PCI 令牌化是指将主账户号码 (PAN) 替换为没有任何可利用价值的替代值（令牌）的做法。令牌化已成为满足支付卡行业数据安全标准 (PCI DSS)持卡人数据保护要求的典型机制，因为仅保留令牌的系统通常不属于完整标准的适用范围。

接触原始银行卡号的系统与仅涉及令牌的系统之间的这种区别，决定了 PCI DSS 在多大程度上适用于特定商家。鉴于 PCI 数据泄露的成本可能在5000 美元到超过 50 万美元之间，这对于支付安全至关重要。

下面，我们将讨论 PCI 令牌化如何支持监管合规、从输入银行卡到返回令牌的整个过程在技术层面是如何运作的，以及卡组织令牌相对于商家发行的令牌有何优势。

要点

• 令牌将 PAN 替换为无法在经过认证的保管库之外还原的替代值。

• 不再存储原始 PAN 的商家通常有资格填写较短的 PCI DSS 自我评估问卷 (SAQ)。

• 卡组织令牌增加了密码学绑定和自动生命周期更新功能，而商家发行的令牌本身无法提供这些功能。

什么是 PCI 令牌化？

PCI 令牌化是指用令牌替换打印在支付银行卡上的数字：令牌是一个替代值，看起来像银行卡号，但本身没有任何可利用价值。令牌可以在商家的系统中流动，而 PAN 则单独存储在金库中。

PCI 令牌化如何缩小 PCI DSS 范围？

一旦系统停止存储、处理或传输 PAN，仅处理令牌，该基础设施的大部分就可以移出持卡人数据环境，不受 PCI DSS 的约束。如果系统仅持有令牌，就没有 PAN 需要加密，该系统上也没有加密密钥需要管理，也没有相关的需要包含在文件完整性监控中的内容。Visa 和 Mastercard 均在其各自的安全标准中将令牌化视作一种受认可的控制措施。PCI DSS 在其关于确保存储的 PAN 无法被读取的指南中直接引用了令牌化。

采用令牌化后，令牌金库本身、任何在令牌化发生前处理银行卡信息的系统，以及任何具备将令牌还原为 PAN 的技术能力的系统，都必须留在合规范围内。金库运营商需要通过自己的 PCI DSS 验证，通常作为一级服务商进行，这意味着由合格的安全评估员提供年度合规报告，而不是进行自我评估。依赖第三方金库的企业可以继承部分此保证，但仍需在自身的证明中记录这一关系，通常通过共享责任矩阵来解释金库运营商承担哪些要求，企业承担哪些要求。

即使令牌化处理了大部分持卡人数据保护工作，仍有部分类别的要求不会消失。涵盖安全策略和事件响应的第 12 项要求，依然适用于任何接受银行卡支付的商家。第 1 项要求下的网络分段、银行卡终端的物理安全、员工访问控制以及在令牌化前接触支付流程的任何系统上的常规卫生、补丁、防火墙和防病毒软件，都依然需要到位。

令牌化还会影响商家验证 PCI DSS 监管合规的方式（通过 SAQ 或合规报告进行）。在自身服务器上存储完整 PAN 的商家通常适用 SAQ D，涵盖完整的 PCI DSS 要求。而在输入端进行令牌化且从不存储未加密 PAN 的商家，通常符合更简化的版本（SAQ A 或 SAQ A-EP）的要求。

实践中 PCI 令牌化如何运作？

PCI 令牌化的机制归结为四个步骤：获取、退换、存储和重用。

首先，系统确认输入的银行卡号结构上有效（通常为 13-19 位数字），并识别银行卡品牌和发卡行卡组织。接着，它创建替代令牌，该令牌可以是随机的，也可以是保留格式的（这样令牌就可以顺利通过现有的数据库和报表工具，而不会破坏旧系统中的长度或格式假设）。

真实的 PAN 及其对应的令牌将被写入加密金库，加密密钥会进行独立管理（通常保存在硬件安全模块内）。替代值将留在商家的其他系统中，替代 PAN 以供未来参考。

需要进行扣款时，令牌化系统会在内部解密该值，将真实的 PAN 路由至银行卡卡组织进行授权，绝不会将其暴露给发起请求的系统。对账工具可使用该令牌匹配交易，因为在与该卡的生命周期内，该令牌将始终映射至同一个底层 PAN。

卡组织令牌化与基于商家的 PCI 令牌化有何不同？

商家发行令牌由商家自身或其代表支付服务提供商生成，完全存在于该商家的支付技术栈内。它映射到商家或其服务商运营的金库内的 PAN，且通常只在该系统内运作。它能很好地解决 PCI DSS 存储问题，但除此之外作用有限。

卡组织令牌来自银行卡组织自身。这些令牌通过令牌请求者 ID 通过加密与特定设备、商家或渠道绑定，因此为一个商家的结账服务提供的令牌即便遭到泄露也无法在其他地方重放。卡组织令牌也会自行更新：如果客户的卡片在挂失后重新发行或过期，卡组织会自动推送更新后的令牌。

这两种方法都符合监管合规要求，因为它们都会将原始 PAN 从商家环境中移除。两者之间的差异主要体现在监管合规以外的方面。卡组织令牌往往能产生更高的授权率，因为发卡行可以验证密码绑定并信任交易上下文，同时能最大程度减少因过期卡遭拒而造成的续期失败。

PCI 令牌化是否适合您的业务？

这取决于如今有多少持卡人数据会接触到企业自己的系统。

在以下几种情况下，令牌化的优势最为明显：

• 经常性或已存储银行卡交易：订阅商家、会员平台以及任何为未来扣款而保存银行卡的业务，都能通过将 PAN 移出自身环境而获得最大收益。

• 多个接触支付数据的内部系统：如果客户服务工具、分析工具和订单管理系统都需要引用一笔交易，令牌化能让它们在不扩大持卡人数据环境覆盖范围的情况下做到这一点。

• 内部安全资源有限：没有专门团队的企业，通过将 PAN 存储和密钥管理任务转移给经过认证的金库运营商，而不是自己构建该基础设施，能获得很大益处。

• 计划降低已保存银行卡的支付拒绝率：因银行卡过期而遇到授权或续费问题的商家，应确认其令牌化系统支持卡组织令牌，而不仅仅是商家级别的令牌。

使用 Stripe 的商家默认已获得 PCI 令牌化功能，该功能内置于结账集成、托管字段和已保存支付方式中。实际的决定通常不是是否要进行令牌化，而是当前的集成是否完全不将原始 PAN 保存在商家自己的服务器上；确认这一点，连同确定适用哪种 SAQ，就涵盖了大部分实用的评估。

Stripe Payments 如何提供帮助

Stripe Payments 提供一体化的全球支付解决方案，帮助任何企业——从成长型初创企业到全球性企业——在全球范围内接受线上和线下付款。

Stripe Payments 可帮助您：

• 优化结账体验：利用预构建的支付 UI、获取 125 种以上的支付方式，以及 Stripe 打造的数字钱包 Link，创造顺畅无比的客户体验并节省数千小时的工程时间。

• 更快拓展新市场：覆盖全球客户，并通过跨境支付选项降低多币种管理的复杂性和成本，覆盖 195 个国家/地区，支持 135 种以上货币。

• 统一线下与线上支付：整合线上与线下渠道，打造一体化商务体验，实现个性化互动、提升客户忠诚度并增加营收。

• 优化支付性能：通过一系列可定制、易于配置的支付工具提升营收，包括无代码欺诈防护功能与提高授权率的高级功能。

• 利用灵活、可靠的平台加速业务增长：选择一个专为随业务扩展而设计的平台，历史正常运行时间达 99.999%，可靠性在行业内首屈一指。

进一步了解 Stripe Payments 如何为您的线上和线下付款提供支持，或者立即开始使用。