Tokenización de tarjetas: qué guarda el comercio y qué no
Qué es un token de tarjeta, la diferencia entre token de red y de pasarela, qué exige PCI DSS (SAQ A) y cómo Cifrago cobrará suscripciones sin tocar el número de tarjeta.
La tokenización sustituye el número de tarjeta (PAN) por un identificador sin valor fuera del sistema que lo emitió. Así, el comercio puede cobrar de nuevo sin guardar la tarjeta. En Cifrago, el número se captura en campos alojados por la pasarela: ningún componente propio recibe, procesa ni almacena el PAN o el CVC.
Nota: Cifrago está en fase final de desarrollo y todavía no admite comercios nuevos. Los cobros recurrentes llegarán próximamente.
Token vs número de tarjeta
| Número de tarjeta (PAN) | Token | |
|---|---|---|
| Sirve fuera del sistema que lo creó | Sí | No |
| Si se filtra | Se puede usar para pagar | No sirve para nada sin la pasarela |
| Alcance PCI DSS para el comercio | Alto | Reducido |
| Sirve para cobros recurrentes | Sí, pero con mucho riesgo | Sí |
Token de red vs token de pasarela
- Token de pasarela: lo emite el procesador de pagos y solo sirve dentro de él.
- Token de red: lo emite la marca (Visa, Mastercard) y sigue funcionando aunque el banco renueve la tarjeta.
Visa cuenta los reintentos por credencial: los de un token por un lado y los del PAN por otro (fuente: PayPal).
Qué exige la normativa
| Norma | Qué dice |
|---|---|
| PCI DSS v4.0.1 | Es el estándar vigente. El cuestionario SAQ A se aplica a los comercios que externalizan por completo la captura de la tarjeta |
| PSD2 + Reglamento Delegado (UE) 2018/389 | Exige autenticación reforzada (SCA) en los pagos electrónicos que inicia el pagador |
Cómo lo hará Cifrago
- El cliente escribe la tarjeta en campos alojados por la pasarela (JET de Paycomet), no en un formulario de Cifrago.
- La pasarela la tokeniza y devuelve un identificador.
- Para las suscripciones se registra la tarjeta en la pasarela y la suscripción se crea con esa credencial. El token de un pago suelto no se reutiliza para volver a cobrar.
- La credencial de la pasarela se guarda cifrada.
- Si el banco lo pide, se aplica 3D Secure (SCA).
La arquitectura está alineada con PCI DSS SAQ A.
Preguntas frecuentes
¿Qué es un token de tarjeta?
Es un identificador que sustituye al número de la tarjeta. Solo tiene sentido dentro del sistema que lo emitió, así que si se filtra no sirve para pagar en otro sitio. Permite volver a cobrar sin que el comercio guarde la tarjeta.
¿Qué diferencia hay entre token de red y token de pasarela?
El token de pasarela lo emite el procesador de pagos y solo funciona con él. El token de red lo emite la marca de la tarjeta (Visa o Mastercard) y se actualiza solo cuando el banco renueva la tarjeta.
¿Guarda Cifrago el número de tarjeta?
No. El número y el CVC se escriben en campos alojados por la pasarela de pago. Ningún componente de Cifrago los recibe, procesa ni almacena; solo se guarda, cifrada, la credencial que devuelve la pasarela.
¿Qué es el SAQ A de PCI DSS?
Es el cuestionario de autoevaluación más sencillo de PCI DSS. Se aplica a los comercios que delegan por completo la captura y el procesamiento de la tarjeta en un proveedor certificado, sin que los datos pasen por sus propios sistemas.
¿Estás montando suscripciones?
Mira las tarifas y prueba el panel con datos de ejemplo antes de integrar nada.