Tokenización de tarjetas: qué es un token, quién lo guarda y por qué jamás debes almacenar un PAN

En el comercio digital existe una regla técnica fundamental: el mejor dato de pago protegido es aquel que nunca ha pisado tus servidores. Durante los primeros años de la venta en línea, no era raro que los comercios almacenasen en sus propias bases de datos el número principal de la tarjeta (PAN o Primary Account Number), la fecha de caducidad e incluso el código de seguridad (CVV/CVC) para procesar cobros recurrentes o facilitar compras en un solo clic. Hoy en día, esa práctica no solo supone un incumplimiento normativo grave, sino un riesgo operativo y financiero inasumible.

La solución técnica estándar para operar cobros futuros sin tocar información bancaria confidencial es la tokenización. Comprender cómo se genera un token, qué entidad asume la custodia del dato real y qué implicaciones tiene en la arquitectura de un negocio resulta imprescindible para cualquier equipo que gestione cobros en internet.

Qué es exactamente un token de pago

Un token es un identificador alfanumérico generado de forma pseudoaleatoria o mediante funciones criptográficas irreversibles que sustituye a los datos sensibles de la tarjeta. A diferencia del cifrado tradicional —donde una clave matemática permite desencriptar el número original si se ve comprometida—, un token no contiene el PAN en su interior mediante ningún algoritmo reversible.

El token actúa como un puntero o una ficha de taquilla: carece de valor intrínseco fuera del ecosistema específico que lo ha emitido. Si un atacante vulnera la base de datos de un comercio y extrae una tabla de tokens, no puede utilizarlos para realizar compras en otros comercios ni para clonar tarjetas físicas, ya que únicamente la entidad depositaria sabe a qué tarjeta real apunta y solo aceptará peticiones firmadas por el comercio autorizado.

En la práctica cotidiana, el comercio asocia ese token al perfil de un usuario en su base de datos junto con metadatos inocuos y útiles para la interfaz:

• Los últimos cuatro dígitos de la tarjeta (para que el cliente la identifique visualmente en pantalla).
• La marca o franquicia (Visa, Mastercard, etc.).
• La fecha de caducidad del plástico.

Con esos elementos, el comercio puede ofrecer una experiencia de usuario fluida sin haber visto ni procesado jamás los dígitos completos de la tarjeta.

El ciclo de vida de un pago tokenizado

El proceso de sustitución del dato sensible por el identificador seguro sigue una secuencia milimétrica en el momento en que el comprador introduce sus datos:

• Captura aislada en el cliente: Los campos del formulario de pago nunca envían los datos al backend del comercio. Se transmiten directamente desde el navegador o la aplicación móvil del usuario hacia los servidores seguros de la pasarela mediante un iframe seguro, un SDK móvil o componentes web aislados.
• Registro en el entorno seguro: La pasarela recibe el PAN, la caducidad y el CVV en una infraestructura certificada con el nivel más estricto de seguridad PCI DSS. Allí se almacenan en una cámara acorazada digital (denominada habitualmente vault).
• Emisión del token: La pasarela genera un identificador único vinculado a esa tarjeta y a ese comercio específico, devolviéndolo como respuesta al frontend o mediante una llamada interna de servidor a servidor.
• Almacenamiento en el comercio: La base de datos del comercio guarda únicamente el identificador (por ejemplo, `tok_9f8a7b6c5d`) asociado al ID del cliente.
• Cobros posteriores: Cuando llega el momento de ejecutar una renovación en modelos de suscripciones o una compra guardada, el comercio envía una instrucción de cobro a la API de la pasarela indicando el importe y el token, sin pedir de nuevo los datos al usuario.

Durante este flujo, es habitual que la primera transacción deba superar los protocolos de autenticación reforzada (SCA) y 3D Secure para que el emisor autorice futuros cargos iniciados por el comercio (Merchant Initiated Transactions o MIT).

Tokens de pasarela frente a tokens de red

Conviene distinguir dos niveles tecnológicos en el uso de identificadores sustitutivos:

Tokens de pasarela (Gateway Tokens)

Son generados y custodiados por el proveedor de servicios de pago específico. Tienen la limitación de estar atados a esa pasarela: si decides cambiar de proveedor tecnológico, debes solicitar una migración segura de bóveda a bóveda (un proceso regulado y complejo) o pedir a los clientes que reintroduzcan sus tarjetas. Además, si la tarjeta caduca o se renueva por pérdida, el token suele dejar de funcionar a menos que la pasarela cuente con servicios automáticos de actualización de cuentas con los emisores.

Tokens de red (Network Tokens)

Son generados directamente por las marcas de tarjetas (como Visa o Mastercard) a través de servicios específicos como VTS (Visa Token Service) o MDES (Mastercard Digital Enablement Service). En este esquema, el token es universal a nivel de red bancaria. Presentan dos ventajas operativas fundamentales:

• Actualización automática: Si la tarjeta física caduca o es sustituida tras un robo, la marca actualiza el vínculo en el registro central sin fricción para el usuario ni para el comercio.
• Mejor tasa de autorización: Al viajar por la red como un token verificado por la propia marca, los bancos emisores suelen aplicar reglas de riesgo más favorables y menores tasas de rechazo falso.

Por qué almacenar un PAN destruye la operativa de un comercio

Tocar o registrar un PAN en servidores propios desencadena la aplicación íntegra del estándar PCI DSS en sus niveles más complejos y costosos. Implica auditorías presenciales periódicas realizadas por evaluadores externos cualificados (QSA), segmentación física y lógica estricta de redes, políticas exhaustivas de cifrado en reposo y tránsito con módulos de seguridad hardware (HSM) y análisis continuos de vulnerabilidades.

El coste anual de mantener una infraestructura que almacene números de tarjeta reales suele situarse en decenas de miles de euros solo en cumplimiento y certificaciones, sin contar el riesgo de litigios, indemnizaciones y sanciones bancarias en caso de filtración de datos.

Al delegar la captura y el almacenamiento en infraestructuras especializadas que devuelven tokens, el comercio reduce su alcance PCI DSS al cuestionario más básico (habitualmente SAQ A o SAQ A-EP), garantizando la máxima seguridad técnica para sus usuarios con un coste operativo mínimo.

Conclusión práctica

La tokenización no es una opción de conveniencia, sino el pilar sobre el que descansa el comercio electrónico recurrente contemporáneo. Mantener tu arquitectura libre de números de tarjeta reduce drásticamente la superficie de ataque, simplifica las obligaciones de cumplimiento y permite ofrecer experiencias de compra recurrentes fluidas. La recomendación técnica es tajante: utiliza siempre mecanismos de captura desacoplados en el navegador o la app y asegúrate de que tus bases de datos almacenen únicamente tokens y referencias inertes.