Tokenización de tarxetas: que garda o comercio e que non
Que é un token de tarxeta, a diferenza entre token de rede e de pasarela, que esixe PCI DSS (SAQ A) e como Cifrago cobrará subscricións sen tocar a tarxeta.
A tokenización substitúe o número de tarxeta (PAN) por un identificador sen valor fóra do sistema que o emitiu. Deste xeito, o comercio pode cobrar de novo sen gardar a tarxeta. En Cifrago, o número captúrase en campos aloxados pola pasarela: ningún compoñente propio recibe, procesa nin almacena o PAN ou o CVC.
Nota: Cifrago está en fase final de desenvolvemento e aínda non admite comercios novos. Os cobramentos recorrentes chegarán proximamente.
Token vs número de tarxeta
| Número de tarxeta (PAN) | Token | |
|---|---|---|
| Serve fóra do sistema que o creou | Si | Non |
| Se se filtra | Pódese usar para pagar | Non serve para nada sen a pasarela |
| Alcance PCI DSS para o comercio | Alto | Reducido |
| Serve para cobramentos recorrentes | Si, pero con moito risco | Si |
Token de rede vs token de pasarela
- Token de pasarela: emíteo o procesador de pagos e só serve dentro del.
- Token de rede: emíteo a marca (Visa, Mastercard) e segue funcionando aínda que o banco renove a tarxeta.
Visa conta os reintentos por credencial: os dun token por un lado e os do PAN por outro (fonte: PayPal).
Que esixe a normativa
| Norma | Que di |
|---|---|
| PCI DSS v4.0.1 | É o estándar vixente. O cuestionario SAQ A aplícase aos comercios que externalizan por completo a captura da tarxeta |
| PSD2 + Regulamento Delegado (UE) 2018/389 | Esixe autenticación reforzada (SCA) nos pagos electrónicos que inicia o pagador |
Como o fará Cifrago
- O cliente escribe a tarxeta en campos aloxados pola pasarela (JET de Paycomet), non nun formulario de Cifrago.
- A pasarela tokenízaa e devolve un identificador.
- Para as subscricións rexístrase a tarxeta na pasarela e a subscrición créase con esa credencial. O token dun pago solto non se reutiliza para volver cobrar.
- A credencial da pasarela gárdase cifrada.
- Se o banco o pide, aplícase 3D Secure (SCA).
A arquitectura está aliñada con PCI DSS SAQ A.
Preguntas frecuentes
Que é un token de tarxeta?
É un identificador que substitúe o número da tarxeta. Só ten sentido dentro do sistema que o emitiu, polo que se se filtra non serve para pagar noutro sitio. Permite volver cobrar sen que o comercio garde a tarxeta.
Que diferenza hai entre token de rede e token de pasarela?
O token de pasarela emíteo o procesador de pagos e só funciona con el. O token de rede emíteo a marca da tarxeta (Visa ou Mastercard) e actualízase automaticamente cando o banco renova a tarxeta.
Garda Cifrago o número de tarxeta?
Non. O número e o CVC escríbense en campos aloxados pola pasarela de pago. Ningún compoñente de Cifrago os recibe, procesa nin almacena; só se garda, cifrada, a credencial que devolve a pasarela.
Que é o SAQ A de PCI DSS?
É o cuestionario de autoavaliación máis sinxelo de PCI DSS. Aplícase aos comercios que delegan por completo a captura e o procesamento da tarxeta nun provedor certificado, sen que os datos pasen polos seus propios sistemas.
Estás a montar subscricións?
Mira as tarifas e proba o panel con datos de exemplo antes de integrar nada.