Apple Pay i Google Pay sense artificis: què és un token de xarxa i per què redueix el frau

Quan un usuari prem el botó d'Apple Pay o Google Pay en una botiga en línia, no transmet pas els setze dígits de la targeta bancària ni la data de caducitat. Tampoc no es tracta d'una drecera visual que omple els camps del formulari. El que s'activa entre el navegador o l'aplicació mòbil, els servidors del fabricant i les xarxes de targetes és una infraestructura criptogràfica pensada per aïllar l'identificador financer original.

Entendre el funcionament precís d'aquestes carteres digitals permet avaluar tècnicament el seu impacte sobre la ràtio d'autorització, els costos d'adquirència i la protecció davant de reclamacions per operacions no reconegudes.

De l'FPAN al DPAN: la fase d'aprovisionament

Per copsar què viatja en cada operació, cal distingir dos conceptes fonamentals:

• FPAN (Funding Primary Account Number): És el número gravat a la targeta física o creat a la banca mòbil de l'usuari. És la dada que el titular facilita una sola vegada quan configura el dispositiu.
• DPAN (Device Primary Account Number) o Token de xarxa: És un identificador alternatiu generat directament per la xarxa de targetes (Visa, Mastercard o American Express) a petició d'Apple o de Google. Aquest token substitueix l'FPAN i queda lligat exclusivament a aquell maquinari concret o al compte de l'usuari.

En afegir la targeta, l'entitat emissora en valida la titularitat —habitualment amb un SMS o una confirmació a la seva pròpia aplicació— i autoritza la marca de targeta a emetre el token de xarxa. A partir d'aquest moment, l'FPAN original queda custodiat als servidors segurs de la marca de pagament i no torna a intervenir en les compres quotidianes.

A diferència dels identificadors propis creats per les plataformes de cobrament, que analitzem en detall en tractar la tokenització de targetes, els tokens de xarxa són vàlids a escala universal en tot l'ecosistema i no depenen d'una passarel·la de pagament concreta.

Criptogrames dinàmics: per què un token interceptat no té valor

Un identificador estàtic no resoldria el problema de la seguretat en entorns digitals; si un atacant interceptés el DPAN, podria intentar utilitzar-lo de manera fraudulenta. La veritable protecció recau en el criptograma d'un sol ús.

A cada transacció duta a terme amb Apple Pay o Google Pay, el xip segur del telèfon (el Secure Element a Apple o les solucions segures equivalents a Android) genera un criptograma dinàmic. Aquest valor es calcula unint la clau privada emmagatzemada al dispositiu, l'import del pagament, la divisa i un comptador intern que no es pot repetir.

Quan la passarel·la de pagament rep aquesta informació xifrada, la transmet a l'adquirent i aquest a la xarxa de targetes. L'esquema de pagament comprova que el criptograma correspon exactament a aquell DPAN, per a aquell import i en aquell instant concret. Si algú capturés el trànsit i provés de reutilitzar les dades en un altre comerç, l'operació seria denegada a l'instant perquè el criptograma ja hauria caducat.

Autenticació biomètrica i trasllat de responsabilitat

A la Unió Europea, la regulació vigent exigeix verificar la identitat del comprador per combatre el frau telemàtic. Apple Pay i Google Pay incorporen aquesta comprovació de manera nativa mitjançant dades biomètriques locals (empremta dactilar o reconeixement facial) o el codi de desbloqueig del terminal.

Pel que fa a la normativa, aquesta verificació local de doble factor satisfà directament els requisits d'autenticació reforçada (SCA). Com que hi ha un criptograma validat per la xarxa i una autenticació biomètrica vinculada al token, s'aplica el trasllat de responsabilitat (*liability shift*): si es produeix un pagament fraudulent, el comerç queda protegit davant d'un eventual contracàrrec per frau, i és l'emissor qui assumeix el cost del litigi.

Avantatges operatius respecte al pagament amb targeta estàndard

Més enllà d'evitar la suplantació d'identitat, els tokens de xarxa ofereixen dos beneficis tècnics decisius per al negoci:

• Cicle de vida independent del suport físic: Si la targeta de plàstic es perd, caduca o és substituïda pel banc, la xarxa actualitza de manera transparent el vincle entre el nou FPAN i el DPAN emmagatzemat al dispositiu. L'usuari no ha de reintroduir les dades i s'eviten rebutjos sobtats per targetes vençudes.
• Menys fricció durant el checkout: Com que no cal redirigir el client a una passarel·la web externa del seu banc per resoldre el desafiament 3D Secure clàssic, la pèrdua de compradors durant el pagament es redueix notablement, mantenint intacte el blindatge legal.

Conclusió pràctica

Oferir Apple Pay i Google Pay en una web o en una aplicació mòbil no respon només a una millora visual del procés de compra, sinó a una transformació tècnica de les transaccions. Substituir els números de targeta manuals per identificadors de xarxa protegits amb criptogrames d'un sol ús redueix el frau de manera dràstica, trasllada el risc de disputa a l'entitat emissora i suprimeix les incidències per renovació de targetes.