Tokenización de tarjeta
¿Qué es la tokenización de tarjetas?
La tokenización es el proceso de reemplazar el número real de la tarjeta de pago (PAN) con un identificador único, aleatorio e irreversible llamado token. Este token viaja a través de la red de pagos en lugar de los datos sensibles, lo que garantiza que el comercio nunca almacene ni transmita el número original. Si un atacante intercepta el token, obtiene un valor que resulta inútil fuera de su contexto de emisión.
In el ecosistema de pagos europeo, la tokenización no es solo una mejora técnica: es una palanca directa para la seguridad, el cumplimiento normativo y la conversión en el comercio electrónico.
Cómo funciona la tokenización
El flujo de una transacción tokenizada se desarrolla en cuatro fases:
- Aprovisionamiento: el titular de la tarjeta registra su tarjeta en una billetera digital o en la cuenta de un comercio. El sistema solicita un token al Proveedor de Servicios de Token (TSP, por sus siglas en inglés), que puede ser la propia red de tarjetas o un procesador certificado.
- Generación del token: el TSP almacena el PAN en una bóveda cifrada segura y devuelve un token vinculado a un dominio de uso específico (ese comercio, esa billetera o ese dispositivo). El token no se puede revertir para obtener el PAN original.
- Autorización: el comercio envía el token a la red, la cual lo reemplaza internamente con el PAN real y lo reenvía al emisor. Para los tokens de red (Visa Token Service o Mastercard MDES), cada transacción incluye un criptograma dinámico que valida la autenticidad de la operación.
- Respuesta: el emisor aprueba o rechaza la transacción. La red vuelve a tokenizar el PAN antes de devolver la respuesta al comercio, el cual nunca llega a ver los datos reales.
La diferencia clave entre los tokens de red y la tokenización tradicional en bóveda (vault) radica en las señales que recibe el emisor. Los tokens de red proporcionan criptogramas y controles de dominio que aumentan la confianza y mejoran las tasas de autorización.
Impacto regulatorio y requisitos de seguridad para la tokenización
La tokenización opera dentro de un marco regulatorio europeo específico.
La norma PCI DSS v4.0 establece en su Requisito 3.5.1 que el PAN almacenado debe volverse ilegible mediante cifrado seguro, truncamiento, hashing o tokenización. Al implementar tokens, los comercios reducen el alcance de su Entorno de Datos de Titulares de Tarjeta (CDE), simplifican las auditorías y disminuyen los costes de certificación.
Según PCI DSS v4.0, la tokenización reduce el alcance del CDE pero no elimina las obligaciones de cumplimiento. Los comercios siguen siendo responsables de los controles de acceso, la gestión de proveedores y la documentación del alcance de PCI al menos cada 12 meses.
La Directiva PSD2, transpuesta en España a través del Real Decreto-ley 19/2018, exige la Autenticación Reforzada de Clientes (SCA) para los pagos electrónicos. La tokenización complementa a la SCA: los emisores que reciben transacciones tokenizadas con criptogramas pueden aplicar exenciones de bajo riesgo con mayor confianza, reduciendo la fricción en el proceso de pago sin comprometer la seguridad.
En 2021, EMVCo publicó la extensión de mensaje de token de pago EMV 3DS Payment Token Message Extension, permitiendo incluir los datos del token en las solicitudes de autenticación 3-D Secure. Los emisores toman decisiones de riesgo más precisas, reducen las comprobaciones de autenticación innecesarias y mejoran la experiencia del comprador.
Ventajas y desventajas operativas de los tokens
| Aspecto | Token de Red (VTS/MDES) | Tokenización Tradicional (Bóveda / Vault) |
|---|---|---|
| Seguridad | Criptograma dinámico por transacción, validado por la red | Protege el PAN almacenado, sin señales criptográficas adicionales |
| Tasas de aprobación | Mejora medible debido a las señales de confianza para el emisor | Sin impacto diferencial en la autorización |
| Ciclo de vida | Actualizaciones automáticas si la tarjeta caduca o se vuelve a emitir | Requiere volver a capturar el PAN o realizar un remapeo manual |
| Alcance PCI DSS | Reduce la exposición del PAN y delimita el CDE | También reduce la exposición, pero depende del perímetro de la bóveda |
| Portabilidad | Los tokens permanecen activos independientemente del procesador | Los tokens pertenecen al proveedor, lo que dificulta la migración |
Para los negocios de comercio electrónico con pagos recurrentes o tarjetas guardadas, los tokens de red ofrecen una clara ventaja operativa: las actualizaciones silenciosas tras la reemisión de tarjetas evitan rechazos en suscripciones y cobros recurrentes, un problema que afecta directamente a los ingresos.
¿Te fue útil este término?
Dejar un comentario