PAN Número Tarjeta
¿Qué es el PAN o número único de tarjeta? Definición
El PAN (Primary Account Number) es el número único de 12 a 19 dígitos impreso en el anverso de una tarjeta de crédito, débito, virtual o prepago. Funciona como identificador principal de la cuenta del titular dentro del sistema financiero y es el dato que permite autorizar y liquidar cualquier transacción con tarjeta, tanto presencial como online.
Su estructura no es aleatoria. Cada dígito sigue la norma internacional ISO/IEC 7812 y codifica información sobre la red de pago, la entidad emisora, la cuenta individual y un dígito de control.
Cómo funciona el PAN
El número de tarjeta se compone de tres bloques con funciones diferenciadas:
- BIN/IIN (primeros 6-8 dígitos): Identifican la red de pago y la entidad emisora. El primer dígito indica el sector: 4 para Visa, 5 (rangos 51-55) o 2 (rangos 2221-2720) para Mastercard, y 34 o 37 para American Express.
- Número de cuenta individual (dígitos centrales): Identifican de forma única al titular dentro de la entidad emisora. Su longitud varía según la red y el tipo de tarjeta.
- Dígito de control (último dígito): Se calcula mediante el algoritmo de Luhn para detectar errores de transcripción antes de enviar la transacción a la pasarela de pago.
El PAN estándar en Europa tiene 16 dígitos para Visa y Mastercard, mientras que American Express utiliza 15 dígitos con formato 4-6-5. Esta diferencia obliga a validar correctamente el campo de entrada en cualquier checkout de ecommerce para evitar rechazos innecesarios.
En entornos de ecommerce, el PAN real se sustituye por un token mediante tokenización, de forma que el comercio nunca almacena el número auténtico de la tarjeta.
Impacto normativo y seguridad aplicable
El PAN es, según PCI DSS v4.0, el dato que define la existencia de un Entorno de Datos de Tarjeta (CDE). Cualquier entidad que almacene, procese o transmita el PAN debe cumplir el estándar completo, que exige:
- Cifrado en tránsito y en reposo.
- Enmascaramiento en pantalla, mostrando como máximo el BIN y los últimos cuatro dígitos.
- Truncamiento o tokenización como métodos para hacer ilegible el dato almacenado.
A nivel europeo, la PSD2 (Directiva 2015/2366) exige la Autenticación Reforzada del Cliente (SCA) en los pagos electrónicos. Aunque un tercero acceda al PAN, no podrá completar una compra online sin superar un segundo factor de autenticación (biometría, SMS OTP o clave dinámica).
| Medida de protección | Estándar / Normativa | Función principal |
|---|---|---|
| Cifrado del PAN | PCI DSS v4.0 | Ilegibilidad en reposo y tránsito |
| Enmascaramiento | PCI DSS v4.0 | Visualización parcial (BIN + últimos 4) |
| Tokenización | EMVCo Payment Tokenisation | Sustitución del PAN por un token sin valor fuera de contexto |
| SCA / 3D Secure 2 | PSD2 (Directiva 2015/2366) | Autenticación reforzada del titular |
Ventajas y desventajas operativas
Ventajas:
- Permite la autorización de pagos en menos de dos segundos al funcionar como dirección lógica dentro de la red global de tarjetas.
- Su estructura estandarizada facilita la interoperabilidad entre adquirentes, esquemas y emisores de cualquier país.
- Combinado con tokenización, habilita pagos en un clic sin exponer el dato real del cliente.
Desventajas:
- Su exposición es el vector de fraude más crítico en operaciones Card Not Present. Si un atacante obtiene PAN, fecha de caducidad y CVV, puede intentar compras no autorizadas.
- Cualquier comercio que almacene el PAN entra automáticamente en el ámbito de cumplimiento PCI DSS, con los costes de auditoría y certificación que ello conlleva.
- Un cambio de pasarela de pago puede complicar la migración de tokens vinculados al PAN original, generando rechazos temporales en cobros recurrentes.
Fuentes y lecturas relacionadas
- Partes de una tarjeta de crédito Visa, MasterCard y Amex
- Visa vs Mastercard vs American Express: Guía Completa de Seguridad y Anatomía - Artículo LinkedIn
- Tarjeta de crédito Amex, Diners y UnionPay: La comparativa definitiva para elegir tu red global - Artículo LinkedIn
- Tarjeta de crédito, tarjeta de débito y tarjeta prepago: Guía definitiva de diferencias 2025 - Artículo LinkedIn
- Entiende los Pagos Digitales: Emisor y Adquirente explicados 🧠 - YouTube