Validator Kartu Kredit

Validasi nomor kartu apa pun langsung di browser Anda

Validator kartu kredit ini memeriksa apakah sebuah nomor kartu terbentuk dengan benar menggunakan algoritma Luhn, brand kartu, dan panjang yang diharapkan — semuanya secara langsung saat Anda mengetik. Tempel atau ketik sebuah nomor, dan Anda langsung melihat brand yang terdeteksi beserta logonya, hasil lulus/gagal untuk checksum Luhn dan panjang nomor, serta pemeriksaan format CVV dan tanggal kedaluwarsa opsional di sampingnya.

Alat ini dibuat untuk developer yang sedang membangun form checkout dan untuk siapa pun yang ingin menangkap salah ketik sebelum mengirim pembayaran. Semuanya berjalan lokal di browser Anda tanpa server sama sekali, sehingga alat ini juga berfungsi sebagai validator nomor kartu dan kalkulator cek Luhn yang privat — bahkan dapat digunakan di jaringan korporat dengan kebijakan lalu lintas keluar yang ketat. Penting dipahami sejak awal: hasil «valid» hanya berarti nomor tersebut terbentuk dengan benar. Alat ini tidak pernah menghubungi bank, jadi tidak bisa memberi tahu apakah kartu benar-benar pernah diterbitkan, masih aktif, atau memiliki saldo. Konfirmasi semacam itu memerlukan otorisasi langsung melalui pemroses pembayaran seperti Stripe, Adyen, atau Braintree.

Cara kerja algoritma Luhn

Algoritma Luhn, disebut juga cek mod-10, adalah formula checksum yang digunakan hampir semua jaringan kartu sejak Hans Peter Luhn mematenkannya pada tahun 1954 saat bekerja di IBM. Tujuan awalnya bukan kartu kredit, melainkan skema deteksi kesalahan umum untuk deretan digit yang diketik manusia. Jaringan kartu mengadopsinya karena murah dihitung dan menangkap kesalahan penyalinan yang paling sering terjadi di dunia nyata. Mekanismenya: mulai dari digit paling kanan (digit cek itu sendiri) dan bergerak ke kiri, setiap digit kedua digandakan; jika hasilnya melebihi 9 — artinya digit aslinya 5 atau lebih — kurangi 9, yang secara matematis setara dengan menjumlahkan kedua digit hasil penggandaan. Lalu semua digit dijumlahkan. Jika total akhirnya habis dibagi 10, nomor tersebut valid menurut Luhn. Contohnya, 4242 4242 4242 4242 menghasilkan jumlah 80 — habis dibagi 10 — sehingga valid.

Contoh perhitungan lain memperjelas langkahnya. Ambil 4532015112830366. Mulai dari kanan, digit pada posisi genap (kedua dari kanan, keempat dari kanan, dan seterusnya) digandakan: 6→12→3, 3→6, 0→0, 2→4, 1→2, 5→10→1, 3→6, 5→10→1. Digit lainnya tetap: 6, 8, 1, 1, 0, 2, 4. Menjumlahkan seluruh deret menghasilkan 70, yang habis dibagi 10, sehingga nomornya valid. Panel rincian Luhn langkah demi langkah di halaman ini memvisualisasikan perhitungan tersebut untuk nomor apa pun yang Anda masukkan: menyorot digit yang digandakan, menampilkan kontribusi setiap digit terhadap total berjalan, dan mencetak jumlah akhir beserta sisa pembagiannya.

Kekuatan sebenarnya algoritma ini ada pada cakupan deteksi kesalahannya. Ia menangkap setiap kesalahan penyalinan satu digit — mengubah satu digit mana pun ke nilai lain selalu merusak checksum. Ia juga menangkap sekitar 90 persen transposisi digit bersebelahan (menukar dua digit tetangga), jenis kesalahan input manusia kedua yang paling umum. Yang tidak tertangkap: transposisi antara 0 dan 9 pada posisi tertentu, dan penipuan yang disengaja di mana pelaku membuat nomor yang valid secara sintaksis dari nol. Tidak ada algoritma checksum yang bisa melawan pemalsu yang berniat jahat — itu adalah tugas otorisasi langsung ke bank.

Mendeteksi brand kartu dari IIN/BIN

Enam hingga delapan digit pertama sebuah kartu adalah Issuer Identification Number (IIN) — dulu disebut Bank Identification Number (BIN) — dan digit inilah yang mengidentifikasi jaringan. Detektor brand kartu ini mengenali Visa (diawali 4), Mastercard (51–55 dan 2221–2720), American Express (34/37), Discover (6011, 644–649, 65), Diners Club (300–305, 36, 38, 39), JCB (3528–3589), UnionPay (62, 81), dan Maestro, serta menampilkan panjang yang diterima dan jumlah digit CVV masing-masing dalam tabel aturan brand kartu. Deteksi brand aktif saat Anda mengetik, sehingga dalam empat digit pertama Anda sudah bisa melihat apakah nomor tersebut mengarah ke Visa, Mastercard, atau Amex — pemeriksaan yang sama dengan yang dilakukan form pembayaran situs e-commerce untuk menampilkan logo kartu yang tepat di kolom input.

Struktur nomornya diatur oleh standar ISO/IEC 7812, yang membagi Primary Account Number (PAN) menjadi tiga bagian: IIN di depan (secara historis enam digit, diperluas menjadi delapan digit dalam revisi standar tahun 2017), pengenal akun individual di tengah, dan satu digit cek Luhn di akhir. Nomor Visa diawali 4 dan panjangnya 16 digit (sebagian kecil kartu lama yang diterbitkan sebelum 1995 berjumlah 13 digit). Mastercard memakai rentang 51–55 dan 2221–2720, keduanya 16 digit — rentang 2xxx diperkenalkan pada 2017 untuk memperluas kapasitas saat rentang 5xxx mendekati habis. American Express unik: hanya memakai prefiks 34 dan 37, dan kartunya 15 digit, satu-satunya jaringan global besar dengan panjang tersebut. Diners Club tradisionalnya 14 digit, meski produk co-branded yang diterbitkan lewat jaringan Mastercard berjumlah 16 digit. JCB (Japan Credit Bureau) berada di rentang prefiks 3528–3589 dengan 16 digit.

UnionPay layak mendapat perhatian khusus karena merupakan jaringan kartu terbesar di dunia berdasarkan volume transaksi, dominan di Tiongkok, dan makin diterima secara global. Nomornya diawali 62 dan panjangnya 16 hingga 19 digit tergantung produk. Sub-rentang 622126–622925 tumpang tindih dengan Discover karena kedua jaringan memiliki perjanjian penerimaan timbal balik di Amerika Serikat — saat memvalidasi, tumpang tindih ini berarti panjang dan aturan prefiks sekunder harus diperiksa untuk membedakan keduanya dengan benar. Perluasan IIN menjadi delapan digit (ISO/IEC 7812:2017) diperlukan karena pasar kartu global sudah terlalu besar untuk diidentifikasi secara unik dengan IIN enam digit.

Nomor kartu tes, generator, dan mode batch

Pustaka nomor kartu kredit tes bawaan memuat nomor sandbox yang valid menurut Luhn (gaya Stripe, Adyen, dan PayPal) untuk setiap brand, masing-masing ditandai jelas khusus-tes, lengkap dengan tombol salin dan «gunakan». Stripe menerbitkan 4242 4242 4242 4242 sebagai kasus sukses Visa standarnya; Adyen, PayPal, dan Braintree menerbitkan set mereka sendiri. Nomor-nomor ini sengaja dibuat valid secara format agar developer dapat menguji alur pembayaran tanpa memindahkan uang sungguhan. Butuh yang baru? Generator akan membangun nomor acak yang valid menurut Luhn untuk brand mana pun — prefiks brand yang benar, panjang yang sesuai, plus digit cek Luhn yang tepat — sehingga Anda bisa mengisi form pembayaran dalam hitungan detik tanpa membuka dokumentasi Stripe. Hasilnya tidak terhubung ke akun sungguhan mana pun dan tidak bisa dipakai untuk menagih uang.

Mode batch memungkinkan Anda menempelkan satu kolom nomor — dari ekspor spreadsheet atau file fixture pengujian — dan mendapatkan kembali tabel berisi brand, panjang, hasil Luhn, dan vonis valid/tidak valid untuk setiap baris. Fitur ini berguna saat QA ketika Anda punya daftar nomor dari sumber data pihak ketiga dan perlu tahu dengan cepat mana yang terbentuk dengan benar. Dibandingkan alternatif populer seperti cardguru.io dan creditcardvalidator.org: cardguru.io menambahkan pencarian BIN (bank penerbit, negara) tetapi melalui panggilan API sisi server, artinya nomor kartu Anda meninggalkan browser; creditcardvalidator.org murni sisi klien tetapi menampilkan iklan dan tidak menawarkan generator kartu tes atau pengecekan batch. Validator ini memisahkan semuanya dengan jelas — validasi, generator, dan batch — sepenuhnya offline setelah halaman dimuat.

Memvalidasi nomor kartu di kode — dan apa yang wajib di sisi server

Untuk memvalidasi nomor kartu kredit di kode, implementasikan Luhn secara langsung: balik urutan digit, gandakan setiap elemen kedua (kurangi 9 jika hasilnya melebihi 9), jumlahkan semua nilai, dan kembalikan valid ketika total mod 10 sama dengan 0 — kurang lebih enam baris di JavaScript atau Python. Tambahkan pemeriksaan prefiks brand dengan regular expression terhadap rentang BIN yang dikenal serta pemeriksaan panjang untuk brand yang terdeteksi, dan validasi format sisi klien Anda pun lengkap.

Gunakan pemeriksaan ini di sisi klien untuk umpan balik instan — ia menangkap salah ketik yang paling umum sebelum permintaan jaringan dikirim. Namun jangan pernah mempercayainya sendirian: selalu jalankan otorisasi sungguhan di sisi server melalui pemroses pembayaran tersertifikasi (Stripe, Adyen, Braintree, Square, atau sejenisnya). Lulus Luhn adalah pemeriksaan format, bukan jaminan finansial. Validasi kartu sebenarnya berlangsung dalam tiga lapisan: pertama, validasi format (Luhn, prefiks, panjang) — persis yang dilakukan alat ini; kedua, otorisasi, saat pemroses pembayaran mengirim nomor ke bank penerbit yang mengonfirmasi kartu itu nyata, aktif, dan bersaldo; ketiga, verifikasi CVV dan alamat penagihan saat transaksi. Tidak ada pendaftaran, tanpa biaya, dan tanpa server di sini — setiap pemeriksaan terjadi di browser Anda, dan nomor yang Anda masukkan tidak pernah meninggalkan perangkat.

Keamanan kartu: strip magnetik, chip EMV, dan pembayaran nirsentuh

Strip magnetik yang muncul di kartu pada era 1960-an menyimpan dua trek data dalam bentuk teks polos: Track 1 berisi nama pemegang kartu, nomor kartu, dan tanggal kedaluwarsa; Track 2 berisi nomor kartu, tanggal kedaluwarsa, dan kode layanan. Yang penting, strip juga menyimpan CVV (Card Verification Value) yang dihitung bank penerbit dengan kunci rahasia — dan nilai ini sengaja dibuat berbeda dari CVV2 yang dicetak di belakang kartu. Alasannya: pencuri yang membaca strip dengan alat skimmer seharga sekitar 20 dolar dan mengkloningnya ke kartu kosong otomatis mendapat CVV strip, tetapi tidak mendapat CVV2 cetak yang dibutuhkan untuk transaksi online (card-not-present). Mudahnya mengkloning strip magnetik inilah yang mendorong migrasi global ke kartu chip.

Standar chip EMV (dinamai dari Europay, Mastercard, dan Visa yang mengembangkannya bersama pada 1994) mengubah model keamanan secara fundamental. Alih-alih menyimpan data statis, chip menyimpan kunci privat yang tidak pernah keluar dari siliconnya. Saat terminal meminta pembayaran, chip menghasilkan sertifikat transaksi kriptografis yang unik memakai kunci privat itu plus data spesifik transaksi — jumlah, merchant, cap waktu. Karena setiap transaksi menghasilkan sertifikat berbeda yang tidak dapat dipalsukan secara matematis, mengkloning chip mustahil secara komputasi. Amerika Serikat terlambat mengadopsi EMV: pergeseran tanggung jawab (liability shift) baru berlaku Oktober 2015, setelah itu adopsi chip di AS meningkat tajam. Pembayaran nirsentuh (ISO/IEC 14443, beroperasi pada frekuensi 13,56 MHz) memakai mekanisme kriptografis EMV yang sama lewat jalur radio dengan jangkauan tap 1–4 cm. Apple Pay, Google Pay, dan Samsung Pay melangkah lebih jauh: mereka mengganti nomor kartu asli dengan Device Account Number (DAN), alias token atau nomor kartu virtual, yang disimpan di Secure Element atau Trusted Execution Environment perangkat. Bahkan jika sistem merchant dibobol dan DAN dicuri, token itu tidak bisa dipakai di tempat lain karena terikat secara kriptografis ke perangkat — nomor kartu asli tidak pernah dikirim ke merchant sama sekali selama transaksi Apple Pay atau Google Pay.

PCI DSS, tokenisasi, dan peran CVV2

Payment Card Industry Data Security Standard (PCI DSS) adalah kerangka keamanan yang dikelola PCI Security Standards Council, didirikan pada 2004 oleh Visa, Mastercard, American Express, Discover, dan JCB. Standar ini berlaku untuk bisnis apa pun yang menyimpan, memproses, atau mengirimkan data pemegang kartu. Dua belas persyaratan tingkat atasnya mencakup membangun dan memelihara jaringan yang aman (konfigurasi firewall, menghindari pengaturan bawaan vendor), melindungi data pemegang kartu yang disimpan (enkripsi PAN, larangan menyimpan seluruh strip magnetik atau CVV), mengontrol akses ke data pemegang kartu, memantau dan menguji jaringan, serta memelihara kebijakan keamanan informasi. Kepatuhan divalidasi dalam empat tingkatan merchant: Tier 1 memproses lebih dari enam juta transaksi kartu per tahun dan wajib menjalani audit tahunan di lokasi oleh Qualified Security Assessor; Tier 4 memproses kurang dari 20.000 transaksi e-commerce per tahun dan biasanya cukup melakukan penilaian mandiri lewat kuesioner sederhana.

Data paling berbahaya dalam kerangka ini adalah nomor kartu lengkap alias Primary Account Number (PAN). Menyimpan PAN tanpa enkripsi memicu persyaratan kepatuhan PCI DSS tingkat tertinggi. Sebagian besar bisnis menghindarinya sepenuhnya dengan tokenisasi: alih-alih menyimpan PAN, mereka menyimpan token yang diterbitkan pemroses pembayaran — referensi buram yang bisa dipakai untuk memulai tagihan berikutnya tetapi tidak dapat diurai menjadi PAN asli oleh siapa pun kecuali pemroses. Basis data merchant hanya menyimpan empat digit terakhir kartu, cukup untuk identifikasi layanan pelanggan dan dianggap tidak sensitif menurut PCI DSS.

CVV2 (disebut CVC2 oleh Mastercard dan CID oleh American Express) adalah kode 3 atau 4 digit yang dicetak di kartu, sengaja tidak ada dalam data strip magnetik, dan dilarang disimpan setelah otorisasi menurut PCI DSS. Pemisahan ini disengaja: pencuri yang membobol basis data nomor kartu dan tanggal kedaluwarsa tetap tidak bisa menyelesaikan transaksi online tanpa CVV2, karena alur otorisasi card-not-present mensyaratkannya. American Express mencetak CID 4 digit di depan kartu; Visa, Mastercard, dan Discover mencetak kode 3 digit di panel tanda tangan belakang. Saat validator ini memeriksa kolom CVV, ia hanya mengonfirmasi jumlah digit yang diharapkan untuk brand yang terdeteksi — nilai sebenarnya hanya bisa diverifikasi oleh bank penerbit saat transaksi langsung.