Tokenització de targetes: què és un token, qui el desa i per què la teva base de dades mai no ha de veure un PAN

En el comerç digital hi ha una regla tècnica essencial: la millor dada de pagament protegida és aquella que mai no ha trepitjat els teus servidors. Durant els primers anys de la venda en línia, no era estrany que els comerços emmagatzemessin a les seves pròpies bases de dades el número principal de la targeta (PAN o Primary Account Number), la data de caducitat i fins i tot el codi de seguretat (CVV/CVC) per gestionar cobraments recurrents o facilitar compres en un sol clic. Avui dia, aquesta pràctica no només representa un incompliment normatiu greu, sinó un risc operatiu i financer inassumible.

La solució tècnica estàndard per gestionar cobraments futurs sense tocar informació bancària confidencial és la tokenització. Comprendre com es genera un token, quina entitat assumeix la custòdia de la dada real i quines implicacions té en l'arquitectura d'un negoci resulta imprescindible per a qualsevol equip que gestioni cobraments a internet.

Què és exactament un token de pagament

Un token és un identificador alfanumèric generat de manera pseudoaleatòria o mitjançant funcions criptogràfiques irreversibles que substitueix les dades sensibles de la targeta. A diferència del xifratge tradicional —on una clau matemàtica permet desxifrar el número original si es veu compromesa—, un token no conté el PAN al seu interior mitjançant cap algorisme reversible.

El token actua com un resguard de guarda-roba: no té cap valor intrínsec fora de l'ecosistema específic que l'ha emès. Si un atacant compromet la base de dades d'un comerç i n'extreu una taula de tokens, no els pot utilitzar per fer compres en altres comerços ni per clonar targetes físiques, ja que només l'entitat dipositària sap a quina targeta real apunta i només acceptarà peticions signades pel comerç autoritzat.

A la pràctica quotidiana, el comerç associa aquest token al perfil d'un usuari a la seva base de dades juntament amb metadades innòcues i útils per a la interfície:

• Els darrers quatre dígits de la targeta (perquè el client la identifiqui visualment a la pantalla).
• La marca o franquícia (Visa, Mastercard, etc.).
• La data de caducitat del plàstic.

Amb aquests elements, el comerç pot oferir una experiència d'usuari fluida sense haver vist ni processat mai els dígits complets de la targeta.

El cicle de vida d'un pagament tokenitzat

El procés de substitució de la dada sensible per l'identificador segur segueix una seqüència mil·limètrica en el moment en què el comprador introdueix les seves dades:

• Captura aïllada al client: Els camps del formulari de pagament mai no envien les dades al backend del comerç. Es transmeten directament des del navegador o l'aplicació mòbil de l'usuari cap als servidors segurs de la passarel·la mitjançant un iframe segur, un SDK mòbil o components web aïllats.
• Registre en l'entorn segur: La passarel·la rep el PAN, la caducitat i el CVV en una infraestructura certificada amb el nivell més estricte de seguretat PCI DSS. Allà s'emmagatzemen en una cambra cuirassada digital (anomenada habitualment vault).
• Emissió del token: La passarel·la genera un identificador únic vinculat a aquella targeta i a aquell comerç específic, i el retorna com a resposta al frontend o mitjançant una crida interna de servidor a servidor.
• Emmagatzematge al comerç: La base de dades del comerç desa únicament l'identificador (per exemple, `tok_9f8a7b6c5d`) associat a l'ID del client.
• Cobraments posteriors: Quan arriba el moment d'executar una renovació en models de subscripcions o una compra desada, el comerç envia una instrucció de cobrament a l'API de la passarel·la indicant l'import i el token, sense demanar novament les dades a l'usuari.

Durant aquest flux, és habitual que la primera transacció hagi de superar els protocols d'autenticació reforçada (SCA) i 3D Secure perquè l'emissor autoritzi càrrecs futurs iniciats pel comerç (Merchant Initiated Transactions o MIT).

Tokens de passarel·la enfront de tokens de xarxa

Convé distingir dos nivells tecnològics en l'ús d'identificadors substitutius:

Tokens de passarel·la (Gateway Tokens)

Són generats i custodiats pel proveïdor de serveis de pagament específic. Tenen la limitació d'estar lligats a aquesta passarel·la: si decideixes canviar de proveïdor tecnològic, has de sol·licitar una migració segura de cambra a cambra (un procés regulat i complex) o demanar als clients que reintrodueixin les seves targetes. A més, si la targeta caduca o es renova per pèrdua, el token sol deixar de funcionar tret que la passarel·la disposi de serveis d'actualització automàtica de comptes amb els emissors.

Tokens de xarxa (Network Tokens)

Són generats directament per les marques de targetes (com Visa o Mastercard) a través de serveis com VTS (Visa Token Service) o MDES (Mastercard Digital Enablement Service). En aquest esquema, el token és universal en l'àmbit de la xarxa bancària. Presenten dos avantatges operatius fonamentals:

• Actualització automàtica: Si la targeta física caduca o és substituïda després d'un robatori, la marca actualitza el vincle en el registre central sense fricció per a l'usuari ni per al comerç.
• Millor taxa d'autorització: En viatjar per la xarxa com un token verificat per la mateixa marca, els bancs emissors solen aplicar regles de risc més favorables i menors taxes de rebuig fals.

Per què emmagatzemar un PAN destrueix l'operativa d'un comerç

Tocar o registrar un PAN en servidors propis desencadena l'aplicació íntegra de l'estàndard PCI DSS en els seus nivells més complexos i costosos. Implica auditories presencials periòdiques d'avaluadors externs qualificats (QSA), segmentació física i lògica estricta de xarxes, polítiques exhaustives de xifratge en repòs i trànsit amb mòduls de seguretat maquinari (HSM) i anàlisis contínues de vulnerabilitats.

El cost anual de mantenir una infraestructura que emmagatzemi números de targeta reals sol situar-se en desenes de milers d'euros només en compliment i certificacions, sense comptar el risc de litigis, indemnitzacions i sancions bancàries en cas de filtració de dades.

En delegar la captura i l'emmagatzematge en infraestructures especialitzades que retornen tokens, el comerç redueix el seu abast PCI DSS al qüestionari més bàsic (habitualment SAQ A o SAQ A-EP), garantint la màxima seguretat tècnica per als seus usuaris amb un cost operatiu mínim.

Conclusió pràctica

La tokenització no és una opció de conveniència, sinó el pilar sobre el qual descansa el comerç electrònic recurrent contemporani. Mantenir la teva arquitectura lliure de números de targeta redueix dràsticament la superfície d'atac, simplifica les obligacions normatives i permet oferir experiències de compra recurrents fluides. La recomanació tècnica és contundent: utilitza sempre mecanismes de captura desacoblats al navegador o a l'app i assegura't que les teves bases de dades emmagatzemin únicament tokens i referències inerts.