Glowfall

должно обновляться?

setTimeout(location.reload.bind(location), 1000)

ru.wikipedia.org/wiki/%D0%9E%D0%B4%D0%BD%D0%BE%D1%80%D0%B0%D0%B7%D0%BE%D0%B2%D1%8B%D0%B9_%D0%BF%D0%B0%D1%80%D0%BE%D0%BB%D1%8C
habrahabr.ru/post/154229/

Принципа два —
f(T,IV) — Код на основе времени и кода инициализации, сложность в наличии часов
f(n,IV) — Код на основе номера попытки и кода инициализации, сложность в возможности серверу не узнать о произведенной попытке.

И кто вам сказал, что никаких часов там нет? Часы внутри микрухи могут годами ходить от заряда в конденсаторе

Вы работаете в сертифицированной по PCI конторе?
Если нет, то вы не имеете права запрашивать CVV\CVC и номер карты. Хранить карту можно в формате «Первые шесть+последние четыре», это разрешено для передачи в открытом виде.

Раз уж так пошло, зачем вам вообще знать длину номера карты? Замените просто на «HIDDEN»