Google Wallet: какво е, възможности и принцип на работа

Какво е Google Wallet?

Google Wallet е мобилно приложение и платформа за съхранение и използване на цифрови версии на платежни карти, транспортни билети, бордни карти, студентски карти, ключове за автомобил и карти за лоялност. Стартиран през 2011 г. като Google Wallet, услугата премина през няколко ребрандирания, докато през 2022 г. Google не върна името Wallet, обединявайки в него функционалността на Google Pay и оригиналния Wallet.

Платформата е достъпна на устройства с Android и Wear OS, както и чрез уеб интерфейс. През 2024 г. Google разшири поддръжката за iOS чрез приложенията на Google. Философията на Wallet е замяна на физическия портфейл с цифров аналог — потребителят зарежда карти и документи в приложението и ги използва, доближавайки телефона до NFC терминал.

Основни възможности за потребителя

Потребителят може да добави до 20 платежни карти, неограничен брой транспортни карти и билети за събития. За всяка карта се създава отделен токен, обвързан с устройството. При плащане терминалът получава не реалния номер на картата, а еднократно цифрово кодие. Ако телефонът бъде изгубен, всички токени се отдалечено анулират чрез услугата Find My Device.

Освен плащания, Wallet поддържа цифрови автомобилни ключове за BMW, Hyundai, Volvo и други марки. Потребителят отваря и стартира колата чрез доближаване на телефона до дръжката на вратата. През 2025 г. Google обяви поддръжка на цифрови лични карти в отделни щати на САЩ.

География и разпространение

В началото на 2026 г. Google Wallet е достъпен в 90 държави. Поддръжката на безконтактни плащания работи в 80 държави, транспортни билети — в 35, цифрови лични документи — в 4. Най-големите пазари: САЩ, Индия, Япония, Великобритания, Германия и Бразилия. В Русия услугата е недостъпна от 2022 г.

Как работи Google Wallet: токенизация и NFC

Технически Google Wallet използва два ключови механизма: токенизация на платежни данни и протокол NFC за предаване на токена на терминала. Токенизацията гарантира, че реалният номер PAN (Primary Account Number) на банковата карта никога не напуска устройството. Вместо него платежната система издава Device Account Number — виртуален номер, обвързан с конкретен телефон.

Когато потребителят доближи телефона до терминала, NFC контролерът (обикновено вграден в чипсета Qualcomm или MediaTek) създава защитен канал с платежния терминал. През този канал се предава криптограма — динамичен код, генериран на базата на токена, времето и еднократен номер на транзакция. Продавачът вижда само криптограмата, но не и данните на картата.

Роля на Trusted Execution Environment

TEE (Trusted Execution Environment) — изолирана област вътре в процесора, която работи паралелно с основната операционна система Android. Дори ако самата операционна система е компрометирана, данните в TEE остават защитени. Google Wallet съхранява токените изключително в TEE. Операциите по подписване на транзакции се изпълняват вътре в тази изолирана среда — нито приложението Wallet, нито процеси на трети страни имат пряк достъп до тях.

За допълнителна защита се използва Hardware Attestation — механизъм, при който чипът на телефона доказва на Google сървърите, че устройството не е руутнато, bootloader-ът не е отключен и TEE не е модифицирана. Ако проверката не премине — функциите за плащане се блокират.

Процес на добавяне на карта

Добавянето на нова платежна карта в Google Wallet включва няколко етапа на верификация. След ръчно въвеждане на номера на картата или сканиране чрез камера, приложението изпраща данните до платежния шлюз на Google. Банката-издател получава заявка за токенизация чрез токен услугата Visa Token Service (VTS) или Mastercard Digital Enablement Service (MDES). Банката проверява CVV и 3DS кода, след което издава Device Account Number. Този номер се записва в TEE на телефона. Целият процес отнема 30–60 секунди.

Основни възможности на Google Wallet

Google Wallet е надскочил ролята на просто платежно приложение и се е превърнал в екосистема от цифрови документи. По-долу са изброени основните категории елементи, които могат да се съхраняват в портфейла.

• Платежни карти — кредитни и дебитни карти Visa, Mastercard, American Express, Mir (до 2022), UnionPay, RuPay. Добавят се чрез камера или ръчно въвеждане.
• Транспортни карти — билети за метро, автобуси и влакове в 35 държави. В някои градове (Лондон, Ню Йорк, Токио) зареждането става автоматично.
• Бордни карти и билети — авиокомпаниите Lufthansa, KLM, Air France, United, Delta изпращат бордни карти директно в Wallet. Киносалони и концертни места — баркодове на билети.
• Програми за лоялност — карти на магазини, кафенета и авиокомпании. Приложението показва натрупаните точки и наличните купони.

За всеки елемент е дефиниран съответстващ тип Object в Passes API: LoyaltyObject, OfferObject, GiftCardObject, TransitObject, EventTicketObject и FlightObject. Всеки обект съдържа полета за име, лого, баркод, дата на изтичане и допълнителна информация.

Интеграция с Wear OS

На часовниците Wear OS Google Wallet работи автономно — часовниците имат собствена NFC антена и могат да извършват плащания без връзка с телефона. За целта картите се копират в TEE на часовника чрез Bluetooth връзка. Достатъчно е да натиснете бутона за захранване два пъти — Wallet се отваря и можете да доближите часовника до терминала. Поддържат се също транспортни билети и карти за лоялност.

Цифрови автомобилни ключове

Функцията за цифрови ключове използва протокол UWB (Ultra-Wideband) за точно определяне на разстоянието до автомобила. Телефонът с UWB чип (напр. Pixel 9 Pro или Samsung Galaxy S25) може да отвори вратата, без да се изважда от джоба — достатъчно е да се приближите. Ключът може да се сподели с друг потребител на Wallet чрез Google Messages за ограничен период.

Google Wallet Passes API за разработчици

Passes API — REST API от Google, който позволява на разработчиците да създават, актуализират и доставят цифрови пропуски (passes) в Google Wallet на потребителите. API поддържа JSON формат на заявките и удостоверяване чрез OAuth 2.0. Разработчикът може да създава обекти програмно и да ги изпраща на конкретно устройство на потребителя чрез връзка или push известие.

{
  "id": "33880000000000001",
  "classId": "IT_SECTR_LOYALTY_CLASS",
  "state": "ACTIVE",
  "barcode": {
    "type": "QR_CODE",
    "value": "ITSECTR2026"
  },
  "loyaltyPoints": { "balance": { "int": 350 } }
}

В примера се създава карта за лоялност с QR код и баланс от 350 точки. Обектът съдържа препратка към класа IT_SECTR_LOYALTY_CLASS, където са дефинирани визуалните параметри: цветове, лого, текст. Класът се създава веднъж, обектите — за всеки потребител. Този подход спестява заявки към API и позволява масово актуализиране на дизайна на всички карти.

Основни методи на API

API предоставя методи за създаване на класове и обекти, тяхното актуализиране, получаване на списък и изтриване. Заявките се изпращат към основния URL https://walletobjects.googleapis.com/walletobjects/v1. Удостоверяването се осъществява чрез служебен акаунт в Google Cloud с роля Editor. Токен за достъп се изисква чрез OAuth 2.0 с обхват https://www.googleapis.com/auth/wallet_object.issuer.

Изисквания за съдържание

Всеки обект, изпратен до портфейла, преминава през модериране от Google — проверява се съответствието с правилата на марката, липсата на спам и коректността на баркода. Логото трябва да има минимална резолюция 300×300 px, текстът трябва да се побира в зоната за преглед на екрана на телефона. Средното време за проверка е 1–2 работни дни.

Сигурност и поверителност на Google Wallet

Сигурността на Google Wallet се основава на три нива: хардуерна защита (TEE, Hardware Attestation), мрежова защита (TLS 1.3, токенизация) и потребителски контрол (биометрия, Find My Device, отдалечено изтриване). Всяко ниво затваря определен вектор на атака — от физически достъп до устройството до прихващане на данни в платежните мрежи.

Според доклада на Google Security Blog (2025), от 2022 г. не е регистриран нито един случай на компрометиране на платежни данни, съхранявани в TEE. Всички инциденти със сигурността са свързани с фишинг атаки, при които потребителите сами са въвеждали данни на карти на фалшиви сайтове. За борба с фишинга Google въведе контекстни предупреждения в приложението.

Отдалечено управление на токени

Ако телефонът е изгубен или откраднат, собственикът може да влезе в сайта Find My Device и да избере опцията „Изтрий данните“. След това всички токени в TEE се анулират — платежните терминали ще отказват транзакции от това устройство. Допълнително Google оттегля сертификата Hardware Attestation на конкретния чип, така че дори връщането към фабрични настройки няма да възстанови функциите за плащане на това устройство.

Поверителност и потребителски данни

Google не съхранява история на транзакциите вътре в Wallet. Всяка операция се обработва от банката-издател, а Google действа само като транспортен слой. Местоположението на устройството не се предава на продавача — терминалът получава само токена и криптограмата. Изключение правят транспортните билети, където станцията на влизане/излизане се записва за целите на тарифирането.

Google Wallet и Google Pay: разлики

След ребрандирането през 2022 г. много потребители все още са объркани: каква е разликата между Google Wallet и Google Pay. Краткият отговор: Wallet е приложението (UI + съхранение), Google Pay е технологичният слой (API + токенизация + NFC платежен шлюз). Google Pay като марка остана в Индия и Сингапур, където работи като P2P платежна система чрез протокола UPI.

На практика за потребителя извън Индия всичко се свежда до едно: отворете Google Wallet, доближете телефона до терминала — плащането ще премине чрез технологията Google Pay, но виждате само интерфейса на Wallet. За разработчика интеграцията на плащания се осъществява чрез Google Pay API (част от Google Wallet SDK), а управлението на пропуски — чрез отделния Passes API.