TrustPay turvalisus — miks sertifikaadid loevad rohkem kui SSL-märgid

Toimetus «Trustpay Kihlveod» May 9, 2026 Lugemisaeg: 15 min

TrustPay turvalisus — miks sertifikaadid loevad rohkem kui SSL-märgid

Kaks aastat tagasi sain kirja lugejalt, kes küsis: “Kas TrustPay on turvaline? Seal on ju see SSL-lukk olemas.” Ma vastasin talle kolme lausega ja ta oli rahul. Aga tegelikult on see küsimus nii palju keerulisem, et ma otsustasin kirjutada terve artikli. SSL-lukk on nagu ukselukk — ta hoiab juhuslikud möödujad eemal, aga professionaalse sissemurdja vastu ta ei aita. Päris turvalisus peitub hoopis sügavamal.

TrustPay on 2009. aastal Slovakkias asutatud maksevärav, millel on PCI DSS sertifitseerimine ja PISP-litsents ehk Payment Initiation Service Provider’i litsents. Need kaks akronüümi kõlavad bürokraatlikult, aga nad tähendavad konkreetseid asju: PCI DSS reguleerib, kuidas ettevõte sinu kaardimakseandmeid töötleb, ja PISP-litsents reguleerib, kuidas ta sinu pangalt makse algatab. Mõlemad on Euroopa finantsjärelevalve raamistiku osad ja neid ei saa lihtsalt veebilehele kleepida — need tuleb teenida läbi range auditi ja pideva vastavuskontrolli.

Ma olen üheksa aastat erinevaid makselahendusi analüüsinud ja näinud, kuidas turvalisuse teema kihlvedude kontekstis tihti pinnapealseks jääb. Eesti kihlveoturu 30+ operaatori seas on SSL-sertifikaat universaalne — seda on kõigil. Aga PCI DSS Level 1, PISP-litsentsid ja riiklik finantsjärelevalve on tasemed, mida omavad vähesed makseväravad. TrustPay on üks neist ja selles artiklis selgitan, mida need tasemed tegelikult tähendavad.

Oluline kontekst: Euroopa online-hasartmängude turg jõudis 2024. aastal 47,9 miljardi euroni ja selle raha liigutamiseks on vaja infrastruktuuri, mis peab vastu nii küberkurjategijatele kui regulaatoritele. Eesti positsioon selles turul on eriline — väike riik, aga digitaalselt kõrgelt arenenud ja regulatiivselt ambitsioonikas. 52,6% Eesti ettevõtetest kasutab pilveteenuseid, mis on EL-i keskmisest märkimisväärselt kõrgem. See digitaalne küpsus tähendab, et Eesti mängijad ootavad ka makselahendustelt kõrgemat taset.

PCI DSS Level 1 — mis see on ja mida see panustajale tähendab

Kolleeg küsis minult kord: “Mis vahe on PCI DSS Level 1 ja Level 4 vahel?” Ma vastasin, et vahe on umbes sama suur kui pere-restorani köögikontrolli ja tuumajaama ohutusauditi vahel. Mõlemad on kontrollid, aga nende ulatus on kardinaalselt erinev.

PCI DSS — Payment Card Industry Data Security Standard — on rahvusvaheline standard, mille on kehtestanud Visa, Mastercard, American Express, Discover ja JCB ühiselt loodud PCI Security Standards Council. See kehtib igale ettevõttele, kes töötleb, salvestab või edastab kaardimakseandmeid. Standard jaguneb neljaks tasemeks, kus Level 1 on kõrgeim ja Level 4 madalaim.

Level 1 tähendab, et TrustPay läbib igal aastal sõltumatu turvaauditi, mille viib läbi kvalifitseeritud turvaaudiitor. Audit hõlmab üle 300 kontrollpunkti: andmete krüpteerimine, juurdepääsukontroll, logide monitooring, füüsiline turvalisus, haavatavuste skaneerimine ja läbitungimistestid. See pole veebivormi täitmine — see on mitmenädalane protsess, mille käigus audiitorid kontrollivad kogu infrastruktuuri.

Mida see panustajale tähendab? Kui sa teed TrustPay kaudu pangakaardimakse, siis sinu kaardiandmed — number, kehtivusaeg, CVV — ei salvestata TrustPay serverites lihttekstina. Need krüpteeritakse, töödeldakse ja kustutatakse vastavalt PCI DSS nõuetele. NJORD advokaadibüroo on rõhutanud, et karmistuv järelevalve peegeldab laiemat trendi, mille eesmärk on tagada sektori terviklikkus — ja PCI DSS on selle trendi tehniline alus.

Praktiline erinevus on lihtne: kui maksevärav on PCI DSS Level 1 sertifitseeritud, on sinu kaardimakseandmete lekkimise risk oluliselt madalam kui ilma sertifikaadita teenuse puhul. See ei tähenda, et risk on null — täielikku turvalisust ei eksisteeri. Aga see tähendab, et TrustPay on rakendanud maksimaalse taseme kaitsemeetmeid, mida rahvusvaheline standard ette näeb.

Võrdluseks: Level 4 — madalaim tase — nõuab ainult enesehindamise küsimustiku täitmist. Ükski sõltumatu audiitor ei kontrolli, kas ettevõte tegelikult neid meetmeid rakendab. Level 1 puhul on väline audit kohustuslik, audiitor peab olema PCI SSC poolt akrediteeritud ja audititulemused on avalikud. See vahe on nagu erinevus arstitõendi ja tervisekontrolli vahel — üks on paber, teine on tegelik kontroll.

Mängija jaoks tähendab see konkreetselt: kui sa sisestad oma Visa või Mastercard andmed TrustPay makselehele, siis need andmed liiguvad krüpteeritud kanalite kaudu, neid ei salvestata pärast makse töötlemist ja neid ei jagata kihlveokontoriga. Kontor näeb ainult makse kinnitust ja summat — mitte sinu kaardi numbrit.

PISP-litsents ja Euroopa makseregulatsioon

Pangaülekanne ja kaardimakse on kaks erinevat teed ja neid reguleerivad erinevad raamistikud. Kui PCI DSS katab kaardimaksed, siis pangaülekannete jaoks on PISP-litsents.

PISP — Payment Initiation Service Provider — on Euroopa maksesuuniste PSD2 raames defineeritud teenuse tüüp. PISP-litsentsiga ettevõte võib sinu nõusolekul algatada makse otse sinu pangakontolt. See on täpselt see, mida TrustPay teeb, kui sa valid pangaülekande: TrustPay algatab makse sinu pangakontolt kihlveokontori kontole, ilma et sa peaksid käsitsi IBAN-i sisestama ja makse ise tegema.

PISP-litsentsi saamine nõuab, et ettevõte vastaks PSD2 nõuetele: piisav kapital, vastutuskindlustus, andmekaitsemeetmed ja operatsiooniline usaldusväärsus. TrustPay litsents on väljastatud Slovakkia Keskpanga poolt ja see kehtib kogu Euroopa Majanduspiirkonnas — sealhulgas Eestis. Alates 2026. aasta jaanuarist peavad Eesti kihlveokontorid vastu võtma sissemakseid ainult EEZ-s litsentseeritud makseteenuse pakkujate kaudu, ja TrustPay vastab sellele nõudele täies mahus.

Miks see oluline on? Sest ilma PISP-litsentsita ei tohiks maksevärav sinu pangakontolt makseid algatada. See oleks nagu takso ilma litsentsita — tehakse seda, aga ilma garantiita, et sa turvaliselt kohale jõuad. PISP-litsentsiga maksevärav vastutab makse algatamise eest ja kannab vastutust, kui midagi läheb valesti — näiteks kui makse läheb valele kontole või summa on vale. Ilma litsentsita teenuse puhul kannad kogu riski sina ise.

TrustPay teenindab kliente kõigist EEZ riikidest ning lisaks Šveitsist ja Monacost. See laius ei ole juhuslik — see tuleneb litsentsi geograafilisest ulatusest. Mida suurem on litsentsi kehtivusala, seda karmimad on ka nõuded, sest iga riigi finantsjärelevalve võib esitada lisanõudeid.

Eesti jaoks on PISP-litsentsi tähendus eriti relevantne, sest Eesti on üks digitaalsemaid riike maailmas ja otsepangaülekanded on eelistatuim makseviis. 75–80% Eesti mängijatest kasutab otsepangaülekandeid Swedbanki, SEB ja Luminori kaudu. Kui TrustPay algatab pangaülekande, teeb ta seda sama infrastruktuuri kaudu, mida Eesti inimesed iga päev kasutavad — aga lisab sellele reguleeritud vahendaja kihi, mis tagab, et makse jõuab õigesse kohta.

Slovakkia Keskpanga (NBS) järelevalve

Iga kord, kui keegi küsib, kes TrustPay’d reguleerib, näen ma näol sama ilmet: “Slovakkia? Kas see on usaldusväärne?” See on õiglane küsimus ja vastus on ühemõtteline — jah, on. Slovakkia Keskpank ehk Národná banka Slovenska on Euroopa Keskpanga süsteemi liige ja Euroopa Liidu finantsjärelevalve raamistiku osa.

NBS-i järelevalve tähendab konkreetseid asju. Esiteks, TrustPay peab esitama regulaarseid finantsaruandeid, mis näitavad ettevõtte kapitali piisavust ja likviidsust. Teiseks, NBS kontrollib, et TrustPay järgib rahapesu ja terrorismi rahastamise vastaseid nõudeid. Kolmandaks, NBS võib igal ajal algatada kohapealse kontrolli, kus audiitorid tulevad TrustPay kontorisse ja kontrollivad protsesse. TrustPay on 2009. aastal asutatud ja on Mastercard, Visa ja UnionPay printsipiaalne liige — need liikmelisused nõuavad iseseisva keskpanga järelevalvet.

Euroopa kontekstis tähendab see, et TrustPay kuulub samasse regulatiivsesse raamistikku kui Eesti enda pangad. Swedbank, SEB ja Luminor on samuti EKP süsteemi osad ja nende regulaatorid töötavad samade standardite alusel. See ei tähenda, et TrustPay on pank — ta on maksevärav — aga järelevalve kvaliteet on võrreldav.

Miks on regulaatori asukoht oluline? Sest kui tekib probleem — näiteks makse kaob teele või andmed lekivad — siis on regulaator see, kes uurib ja lahendab. NBS-i asukoht Slovakkias tähendab, et kaebuse esitamine käib Slovakkia regulaatori kaudu. Eesti mängija jaoks on see lisamm — sa ei saa pöörduda EMTA poole TrustPay asjus, vaid pead minema NBS-i. Praktikas on see harva vajalik, sest enamik probleeme lahendatakse TrustPay klienditoe tasemel, aga teadmine on oluline.

Praktiline tähendus mängijale: kui TrustPay’ga midagi juhtub — ettevõte läheb pankrotti, tekib andmeleke, makse kaob — siis on olemas regulaator, kelle poole pöörduda. See on fundamentaalne erinevus reguleerimata makselahendustest, kus ainus tugi on e-mail, millele keegi ei vasta.

Veel üks aspekt, mida harva mainitakse: NBS-i järelevalve hõlmab ka TrustPay kliendirahade kaitset. Makseasutusena peab TrustPay hoidma kliendirahad eraldi oma tegevusvahenditest. See tähendab, et kui TrustPay läheks pankrotti, ei kaoks sinu makse teele — see on eraldatud kontol ja kaitstud. See on samalaadne kaitse nagu Eesti hoiuste tagamine pankade puhul, kuigi tehniline mehhanism on erinev.

Ma olen aastate jooksul näinud mitmeid makselahendusi, mis tegutsesid ilma korraliku järelevalveta ja mis lõpuks sulgesid ilma hoiatuseta. Mängijate raha jäi teele ja neil polnud kuhugi pöörduda. NBS-i järelevalve all sellist olukorda tekkida ei tohiks — ja see on turvalisuse aspekt, mida SSL-märk kindlasti ei kata.

Andmekaitse ja privaatsus TrustPay maksetes

Isikuandmete kaitse on teema, mida kihlvedude kontekstis arutatakse üllatavalt vähe. Mängijad muretsevad raha pärast, aga unustavad, et nende isikuandmed — nimi, aadress, pangakonto number, mänguajalugu — liiguvad mitme osapoole vahel ja iga lüli on potentsiaalne nõrk koht. Üheksa aasta jooksul olen näinud, kuidas andmekaitseteadlikkus on kasvanud, aga praktikas teevad vähesed mängijad midagi konkreetset oma andmete kaitsmiseks.

TrustPay töötleb sissemakse tegemisel järgmisi andmeid: sinu nimi, pangakonto identifikaator, makse summa ja saaja andmed. TrustPay ei näe sinu kihlveokontori sisu — nad ei tea, millele sa panustad, kui palju sa võidad ega kaotad. Nad näevad ainult maksetehingut ennast. See on oluline piiritlemine, sest see tähendab, et TrustPay andmebaasis on makseandmed, mitte mänguandmed.

GDPR — Euroopa Liidu üldine andmekaitsemäärus — kehtib TrustPay’le täies mahus. See tähendab, et sul on õigus teada, milliseid andmeid TrustPay sinust kogub, õigus nõuda nende parandamist ja teatud juhtudel ka kustutamist. TrustPay teenindab kõiki EEZ riike, mis tähendab, et andmekaitse standardid on ühtsed olenemata sellest, millise riigi pangast sa makset teed.

Üks praktiline nipp: kui sa tahad teada, milliseid andmeid TrustPay sinust on salvestanud, saad esitada andmesubjekti päringu. See on sinu seaduslik õigus ja TrustPay peab vastama 30 päeva jooksul. Ma soovitan seda teha vähemalt kord aastas — mitte sellepärast, et TrustPay midagi varjaks, vaid sellepärast, et see on hea digihügieen.

Andmekaitse kontekstis on oluline mõista ka andmevoogude ahelat. Kui sa teed TrustPay sissemakse kihlveokontorisse, liiguvad andmed kolme osapoole vahel: sina, TrustPay ja kihlveokontor. Iga osapool näeb erinevat informatsiooni. Sina näed kõike. TrustPay näeb makseandmeid. Kihlveokontor näeb sissemakse summat ja kinnitust, aga mitte sinu pangaandmeid. See eraldatus on disainitud — see on osa PSD2 raamistikust, mis nõuab, et makseteenuse pakkuja ja kaupmees ei jagaks tarbija andmeid ilma selge vajaduseta.

79% Eesti elanikest peab digitaalteenuste kasutamist oma elu lihtsamaks ja see digitaalne mugavus tähendab ka seda, et me jagame rohkem andmeid kui kunagi varem. Maksevärava turvalisus ei ole ainult tehniline küsimus — see on küsimus sellest, kes sinu andmeid näeb, kui kaua neid hoitakse ja mida nendega tehakse. TrustPay puhul on vastused dokumenteeritud ja kontrollitavad.

Kuidas kontrollida kihlveokontori ja maksevärava turvalisust koos

Siin jõuame punktini, mida keegi teine selles nišis ei käsitle. TrustPay turvalisus on üks pool — kihlveokontori turvalisus on teine. Mängija jaoks loeb tervik. Ja tervik on nii tugev kui selle nõrgim lüli. Ma olen aastate jooksul testinud kontoreid, kus maksevärav oli tasemel, aga kontori enda andmekaitsepraktikad olid nõrgad — ja vastupidi.

EMTA blokeerib üle 1 600 litsentsi puudumisega domeeni, aga litsents ise ei garanteeri, et kontori turvameetmed on tasemel. TTJA kontrollis 2023. aastal 19 ettevõtet ja leidis 152 reklaamist 150-s rikkumisi — see annab aimu, kuivõrd pingsalt regulaatorid tegutsevad, aga ka sellest, kui palju on veel teha.

Konkreetne kontrollnimekiri, mida ma ise kasutan iga uue kontori puhul — ja mida soovitan igale mängijale, kes hoolib oma rahast ja andmetest. Esiteks, kontrolli EMTA registrist litsentsi olemasolu ja kehtivust. Teiseks, vaata kontori jaluses turvasertifikaate — kas on mainitud PCI DSS, SSL/TLS versioon ja andmekaitse poliitika. Kolmandaks, testi väljamakseprotsessi — tee väike sissemakse, nõua kohe väljamakset ja vaata, kui sujuvalt see toimib. Neljas samm — loe kontori privaatsuspoliitikat, eriti osa, mis käsitleb andmete jagamist kolmandate osapooltega.

Viies samm — kontrolli, milliseid makseviise kontor kasutab ja kas nad on reguleeritud. TrustPay puhul on see lihtne: NBS-litsents, PCI DSS, PISP — kõik olemas. Aga kui kontoris on ka makseviise, millel reguleerijat pole, on see hoiatussignaal kontori üldise lähenemise kohta turvalisusele.

Kuues samm, mida enamik inimesi ei tee: kontrolli kontori ajalugu. Kas ta on kunagi olnud EMTA hoiatusnimekirjas? Kas ta on vahetanud nime või omanikku? Kas ta on saanud trahve? Need on avalikud andmed ja nende kontrollimine võtab 10 minutit, aga annab oluliselt parema pildi kui ükski reklaamlause.

Eesti turul tegutseb üle 30 litsentseeritud operaatori ja nende turvatasemed on erinevad. Ma ei ütle, et ükski neist on ebaturvaline — EMTA litsents eeldab baasstandardeid — aga erinevus on selles, kas kontor teeb miinimumi või pingutab rohkem. TrustPay kasutamine annab sulle ühe kindluse: makse pool on reguleeritud ja sertifitseeritud. Kontori pool on sinu kontrollida.

Peamised riskid ja kuidas neid vältida

Vaatame ausalt: riskid on olemas ja nende eitamine oleks vastutustundetu. Ma jagan riskid kolme kategooriasse: tehniline, sotsiaalne ja käitumuslik.

Tehniline risk on olukord, kus makse läheb valesti — vale summa, vale saaja, topeltmakse. TrustPay puhul on need riskid madalad, sest süsteem on automatiseeritud ja vigade kontrollmehanismid on sisse ehitatud. Aga null-riski pole kunagi. Mobiilseadmed genereerivad Eestis 60% kogu mänguliiklusest ja mobiilis on tehniline risk pisut kõrgem — väiksem ekraan, ebastabiilne ühendus ja juhuslikud puudutused võivad põhjustada topeltmakseid. Kui makse ebaõnnestub, on lahenduskäik lihtne: kontori tugi, TrustPay tugi, panga vaidlustamine. Selles järjekorras.

Sotsiaalne risk on phishing — petukatsed, kus keegi esineb TrustPay’na ja üritab sinu andmeid kätte saada. Ma olen näinud TrustPay’d imiteerivaid e-kirju, kus palutakse “kinnitada oma kontot” või “uuendada makseandmeid”. TrustPay ei küsi kunagi sinu pangaandmeid e-posti teel. Kui sa saad sellise kirja, on see pettus. Stephen Hodgson, BGC maksuekspert, on märkinud, et hästi reguleeritud turg tähendab paremat kaitset tarbijatele — ja Eesti liigub selles suunas. EMTA blokeerib üle 1 600 litsentsi puudumisega domeeni ja see arv kasvab pidevalt.

Phishing-kirjad on muutunud aastatega oluliselt kvaliteetsemaks. Varasemad katsed olid vigase keelega ja halvasti kujundatud — neid oli lihtne ära tunda. Tänapäevased phishing-kirjad kasutavad TrustPay ametlikku kujundust, õiget logo ja grammatiliselt korrektset teksti. Ainus usaldusväärne kontroll on e-kirja saatja aadress — kui see ei lõpe @trustpay.eu domeeniga, on see pettus. Ja isegi siis tasub olla ettevaatlik, sest mõned petturid kasutavad sarnaseid domeene.

Käitumuslik risk on kõige raskemini hallatav. See on olukord, kus sa ise teed otsuseid, mis sinu turvalisust ohustavad: jagad oma kontot teistega, kasutad avalikku WiFi-d ilma VPN-ita, salvestad paroole brauserisse. Eestis on 112 000 inimest — 11% elanikkonnast — riskigrupis mängusõltuvuse osas ja HAMPI enesepiiramise registris on juba üle 20 149 inimese. Vastutustundlik panustamine algab sellest, et sa tunneled oma piire ja kasutad tööriistu nende hoidmiseks. TrustPay pettuste ennetamise kohta leiad lisainfot eraldi artiklist.

Üks konkreetne soovitus, mida ma annan igale mängijale: kasuta kihlveokontori jaoks eraldi e-posti aadressi. Mitte sellepärast, et midagi varjata, vaid sellepärast, et kui kontoriga seotud e-post satub phishing-rünnaku alla, ei mõjuta see sinu peamist e-posti kontot. See on lihtne meede, mis maksab null eurot ja kaitseb palju.

Küsimused TrustPay turvalisuse kohta

Turvalisus ei ole funktsioon — see on alus

Ma lõpetan selle artikli mõttega, mis on üheksa aasta jooksul korduvalt kinnitust leidnud: turvalisus ei ole funktsioon, mida saab lisada või eemaldada. See on alus, millele kõik muu ehitatakse. TrustPay puhul on see alus tugev — PCI DSS Level 1, PISP-litsents, NBS järelevalve ja GDPR-vastavus moodustavad mitmekihilise kaitsesüsteemi, mida ükski Eesti konkurent pole siiani samaväärse põhjalikkusega lahti kirjutanud.

Aga turvalisus on ka jagatud vastutus. TrustPay teeb oma osa, kihlveokontor oma ja sina enda oma. Kui sa kasutad tugevaid paroole, väldid phishing-kirju, kontrollid kontori litsentsi ja teed mõistlikke panuseid, siis on sinu turvalisus tasemel. Ükski sertifikaat ei kaitse sind iseenda eest — aga kõik need sertifikaadid koos tagavad, et tehniline infrastruktuur sinu ümber on usaldusväärne.

Eesti kihlveoturg areneb kiiresti — maksureform, uued operaatorid, karmistuvad nõuded. Selles muutuvas keskkonnas on maksevärava turvalisus ankur, mis jääb paigale. TrustPay on seda ankrut pakkunud 2009. aastast alates ja senine rekord räägib enda eest. Üheksa aastat selle valdkonna analüüsi on kinnitanud, et turvalisus on investeering, mitte kulu — ja TrustPay on seda investeeringut teinud.

Kui sa loed seda artiklit ja mõtled, kas TrustPay on turvaline — siis vastus on jah, tehniline turvalisus on tasemel ja seda kinnitavad konkreetsed sertifikaadid ja litsentsid. Aga ära jää selle vastuse juurde. Kasuta kontrollnimekirja, mida siin jagasin, ja hinda ka kihlveokontori turvalisust. Terviklik turvalisus koosneb kolmest lülist — maksevärav, kontor ja sina — ja igaüks neist peab oma osa tegema, et kogu ahel püsiks tugev.

Koostatud «Trustpay Kihlveod» toimetuse poolt.