Una bóveda de pagos es un sistema externo seguro que almacena credenciales de pago confidenciales en nombre de un negocio. En lugar de esas credenciales, el negocio recibe un token: un sustituto que conlleva mucho menos riesgo si se filtra, pero que aún le permite al negocio cobrarle a ese cliente nuevamente o reintentar un pago fallido cuando sea necesario. El uso de tokens está creciendo rápidamente. En los próximos cinco años, se prevé que la cantidad de transacciones tokenizadas por la red en todo el mundo experimente una tasa de crecimiento anual compuesta (CAGR) del 18.1 %.

A continuación, repasaremos cómo una bóveda almacena y protege realmente los datos de las tarjetas, qué hace por el cumplimiento del Estándar de seguridad de datos para la industria de tarjetas de pago (PCI DSS) y la conversión, y en qué se diferencia de la tokenización que un proveedor de servicios de pago ya hace por su cuenta.

Conclusiones clave

• Una bóveda de pagos reemplaza los números de tarjeta almacenados con tokens para que una violación de los sistemas del negocio no exponga nada que un actor fraudulento pueda usar para realizar con éxito una transacción.

• El uso de una bóveda de pagos generalmente acorta la evaluación del estándar PCI DSS de un negocio y admite suscripciones de tarjetas guardadas, reintentos de pago y la capacidad de enrutar a través de varios encargados de tratamiento.

• Los tokens emitidos por el encargado del tratamiento generalmente están vinculados a ese único proveedor, mientras que una bóveda de pagos dedicada le permite al negocio mover las credenciales almacenadas donde las necesite.

¿Qué es una bóveda de pagos?

Una bóveda de pagos es un sistema externo seguro que almacena credenciales de pago confidenciales, como números de tarjeta y datos de la cuenta bancaria, en nombre de una empresa. Esas credenciales nunca tocan los propios servidores de la empresa. Cuando un cliente ingresa su tarjeta en el proceso de compra, la bóveda captura el número, lo cifra y devuelve un token que la empresa usa para cada transacción posterior.

¿Cómo almacena y protege los datos de la tarjeta una bóveda de pagos?

La función principal de una bóveda es mantener el número de tarjeta sin procesar separado de todo lo demás en los sistemas de un negocio.

Funciona de la siguiente manera:

• Cifrado en la captura: El número de tarjeta se cifra cuando ingresa a la bóveda, antes de escribirse en el disco, lo que significa que ninguna versión en texto no cifrado del número existe en el entorno del negocio.

• Tokenización: La bóveda genera un token (una cadena de caracteres sin vínculo matemático con el número de tarjeta real) y lo envía de vuelta al negocio para que lo use en cada referencia futura a la transacción.

• Asignación de tokens: Solo la bóveda contiene la asignación entre el token y la tarjeta. La propia base de datos del negocio, la gestión de relaciones con los clientes (CRM) y las herramientas de soporte ven el token, lo que significa que una violación por su parte no expone nada que un actor fraudulento pueda usar para realizar con éxito una transacción.

• Controles de acceso y registros: La bóveda restringe y registra cada solicitud para detokenizar una tarjeta. Incluso un empleado con acceso al sistema no puede extraer un número sin procesar sin un motivo específico y auditado.

• Manejo de CVV: Las reglas de la red no permiten que las bóvedas almacenen el valor de verificación de la tarjeta (CVV) después de la autorización. Debe recopilarse nuevamente cada vez que una transacción lo requiera.

• Tokenización de red: Algunas bóvedas también funcionan con tokens emitidos por la red, que se actualizan automáticamente cuando se vuelve a emitir una tarjeta por pérdida o vencimiento; estos reducen los pagos que fallan debido a detalles de la tarjeta vencidos o no válidos.

¿Cuáles son las ventajas de usar una bóveda de pagos?

Las bóvedas de pago implican una menor carga de cumplimiento de la normativa. Si una empresa nunca almacena, procesa o transmite datos de tarjetas sin procesar en sus propios sistemas, por lo general reúne los requisitos para un cuestionario de autoevaluación (SAQ) del estándar PCI DSS más breve en lugar de la versión completa requerida de las empresas que manejan los datos del titular de tarjeta directamente. Eso significa menos controles de seguridad que mantener y menos tiempo dedicado a demostrar el cumplimiento de la normativa cada año.

Más allá de eso, una bóveda abre las siguientes prácticas:

• Suscripciones de tarjetas registradas: Una empresa puede facturar a un cliente todos los meses sin pedirle que vuelva a ingresar una tarjeta, ya que el token, no la tarjeta en sí, se usa para todas las transacciones posteriores a la primera.

• Lógica de reintento para pagos fallidos: Cuando una transacción falla, la empresa puede volver a intentarlo con el mismo token almacenado, a menudo después de que un token de red ya se haya actualizado en segundo plano con una nueva fecha de vencimiento o número de tarjeta.

• Enrutamiento a varios encargados de tratamiento: Debido a que la bóveda no es propiedad de un solo encargado del tratamiento, una empresa puede enviar el mismo token almacenado a diferentes proveedores para comparar las tasas de autorización o agregar cobertura de respaldo si uno tiene una interrupción.

• Proceso de compra más rápido para los clientes habituales: Una vez que se guarda una tarjeta en una bóveda, un cliente habitual puede completar una compra sin tener que escribir nada, lo que puede facilitar la conversión en el proceso de compra.

¿En qué se diferencia una bóveda de pagos de la tokenización del encargado del tratamiento?

Los tokens que emite un proveedor de servicios de pago suelen estar bloqueados para los sistemas de ese proveedor, lo que significa que un token determinado suele funcionar solo para futuras transacciones a través del mismo proveedor. Si la tarjeta se enruta a otro lugar, la empresa tiene que cobrarla nuevamente o hacer que el cliente la vuelva a ingresar.

Una bóveda de pagos exclusiva elimina esa restricción. La empresa almacena la tarjeta una vez en un entorno que controla, luego transfiere la credencial subyacente, o un token de red derivado de ella, al encargado de tratamiento que se adapte a una transacción determinada. El costo, las tasas de aprobación, la geografía y las interrupciones influyen en esa decisión de enrutamiento, lo que no es posible cuando el token solo existe dentro del sistema cerrado de un encargado del tratamiento.

Una empresa que prueba dos encargados de tratamiento en paralelo sin una bóveda necesita dos conjuntos separados de tarjetas almacenadas, que se mantienen en dos sistemas separados, sin que ninguno conozca al otro. Con una bóveda, una sola credencial almacenada puede moverse entre sistemas sin quedar atascada en el formato de token patentado de ninguno de los proveedores.

¿Cuáles son los riesgos y limitaciones de una bóveda de pagos?

Si bien las bóvedas de pago reducen la carga de cumplimiento de la normativa de una empresa, aún se aplican algunos límites reales. La bóveda en sí puede convertirse en un objetivo. Dado que los datos de la tarjeta de cada cliente están centralizados en un solo lugar, un ataque exitoso a la bóveda conlleva consecuencias enormes. Además, la portabilidad no es un hecho. Para mover una credencial almacenada entre encargados de tratamiento, es necesario que tanto la bóveda como el encargado de tratamiento receptor admitan un formato común para la transferencia, ya sea una credencial cifrada, un token de red o una API (del inglés Application Programming Interface, interfaz de programación de aplicaciones) creada para la transferencia.

La integración también requiere tiempo de ingeniería. Una empresa que adopta una bóveda tiene que reconstruir su flujo de compra, la lógica de facturación de suscripciones y los sistemas de conciliación en torno a tokens en lugar de números de tarjeta sin procesar. Y si bien una bóveda reduce el alcance del estándar PCI DSS, las empresas aún necesitan políticas que cubran la transmisión segura durante la captura, el acceso de los empleados a las herramientas administrativas de la bóveda y la propia postura de cumplimiento de la normativa de su proveedor.

¿Cómo sabes si una bóveda de pagos es adecuada para tu empresa?

El cobro repetido es la señal más clara de que una bóveda de pagos es adecuada para tu negocio. Es posible que un negocio que solo realiza pagos únicos y nunca necesita volver a cobrar a un cliente no necesite la infraestructura que agrega una bóveda. Los negocios de suscripciones, los marketplaces que emiten transferencias y cualquier negocio que reintente pagos fallidos tienden a aprovechar al máximo una bóveda.

La flexibilidad del encargado de tratamiento es otra señal. Un negocio que está contento de ejecutar cada transacción a través de un solo proveedor indefinidamente no necesita portabilidad, pero un negocio que quiere comparar las tasas de autorización entre encargados de tratamiento, agregar un proveedor de respaldo o negociar condiciones sin recopilar nuevamente los datos de la tarjeta de cada cliente se beneficiaría de ello.

La API Vault and Forward de Stripe se creó exactamente para este caso de uso. Permite a una empresa almacenar métodos de pago y, luego, usa la API para enviar esas credenciales almacenadas a un encargado de tratamiento de terceros o a un punto de conexión de su elección.

Cómo puede ayudar Stripe Payments

Stripe Payments proporciona una solución de pagos unificada y global que permite que cualquier empresa, desde startups en expansión hasta empresas globales, acepte pagos en línea, en persona y en todo el mundo.

Con Stripe Payments, puedes hacer lo siguiente:

• Optimiza tu experiencia en el proceso de compra: Crea una experiencia del cliente sin fricciones y ahorra tiempo de ingeniería con interfaces de usuario de pago precompiladas, acceso a más de 125 métodos de pago y Link, una cartera creada por Stripe.

• Llegar a nuevos mercados más rápido: conéctate con clientes de todo el mundo y reduce la complejidad y los costos de la gestión de múltiples monedas mediante opciones de pago transfronterizas, disponibles en 195 países y en más de 135 monedas.

• Unificar los pagos electrónicos y en persona: crea una experiencia de comercio unificado en todos los canales, tanto en línea como en persona, para personalizar las interacciones, recompensar la lealtad y aumentar los ingresos.

• Mejorar el rendimiento de los pagos: aumenta los ingresos con una gama de herramientas de pago personalizables y fáciles de configurar, que incluyen protección contra fraudes que no requiere programación, además de funcionalidades avanzadas para mejorar las tasas de autorización.

• Avanzar más rápido con una plataforma flexible y confiable para el crecimiento: desarrolla tu negocio sobre una plataforma diseñada a fin de crecer contigo, con un tiempo de actividad histórico del 99.999 % y una confiabilidad líder en el sector.

Obtén más información sobre cómo Stripe Payments puede potenciar tus pagos en línea y en persona, o empieza hoy.