Tokenización de tarxetas: que é un token, quen o garda e por que a túa base de datos nunca debe ver un PAN

No comercio dixital existe unha regra técnica fundamental: o mellor dato de pagamento protexido é aquel que nunca pisou os teus servidores. Durante os primeiros anos da venda en liña, era frecuente que os comercios almacenasen nas súas propias bases de datos o número principal da tarxeta (PAN ou Primary Account Number), a data de caducidade e mesmo o código de seguridade (CVV/CVC) para procesar cobramentos recorrentes ou facilitar compras nun só clic. Hoxe en día, esa práctica non só supón un incumprimento normativo grave, senón un risco operativo e financeiro inasumible.

A solución técnica estándar para operar cobramentos futuros sen tocar información bancaria confidencial é a tokenización. Comprender como se xera un token, que entidade asume a custodia do dato real e que implicacións ten na arquitectura dun negocio resulta imprescindible para calquera equipo que xestione cobramentos en internet.

Que é exactamente un token de pagamento

Un token é un identificador alfanumérico xerado de forma pseudoaleatoria ou mediante funcións criptográficas irreversibles que substitúe os datos sensibles da tarxeta. A diferenza do cifrado tradicional —onde unha clave matemática permite descifrar o número orixinal se se ve comprometida—, un token non contén o PAN no seu interior mediante ningún algoritmo reversible.

O token actúa como unha ficha de consigna: carece de valor intrínseco fóra do ecosistema específico que o emitiu. Se un atacante vulnera a base de datos dun comercio e extrae unha táboa de tokens, non pode utilizalos para realizar compras noutros comercios nin para clonar tarxetas físicas, xa que unicamente a entidade depositaria sabe a que tarxeta real apunta e só aceptará peticións asinadas polo comercio autorizado.

Na práctica cotiá, o comercio asocia ese token ao perfil dun usuario na súa base de datos xunto con metadatos inocuos e útiles para a interface:

• Os últimos catro díxitos da tarxeta (para que o cliente a identifique visualmente na pantalla).
• A marca ou franquía (Visa, Mastercard, etc.).
• A data de caducidade do plástico.

Con eses elementos, o comercio pode ofrecer unha experiencia de usuario fluída sen ter visto nin procesado xamais os díxitos completos da tarxeta.

O ciclo de vida dun pagamento tokenizado

O proceso de substitución do dato sensible polo identificador seguro segue unha secuencia milimétrica no momento en que o comprador introduce os seus datos:

• Captura illada no cliente: Os campos do formulario de pagamento nunca envían os datos ao backend do comercio. Transmítense directamente desde o navegador ou a aplicación móbil do usuario cara aos servidores seguros da pasarela mediante un iframe seguro, un SDK móbil ou compoñentes web illados.
• Rexistro na contorna segura: A pasarela de pagamento recibe o PAN, a caducidade e o CVV nunha infraestrutura certificada co nivel máis estrito de seguridade PCI DSS. Alí almacénanse nunha cámara acoirazada dixital (denominada habitualmente vault).
• Emisión do token: A pasarela xera un identificador único vinculado a esa tarxeta e a ese comercio específico, devolvéndoo como resposta ao frontend ou mediante unha chamada interna de servidor a servidor.
• Almacenamento no comercio: A base de datos do comercio garda unicamente o identificador (por exemplo, `tok_9f8a7b6c5d`) asociado ao ID do cliente.
• Cobramentos posteriores: Cando chega o momento de executar unha renovación en modelos de subscricións ou unha compra gardada, o comercio envía unha instrución de cobramento á API da pasarela indicando o importe e o token, sen pedir de novo os datos ao usuario.

Durante este fluxo, é habitual que a primeira transacción deba superar os protocolos de autenticación reforzada (SCA) e 3D Secure para que o emisor autorice futuros cargos iniciados polo comercio (Merchant Initiated Transactions ou MIT).

Tokens de pasarela fronte a tokens de rede

Convén distinguir dous niveis tecnolóxicos no uso de identificadores substitutivos:

Tokens de pasarela (Gateway Tokens)

Son xerados e custodiados polo provedor de servizos de pagamento específico. Teñen a limitación de estar atados a esa pasarela: se decides cambiar de provedor tecnolóxico, debes solicitar unha migración segura de cámara a cámara (un proceso regulado e complexo) ou pedir aos clientes que reintroduzan as súas tarxetas. Ademais, se a tarxeta caduca ou se renova por extravío, o token adoita deixar de funcionar a menos que a pasarela conte con servizos automáticos de actualización de contas cos emisores.

Tokens de rede (Network Tokens)

Son xerados directamente polas marcas de tarxetas (como Visa ou Mastercard) a través de servizos específicos como VTS (Visa Token Service) ou MDES (Mastercard Digital Enablement Service). Neste esquema, o token é universal a nivel de rede bancaria. Presentan dúas vantaxes operativas fundamentais:

• Actualización automática: Se a tarxeta física caduca ou é substituída tras un roubo, a marca actualiza a ligazón no rexistro central sen fricción para o usuario nin para o comercio.
• Mellor taxa de autorización: Ao viaxar pola rede como un token verificado pola propia marca, os bancos emisores adoitan aplicar regras de risco máis favorables e menores taxas de rexeitamento falso.

Por que almacenar un PAN destrúe a operativa dun comercio

Tocar ou rexistrar un PAN en servidores propios desencadea a aplicación íntegra do estándar PCI DSS nos seus niveis máis complexos e custosos. Implica auditorías presenciais periódicas realizadas por avaliadores externos cualificados (QSA), segmentación física e lóxica estrita de redes, políticas exhaustivas de cifrado en repouso e tránsito con módulos de seguridade hardware (HSM) e análises continuas de vulnerabilidades.

O custo anual de manter unha infraestrutura que almacene números de tarxeta reais adoita situarse en decenas de miles de euros só en cumprimento e certificacións, sen contar o risco de litixios, indemnizacións e sancións bancarias en caso de filtración de datos.

Ao delegar a captura e o almacenamento en infraestruturas especializadas que devolven tokens, o comercio reduce o seu alcance PCI DSS ao cuestionario máis básico (habitualmente SAQ A ou SAQ A-EP), garantindo a máxima seguridade técnica para os seus usuarios cun custo operativo mínimo.

Conclusión práctica

A tokenización non é unha opción de conveniencia, senón o piar sobre o que descansa o comercio electrónico recorrente contemporáneo. Manter a túa arquitectura libre de números de tarxeta reduce drasticamente a superficie de ataque, simplifica as obrigas normativas e permite ofrecer experiencias de compra recorrentes fluídas. A recomendación técnica é concluínte: utiliza sempre mecanismos de captura desacoplados no navegador ou na app e asegúrate de que as túas bases de datos almacenen unicamente tokens e referencias inertes.