Ved et fysisk pokerbord blander kortgiveren kortene med hænderne mellem hver runde. Online sker det samme i software, hvor en tilfældighedsgenerator, forkortet RNG efter det engelske random number generator, lægger en ny rækkefølge for alle 52 kort, før hånden begynder. Antallet af mulige rækkefølger er et tal med 68 cifre, omkring 8 gange 10 i 67. potens. Det svarer til 52 fakultet, altså 52 ganget med alle hele tal ned til 1.

Det gælder, uanset hvilket format der spilles i poker online: hver hånd har sin egen blanding bag sig. Hvordan en sådan blanding bliver til, er beskrevet ret detaljeret i de tekniske krav, Spillemyndigheden stiller til spil med dansk tilladelse.

Sådan bliver et tilfældigt tal til et kort

En RNG leverer tal, og programmets opgave er at omsætte dem til en rækkefølge af kort. Selve omsætningen er et sted, hvor der kan snige sig skævheder ind. Presses et stort tal ned i et interval på 52 ved blot at tage resten ved division, kan nogle positioner blive en anelse hyppigere end andre. Spillemyndighedens certificeringsprogram kræver, at metoderne til kortlægning og skalering er lineære, og at de skalerede tal kan bestå de samme statistiske test som generatorens rå output.

Startværdien sætter loftet for antallet af blandinger

Softwarebaserede generatorer arbejder ud fra en startværdi, som på engelsk kaldes et seed. Den samme startværdi giver den samme talrække, så antallet af forskellige startværdier bestemmer, hvor mange blandinger der overhovedet kan forekomme. Skal alle rækkefølger af 52 kort kunne opstå, kræver det mindst 226 bit, mens en startværdi på 32 bit kun kan give godt fire milliarder forskellige blandinger.

I Spillemyndighedens certificeringsprogram skal generatoren være almindeligt anerkendt som en kryptografisk stærk kilde til tilfældige tal. Systemet skal give generatoren en startværdi og forny den løbende efter en hensigtsmæssig og effektiv metode. Outputtet skal desuden bestå enten DIEHARDER- eller NIST-testpakken eller en tilsvarende pakke, som afprøver talrækken for mønstre på en datamængde, testvirksomheden selv genererer.

Den foregående hånd efterlader ingen spor

Når en hånd er spillet færdig, bliver den brugte rækkefølge kasseret, og den næste hånd får en helt ny blanding. Hver hånd er dermed uafhængig af den forrige, og et kort, der netop er blevet vist, har samme sandsynlighed for at dukke op igen som alle andre. Ifølge certificeringsprogrammet må hverken spillets eller spillerens historik påvirke sandsynlighederne, medmindre spilleren er blevet oplyst om det, og tallene fra generatoren skal bruges i den rækkefølge, de kommer.

Reglerne for kortspil skal oplyse, hvor ofte kortene blandes, og når et spil simulerer fysiske kort, skal resultaterne svare til det, man ville forvente af en rigtig bunke. Uafhængigheden mellem hænderne går imod en af de tankefælder, som Forskningsklinikken for Ludomani og Danske Spil beskriver i materialet Spil med omtanke: forestillingen om, at spil afviklet efter hinanden hænger sammen. Ved live casino stilles et tilsvarende krav til de fysiske kortblandere, som skal kunne fjerne ethvert mønster fra de forrige kort, før næste spil begynder.

Blandingen sker på serveren

Spillogikken kører i udbyderens spilsystem og ikke på spillerens computer eller telefon. Skærmen viser blot kortene, når de bliver givet, og systemet må ikke bruge oplysninger om kunden eller kundens udstyr til at danne spilhændelser. Tallene fra generatoren skal beskyttes, indtil de bliver brugt, og de må ikke sendes ukrypteret mellem generatorens server og spilserveren.

Der skal også være sporbarhed mellem hvert udtræk fra generatoren og det, der skete ved bordet, så udbyderen bagefter kan kontrollere, at de to stemmer overens. Svigter generatoren, skal den slås fra, men systemet må skifte til en reserve, hvis den opfylder de samme krav. Tilfældigheden bruges i øvrigt også uden for selve kortene, fx når spillerne i en turnering får tildelt deres pladser.

Testene udføres af akkrediterede laboratorier

Prøvningen af generatoren foretages af laboratorier, der er akkrediteret efter ISO/IEC 17025 eller 17065 af DANAK eller et tilsvarende akkrediteringsorgan. Den person, der superviserer testen af en RNG, skal have en relevant kandidat- eller ph.d.-uddannelse og mindst fem års erfaring med at inspicere spilsystemer.

Siden 2025 har spilleverandørerne selv haft ansvaret for at få deres spil og generatorer certificeret og indsende dokumentationen, mens tilladelsesindehavere står for de dele af systemet, de selv er ansvarlige for. Efter en opdatering af Spillemyndighedens certificeringsprogram skal RNG og spil ikke længere automatisk recertificeres hvert 12. måned. Fornyet certificering kræves, når ændringer påvirker de komponenter, der er omfattet af kravene, mens andre dele af certificeringsprogrammet fortsat følger faste intervaller.

Uafhængige blandinger betyder, at tidligere hænder ikke kan bruges til at forudsige den næste, og ingen strategi ændrer den tilfældighed, som generatoren tilfører kortene. Pengespil indebærer økonomisk risiko og bør ikke behandles som en indtægtskilde.