Tokenització de targetes: què desa el comerç i què no
Què és un token de targeta, la diferència entre token de xarxa i de passarel·la, què exigeix PCI DSS (SAQ A) i com Cifrago cobrarà sense tocar la targeta.
La tokenització substitueix el número de targeta (PAN) per un identificador sense valor fora del sistema que el va emetre. Així, el comerç pot tornar a cobrar sense desar la targeta. A Cifrago, el número es captura en camps allotjats per la passarel·la: cap component propi rep, processa ni emmagatzema el PAN o el CVC.
Nota: Cifrago està en fase final de desenvolupament i encara no admet comerços nous. Els cobraments recurrents arribaran pròximament.
Token vs número de targeta
| Número de targeta (PAN) | Token | |
|---|---|---|
| Serveix fora del sistema que el va crear | Sí | No |
| Si es filtra | Es pot utilitzar per pagar | No serveix per a res sense la passarel·la |
| Abast PCI DSS per al comerç | Alt | Reduït |
| Serveix per a cobraments recurrents | Sí, però amb molt de risc | Sí |
Token de xarxa vs token de passarel·la
- Token de passarel·la: l'emet el processador de pagaments i només serveix dins d'aquest.
- Token de xarxa: l'emet la marca (Visa, Mastercard) i continua funcionant encara que el banc renovi la targeta.
Visa compta els reintents per credencial: els d'un token per una banda i els del PAN per l'altra (font: PayPal).
Què exigeix la normativa
| Norma | Què diu |
|---|---|
| PCI DSS v4.0.1 | És l'estàndard vigent. El qüestionari SAQ A s'aplica als comerços que externalitzen completament la captura de la targeta |
| PSD2 + Reglament Delegat (UE) 2018/389 | Exigeix autenticació reforçada (SCA) en els pagaments electrònics que inicia el pagador |
Com ho farà Cifrago
- El client escriu la targeta en camps allotjats per la passarel·la (JET de Paycomet), no en un formulari de Cifrago.
- La passarel·la la tokenitza i retorna un identificador.
- Per a les subscripcions es registra la targeta a la passarel·la i la subscripció es crea amb aquesta credencial. El token d'un pagament solt no es reutilitza per tornar a cobrar.
- La credencial de la passarel·la es desa xifrada.
- Si el banc ho demana, s'aplica 3D Secure (SCA).
L'arquitectura està alineada amb PCI DSS SAQ A.
Preguntes freqüents
Què és un token de targeta?
És un identificador que substitueix el número de la targeta. Només té sentit dins del sistema que el va emetre, de manera que si es filtra no serveix per pagar en cap altre lloc. Permet tornar a cobrar sense que el comerç desi la targeta.
Quina diferència hi ha entre token de xarxa i token de passarel·la?
El token de passarel·la l'emet el processador de pagaments i només funciona amb ell. El token de xarxa l'emet la marca de la targeta (Visa o Mastercard) i s'actualitza sol quan el banc renova la targeta.
Cifrago desa el número de targeta?
No. El número i el CVC s'escriuen en camps allotjats per la passarel·la de pagament. Cap component de Cifrago no els rep, processa ni emmagatzema; només es desa, xifrada, la credencial que retorna la passarel·la.
Què és el SAQ A de PCI DSS?
És el qüestionari d'autoavaluació més senzill de PCI DSS. S'aplica als comerços que deleguen completament la captura i el processament de la targeta en un proveïdor certificat, sense que les dades passin pels seus propis sistemes.
Estàs muntant subscripcions?
Mira les tarifes i prova el tauler amb dades d'exemple abans d'integrar res.