Google Wallet: co to jest, możliwości i zasada działania

Czym jest Google Wallet?

Google Wallet to aplikacja mobilna i platforma do przechowywania i używania cyfrowych wersji kart płatniczych, biletów komunikacji miejskiej, kart pokładowych, legitymacji studenckich, kluczyków samochodowych i kart lojalnościowych. Uruchomiony w 2011 roku jako Google Wallet, serwis przeszedł kilka rebrandingów, aż w 2022 roku Google ponownie przywrócił nazwę Wallet, łącząc w nim funkcjonalność Google Pay i oryginalnego Wallet.

Platforma jest dostępna na urządzeniach Android i Wear OS, a także przez interfejs webowy. W 2024 roku Google rozszerzyło wsparcie na iOS poprzez aplikacje Google. Filozofia Wallet polega na zastąpieniu fizycznego portfela cyfrowym odpowiednikiem — użytkownik ładuje karty i dokumenty do aplikacji i używa ich, przykładając telefon do terminala NFC.

Kluczowe funkcje dla użytkownika

Użytkownik może dodać do 20 kart płatniczych, nieograniczoną liczbę kart transportowych i biletów na wydarzenia. Dla każdej karty tworzony jest osobny token, powiązany z urządzeniem. Podczas płatności terminal otrzymuje nie prawdziwy numer karty, ale jednorazowy kod cyfrowy. Jeśli telefon zostanie zgubiony, wszystkie tokeny są zdalnie unieważniane przez usługę Find My Device.

Oprócz płatności, Wallet obsługuje cyfrowe kluczyki samochodowe dla pojazdów BMW, Hyundai, Volvo i innych marek. Użytkownik otwiera i uruchamia samochód, przykładając telefon do klamki. W 2025 roku Google ogłosiło wsparcie dla cyfrowych dowodów tożsamości w wybranych stanach USA.

Geografia i zasięg

Na początku 2026 roku Google Wallet jest dostępny w 90 krajach na świecie. Wsparcie dla płatności bezstykowych działa w 80 krajach, biletów komunikacji miejskiej — w 35, a cyfrowych dokumentów tożsamości — w 4. Największe rynki to: USA, Indie, Japonia, Wielka Brytania, Niemcy i Brazylia. W Rosji usługa jest niedostępna od 2022 roku.

Jak działa Google Wallet: tokenizacja i NFC

Technicznie Google Wallet wykorzystuje dwa kluczowe mechanizmy: tokenizację danych płatniczych oraz protokół NFC do przesyłania tokena na terminal. Tokenizacja gwarantuje, że prawdziwy numer PAN (Primary Account Number) karty bankowej nigdy nie opuszcza urządzenia. Zamiast niego system płatniczy wydaje Device Account Number — wirtualny numer powiązany z konkretnym telefonem.

Gdy użytkownik przykłada telefon do terminala, kontroler NFC (zwykle wbudowany w chipset Qualcomm lub MediaTek) tworzy zabezpieczony kanał z terminalem płatniczym. Przez ten kanał przesyłana jest kryptogram — dynamiczny kod wygenerowany na podstawie tokena, czasu i jednorazowego numeru transakcji. Sprzedawca widzi tylko kryptogram, ale nie dane karty.

Rola Trusted Execution Environment

TEE (Trusted Execution Environment) — to izolowany obszar wewnątrz procesora, działający równolegle z głównym systemem Android. Nawet jeśli sam system operacyjny jest skompromitowany, dane wewnątrz TEE pozostają chronione. Google Wallet przechowuje tokeny wyłącznie w TEE. Operacje podpisu transakcji są wykonywane wewnątrz tego izolowanego środowiska — ani aplikacja Wallet, ani procesy stron trzecich nie mają do nich bezpośredniego dostępu.

Dla dodatkowej ochrony stosowany jest Hardware Attestation — mechanizm, w którym układ telefonu udowadnia serwerom Google, że urządzenie nie jest zrootowane, bootloader nie jest odblokowany, a TEE nie jest zmodyfikowane. Jeśli weryfikacja nie przejdzie — funkcje płatnicze są blokowane.

Proces dodawania karty

Dodawanie nowej karty płatniczej do Google Wallet obejmuje kilka etapów weryfikacji. Po ręcznym wprowadzeniu numeru karty lub zeskanowaniu przez aparat aplikacja wysyła dane do bramki płatniczej Google. Bank wydający otrzymuje żądanie tokenizacji poprzez serwis tokenowy Visa Token Service (VTS) lub Mastercard Digital Enablement Service (MDES). Bank weryfikuje CVV i kod 3DS, po czym wydaje Device Account Number. Numer ten jest zapisywany w TEE telefonu. Cały proces trwa 30–60 sekund.

Główne funkcje Google Wallet

Google Wallet przerósł rolę prostej aplikacji płatniczej i przekształcił się w ekosystem cyfrowych dokumentów. Poniżej wymieniono główne kategorie elementów, które można przechowywać w portfelu.

• Karty płatnicze — karty kredytowe i debetowe Visa, Mastercard, American Express, Mir (do 2022), UnionPay, RuPay. Dodawane przez aparat lub ręczne wprowadzanie.
• Karty transportowe — bilety okresowe na metro, autobusy i pociągi w 35 krajach. W niektórych miastach (Londyn, Nowy Jork, Tokio) doładowanie odbywa się automatycznie.
• Karty pokładowe i bilety — linie lotnicze Lufthansa, KLM, Air France, United, Delta wysyłają karty pokładowe bezpośrednio do Wallet. Kina i sale koncertowe — kody kreskowe biletów.
• Programy lojalnościowe — karty sklepów, kawiarni i linii lotniczych. Aplikacja wyświetla zgromadzone punkty i dostępne kupony.

Dla każdego elementu zdefiniowany jest odpowiedni typ Object w Passes API: LoyaltyObject, OfferObject, GiftCardObject, TransitObject, EventTicketObject i FlightObject. Każdy obiekt zawiera pola dla nazwy, logo, kodu kreskowego, daty ważności i dodatkowych informacji.

Integracja z Wear OS

Na zegarkach Wear OS Google Wallet działa autonomicznie — zegarki mają własną antenę NFC i mogą przeprowadzać płatności bez połączenia z telefonem. W tym celu karty są kopiowane do TEE zegarka przez połączenie Bluetooth. Wystarczy dwukrotnie nacisnąć przycisk zasilania — otworzy się Wallet i można zbliżyć zegarek do terminala. Obsługiwane są również bilety komunikacji miejskiej i karty lojalnościowe.

Cyfrowe kluczyki samochodowe

Funkcja cyfrowych kluczyków wykorzystuje protokół UWB (Ultra-Wideband) do precyzyjnego określania odległości od samochodu. Telefon z układem UWB (np. Pixel 9 Pro lub Samsung Galaxy S25) może otworzyć drzwi bez wyjmowania z kieszeni — wystarczy się zbliżyć. Kluczykiem można podzielić się z innym użytkownikiem Wallet przez Google Messages na ograniczony czas.

Google Wallet Passes API dla programistów

Passes API — to REST API od Google, pozwalające programistom tworzyć, aktualizować i dostarczać cyfrowe przepustki (passes) do Google Wallet użytkowników. API obsługuje format JSON zapytań i uwierzytelnianie przez OAuth 2.0. Programista może tworzyć obiekty programowo i wysyłać je na konkretne urządzenie użytkownika przez link lub push-notyfikację.

{
  "id": "33880000000000001",
  "classId": "IT_SECTR_LOYALTY_CLASS",
  "state": "ACTIVE",
  "barcode": {
    "type": "QR_CODE",
    "value": "ITSECTR2026"
  },
  "loyaltyPoints": { "balance": { "int": 350 } }
}

W przykładzie tworzona jest karta lojalnościowa z kodem QR i saldem 350 punktów. Obiekt zawiera odnośnik do klasy IT_SECTR_LOYALTY_CLASS, w której zdefiniowane są parametry wizualne: kolory, logo, tekst. Klasa jest tworzona raz, obiekty — dla każdego użytkownika. Takie podejście oszczędza zapytania do API i pozwala masowo aktualizować wygląd wszystkich kart.

Główne metody API

API udostępnia metody do tworzenia klas i obiektów, ich aktualizacji, pobierania listy i usuwania. Zapytania są kierowane do podstawowego URL https://walletobjects.googleapis.com/walletobjects/v1. Uwierzytelnianie odbywa się przez konto serwisowe Google Cloud z rolą Editor. Token dostępu jest żądany przez OAuth 2.0 z zakresem https://www.googleapis.com/auth/wallet_object.issuer.

Wymagania dotyczące treści

Każdy obiekt przesłany do portfela przechodzi moderację Google — sprawdzana jest zgodność z zasadami marki, brak spamu i poprawność kodu kreskowego. Logo musi mieć minimalną rozdzielczość 300×300 px, tekst musi mieścić się w obszarze podglądu na ekranie telefonu. Średni czas weryfikacji to 1–2 dni robocze.

Bezpieczeństwo i prywatność Google Wallet

Bezpieczeństwo Google Wallet opiera się na trzech poziomach: ochrona sprzętowa (TEE, Hardware Attestation), ochrona sieciowa (TLS 1.3, tokenizacja) i kontrola użytkownika (biometria, Find My Device, zdalne czyszczenie). Każdy poziom zamyka określony wektor ataku — od fizycznego dostępu do urządzenia po przechwytywanie danych w sieciach płatniczych.

Według raportu Google Security Blog (2025), od 2022 roku nie odnotowano ani jednego przypadku kompromitacji danych płatniczych przechowywanych w TEE. Wszystkie incydenty bezpieczeństwa dotyczyły ataków phishingowych, podczas których użytkownicy sami wprowadzali dane kart na fałszywych stronach. Aby walczyć z phishingiem, Google wprowadziło kontekstowe ostrzeżenia wewnątrz aplikacji.

Zdalne zarządzanie tokenami

Jeśli telefon zostanie zgubiony lub skradziony, właściciel może wejść na stronę Find My Device i wybrać opcję „Wymaż dane“. Po tym wszystkie tokeny w TEE zostaną unieważnione — terminale płatnicze będą odrzucać transakcje z tego urządzenia. Dodatkowo Google odwołuje certyfikat Hardware Attestation konkretnego układu, tak że nawet przywrócenie ustawień fabrycznych nie przywróci funkcji płatniczych na tym urządzeniu.

Prywatność i dane użytkowników

Google nie przechowuje historii transakcji wewnątrz Wallet. Każda operacja jest przetwarzana przez bank wydający, a Google pełni jedynie rolę warstwy transportowej. Lokalizacja urządzenia nie jest przekazywana sprzedawcy — terminal otrzymuje tylko token i kryptogram. Wyjątkiem są bilety komunikacji miejskiej, gdzie stacja wejścia/wyjścia jest rejestrowana do celów taryfikacyjnych.

Google Wallet a Google Pay: różnice

Po rebrandingu w 2022 roku wielu użytkowników wciąż ma wątpliwości: jaka jest różnica między Google Wallet a Google Pay. Krótka odpowiedź: Wallet to aplikacja (UI + przechowywanie), Google Pay to warstwa technologiczna (API + tokenizacja + bramka płatnicza NFC). Google Pay jako marka pozostał w Indiach i Singapurze, gdzie działa jako system płatności P2P przez protokół UPI.

W praktyce dla użytkownika poza Indiami wszystko sprowadza się do jednego: otwórz Google Wallet, przyłóż telefon do terminala — płatność przejdzie przez technologię Google Pay, ale widzisz tylko interfejs Wallet. Dla programisty integracja płatności odbywa się przez Google Pay API (wchodzący w skład Google Wallet SDK), a zarządzanie przepustkami — przez osobne Passes API.