La tokenização de PAN es el proceso mediante el cual un número de cartão real se substitui por un identificador aleatorio, carente de valor fuera del sistema que lo ha generado. Es la tecnología que permite a comerciantes, PSP e plataformas gerir los pagos sin ter que armazenar ni transmitir dados sensíveis en sus propios sistemas. Comprender como funciona, en cada fase, es esencial para quien deve tomar decisiones arquitectónicas o de conformidade.
Del PAN al token: como funciona el proceso paso a paso
El fluxo de tokenização de PAN parte sempre de la recogida segura del dato de cartão. El cliente introduce el número de cartão en una página hosted o mediante un SDK client-side certificado PCI DSS: de este modo los dados nunca pasan por los servidores del comerciante. El vault del fornecedor de tokenização recibe el PAN en claro, lo armazena de forma segura e genera un token aleatorio que devuelve al sistema del comerciante.
A partir de ese momento, el comerciante opera exclusivamente con el token. Para processar un pago, envía el token al vault junto con el importe e las instrucciones de cargo: el vault recupera el PAN real, lo transmite al circuito de cartão e devuelve apenas la respuesta de autorização. Todo el ciclo se produce en milisegundos, de forma transparente para el utilizador final.
Tokenização vs encriptação: diferencias que importan
La distinção entre tokenização e encriptação no es terminológica: es una diferencia arquitectónica con implicaciones directas sobre la segurança e el conformidade. El encriptação transforma el PAN en un dato encriptação que mantiene una relação matemática con el original: cualquiera que disponga de la clave de descifrado pode recuperar el PAN. El riesgo se desplaza a la gestão de las claves, que sigue siendo responsabilidade del comerciante.
La tokenização genera un valor aleatorio sin ninguna relação con el PAN original. No existe un algoritmo que permita recuperar el dato original a partir del token: la única forma de "destokenizar" es acceder al vault con las credenciales correctas. Esto significa que una brecha en la base de dados del comerciante expone apenas tokens inútiles, no números de cartão reales. Desde el punto de vista del PCI DSS, las bases de dados que contienen apenas tokens no forman parte del CDE.
El ciclo de vida del token: vault, recuperação e revocação
Un token tem un ciclo de vida definido que comprende creação, uso e revocação. En el momento de la creação, el vault asocia el token al PAN e lo armazena con metadatos como el ID del comerciante, la fecha de creação e los eventuales límites de uso. Durante el ciclo de vida activo, el token pode usarse para cargos, reembolsos e contracargos sin que el comerciante vea nunca el PAN.
La revocação se produce quando el cliente solicita la supresión de sus dados, quando la cartão vence o se substitui, o quando el comerciante decide cerrar la relação. Un vault bien concebido gere também la sustitução automática de los tokens al vencimiento de la cartão, actualizando el PAN en el vault sin necesidade de que el cliente vuelva a introducir los dados. PCI Proxy EU soporta este proceso através de los programas de account updater de los principales circuitos.
Preguntas frecuentes
Se pode invertir un token para recuperar el PAN?
No, no por cualquiera. Apenas el vault que ha generado el token pode realizar la destokenização, e apenas con las credenciales API autorizadas. Desde el punto de vista técnico, el token es un valor aleatorio sin relação matemática con el PAN: no existe un algoritmo inverso. Esta es la ventaja fundamental de la tokenização frente al encriptação simétrico.
La tokenização exige cambios en mi checkout?
Depende de la arquitectura actual. Si tu checkout recoge los dados de cartão directamente, debes substituir el formulário por una página hosted o un SDK client-side proporcionado por PCI Proxy EU. El backend deve modificarse para recibir e gerir tokens en lugar de PAN. Si ya usas una página de pago hosted de un PSP, la integração con PCI Proxy EU pode realizarse a nivel de API sin cambios en el frontend.
Qué diferencia a la tokenização de red de la tokenização de pago?
La tokenização de pago (o tokenização del comerciante) genera tokens gestionados por el vault del fornecedor, usados en los fluxos internos del comerciante. La tokenização de red genera tokens emitidos directamente por los circuitos de cartão (Visa, Mastercard) asociados a un dispositivo específico. Ambas reducen el riesgo, mas operan en niveles distintos: la tokenização de pago protege los dados en el perímetro del comerciante, la tokenização de red protege la transmisión hacia el circuito.
Quieres implementar la tokenização en tu infraestrutura de pago en poco tiempo? Descubre PCI Proxy EU.
Precisa de apoio na conformidade PCI?
A nossa equipa ajuda a mapear o seu CDE, escolher o SAQ adequado e implementar tokenização com residência de dados na UE.
Contacte-nosNa prática europeia, cumprir o PCI DSS exige mapear fluxos de PAN, definir o CDE e documentar controlos para auditoria ou SAQ. A tokenização via PCI Proxy EU remove dados sensíveis do ambiente do comerciante, alinhando conformidade PCI e RGPD com residência de dados na UE, especialmente relevante para tokenização.