apple/Google 的支付令牌化（Tokenization）基础设施完成，密钥由 Apple/Google 与卡网络管理，不属于 DCS 发布给接入机构的公钥体系。
详见 Apple Pay 与 Google Pay 绑卡。
3. 能力自查清单
下一步 / 相关
- 接口鉴权与签名：鉴权指南
- Webhook 推送验签：Webhook 与 WebSocket 实时通知
- 安全展示卡信息：查看卡敏感信息
- PIN 安全设置/重置：管理卡片 PIN
- H5 托管页面与一次性 secret：H5 KYC 与开卡引导页
- Apple/Google Pay 绑卡加密字段：Apple Pay 与 Google Pay 绑卡
- 用户注册（含 AES 加密 mobile 字段）：用户注册