El cifrado de punto a punto (P2PE) es un marco de seguridad de los pagos que cifra los datos del titular de la tarjeta dentro de un lector de tarjetas antes de que los datos entren en contacto con el software, la red o el servidor de una empresa. El P2PE también mantiene los datos cifrados hasta que llegan al entorno de descifrado del proveedor de servicios de pago. Es un elemento fundamental de la reducción del alcance en el cumplimiento del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS) y es lo que separa a un entorno del comerciante que maneja datos de tarjetas en texto no cifrado de uno que no los ve en absoluto.

Cuando se trata del cifrado, hay mucho en juego para las empresas. El coste medio global de una filtración de datos alcanzó los 4,4 millones de dólares en 2025. Mantener los datos de los titulares de las tarjetas fuera de los sistemas de una empresa reduce el riesgo de filtración y las posibles responsabilidades. A continuación, veremos cómo funciona el P2PE a nivel técnico, en qué se diferencia de la tokenización y el cifrado general y qué requiere una implementación validada.

Conclusiones principales

• El P2PE cifra los datos del titular de la tarjeta en el punto de captura y los descifra solo dentro de la infraestructura del proveedor de servicios de pago, de modo que los datos de la tarjeta en texto no cifrado nunca existen en el entorno del comerciante.

• Las empresas que utilizan una solución P2PE validada por el PCI suelen cumplir los requisitos del cuestionario de autoevaluación (SAQ) P2PE, que es una evaluación de cumplimiento de la normativa más breve.

• El P2PE y la tokenización resuelven problemas diferentes: el P2PE protege los datos en la captura y la transmisión, mientras que la tokenización sustituye los datos almacenados de la tarjeta por un valor sustituto para su uso futuro.

¿Qué es el cifrado de punto a punto (P2PE)?

El P2PE es un estándar de seguridad de los pagos que cifra los datos del titular de la tarjeta en el momento exacto en que una tarjeta interactúa con un lector. Se produce antes de que los datos entren en contacto con el software o la red de la empresa y mantiene los datos cifrados hasta que llegan a un entorno de descifrado seguro controlado por el proveedor de servicios de pago. El número de cuenta principal (PAN) del titular de la tarjeta y otros datos confidenciales no se exponen en forma legible en ninguna parte del entorno del comerciante.

¿Cómo funciona el cifrado de punto a punto (P2PE) en una transacción?

El P2PE se produce cuando un cliente acerca, inserta o pasa su tarjeta por un lector certificado que cifra los datos de forma interna antes de enviar nada. En el momento en que se lee la tarjeta, el módulo criptográfico seguro del dispositivo la cifra con una clave inyectada durante la fabricación o a través de un proceso controlado de inyección de claves. El dispositivo puede cifrar los datos con esta clave, pero no puede descifrarlos. El descifrado requiere una clave distinta que solo posee el proveedor de servicios de pago.

El payload cifrado se denomina texto cifrado. Sale del dispositivo, viaja a través del sistema POS de la empresa y la red, y pasa por el software y la infraestructura de la empresa, pero ninguna de esas infraestructuras puede leerlo. El texto cifrado llega al entorno de descifrado seguro del proveedor de servicios de pago, donde la clave privada recupera el PAN y la transacción se procesa.

El software del POS, los conmutadores de red y los servidores de la empresa manejan solo texto cifrado. Una filtración de este entorno, como un servidor en peligro, una persona con información privilegiada con intenciones maliciosas o una intrusión en la red, no produce ninguna información utilizable porque los datos de la tarjeta nunca estuvieron presentes en forma legible.

¿Cuál es la diferencia entre el cifrado de punto a punto (P2PE) validado por el PCI y el no validado?

El Consejo sobre Normas de Seguridad de la PCI mantiene una lista formal de soluciones P2PE validadas. Así es como funciona:

P2PE validado por el PCI

Una solución obtiene esta designación solo después de que un evaluador independiente audita la pila completa, lo que incluye el hardware, la gestión de claves, el entorno de descifrado y los controles de operaciones. La evaluación es exhaustiva y el Consejo sobre Normas de Seguridad de la PCI publica las soluciones validadas en una lista pública que pueden consultar las empresas y sus Evaluadores de seguridad cualificados (QSA), que son los expertos en seguridad de los datos autorizados para validar si las empresas cumplen el PCI DSS.

Implicaciones del cuestionario de autoevaluación (SAQ)

Las empresas que utilizan una solución validada correctamente sin almacenar ningún otro dato de tarjeta suelen cumplir los requisitos del SAQ P2PE, que consta de algo más de 30 preguntas. El SAQ D, que es la opción predeterminada para muchos entornos con tarjeta presente (CP) sin un P2PE validado, puede superar las 300 preguntas.

P2PE no validado

Estas implementaciones siguen el mismo concepto general: cifrar en la captura y descifrar fuera del entorno del comerciante, independientemente del proceso de evaluación formal del Consejo sobre Normas de Seguridad de la PCI. No conllevan ventajas automáticas de reducción del alcance en el PCI DSS.

Riesgo del alcance no validado

Con una solución no validada, una empresa aún podría alegar que se ha reducido su alcance, pero tendría que demostrar los controles ella misma durante una evaluación y es posible que su banco adquirente o QSA no acepte ese argumento.

¿Por qué importa el cifrado de punto a punto (P2PE) para el alcance de tu cumplimiento de la normativa PCI?

Reducir el alcance del PCI DSS es una ventaja económica de implementar correctamente el P2PE. El alcance está determinado por los sistemas que almacenan, procesan o transmiten los datos de los titulares de las tarjetas o los sistemas que podrían afectar a la seguridad de los que lo hacen.

Ten en cuenta lo siguiente:

• Requisitos para el SAQ: esta es la ruta de evaluación más corta disponible para los entornos con tarjeta presente.

• Costes del QSA: un alcance más limitado significa menos sistemas que un Evaluador de seguridad cualificado deba revisar. Eso supone una reducción significativa de la dificultad de la evaluación para los minoristas con varias ubicaciones.

• Operaciones más sencillas: cuando hay menos sistemas en el alcance, los requisitos de gestión de parches, los registros y el control de acceso se aplican a una huella más pequeña.

Si bien nada de esto elimina la necesidad del cumplimiento de la normativa PCI, sí reestructura lo que exige dicho cumplimiento. Ten en cuenta que el cumplimiento de la normativa PCI DSS aborda el alcance, pero no todas las posibles consecuencias de una filtración.

¿En qué se diferencia el cifrado de punto a punto (P2PE) de la tokenización y el cifrado por sí solos?

El P2PE, la tokenización y el cifrado están diseñados para funcionar juntos. El P2PE cubre la fase de captura y transmisión, mientras que la tokenización cubre el almacenamiento y la reutilización. Los dos enfoques se complementan entre sí porque resuelven problemas distintos en diferentes momentos del ciclo de vida del pago.

Veamos cómo se hace:

• Solo cifrado: el cifrado estándar de seguridad de la capa de transporte (TLS) protege los datos en tránsito entre los sistemas, pero no evita la exposición en los endpoints. Si el servidor de una empresa recibe una transmisión cifrada y la descifra, los datos en texto no cifrado existen en el servidor.

• P2PE: captura los datos de forma segura. Los datos del titular de la tarjeta entran en el entorno del comerciante ya cifrados y salen del mismo modo; el descifrado se realiza íntegramente fuera de la infraestructura de la empresa. El entorno nunca almacena un número de cuenta principal (PAN) utilizable.

• Tokenización: almacena los datos de forma segura. Después de autorizar una transacción, se devuelve un token (es decir, un valor sustituto sin datos de la tarjeta intrínsecos) que se almacena en lugar del PAN. Si la empresa necesita procesar una transacción repetida o cobrar una suscripción, hará referencia al token.

El P2PE se aplica específicamente a las transacciones con tarjeta presente (CP) porque no hay un dispositivo físico en una transacción por Internet. Puede aplicarse a las transacciones de pedidos por correo o por teléfono (MOTO) si la persona que acepta el pedido introduce los datos de la tarjeta en un dispositivo P2PE de hardware. La tokenización se aplica tanto a los pagos por Internet como en persona y el cifrado TLS estándar se aplica a las ventas por Internet.

¿Qué requiere realmente la implementación del cifrado de punto a punto (P2PE)?

Para implementar una solución P2PE validada, no basta con elegir un lector certificado. La solución completa incluye varios componentes.

Hardware

Solo los dispositivos enumerados por el PCI pueden formar parte de una solución P2PE validada. Estos dispositivos se han diseñado para tener módulos criptográficos seguros que evitan la extracción de claves y detectan las manipulaciones. Si se abre un dispositivo o se perfora su carcasa, las claves se borran automáticamente.

Gestión de claves

Las claves de cifrado se deben inyectar en los dispositivos en unas instalaciones seguras, normalmente por el fabricante o unas instalaciones de inyección de claves certificadas, antes de la implementación. Las claves se deben rotar de acuerdo con un programa definido. Los errores cometidos durante la gestión de claves pueden crear vulnerabilidades que socavan el proceso general.

Formación del personal

El personal debe comprender el manejo de los dispositivos, lo que incluye qué hacer si un dispositivo parece haber sido manipulado, cómo notificar anomalías y por qué nunca debe aceptar un dispositivo de sustitución de un origen no verificado. Los ataques de skimming físico dirigidos al hardware se han convertido en un riesgo documentado.

Gestión de dispositivos

Los dispositivos necesitan actualizaciones de firmware, inspecciones físicas y seguimiento del inventario. Un dispositivo perdido o robado es un posible incidente de seguridad dependiendo del estado de sus claves. Algunos proveedores se encargan de la gestión de los dispositivos como parte de su servicio, mientras que otros la dejan en manos de la empresa.

La razón para utilizar una solución P2PE gestionada, en la que el proveedor se encarga de la inyección de claves, la certificación de los dispositivos y la infraestructura de descifrado, se reduce al aspecto en el que las empresas desean centrar su atención operativa.

Stripe Terminal es el ejemplo más claro de una solución P2PE gestionada. Los lectores certificados de Terminal, como el BBPOS WisePOS E, el Stripe Reader M2 y otros de la gama, cifran los datos del titular de la tarjeta dentro del dispositivo antes de que salgan de él. Stripe se encarga de la inyección de claves y del descifrado.

Cómo puede ayudarte Stripe Terminal

Stripe Terminal te permite unificar los pagos presenciales y en línea para ofrecer una experiencia más agradable e intuitiva a tus clientes y facilitar el crecimiento de tu negocio. Terminal es compatible con nuevos métodos de pago, permite gestionar el hardware fácilmente y ofrece cobertura internacional con cientos de integraciones con sistemas POS que te ayudarán a crear la solución de pagos ideal para tu empresa.

Marcas como Hertz, URBN, Lands’ End, Shopify, Lightspeed y Mindbody ya confían en Stripe Terminal para ofrecerles a sus clientes la experiencia de comercio unificado que esperan de ellas.

Esto es lo que puedes conseguir con Stripe Terminal:

• Unificar canales de venta: gestiona tus pagos online y presenciales desde una única plataforma que integra todos los datos de las transacciones.

• Crecer internacionalmente: expande tu negocio fácilmente a 24 países con una sola integración que es compatible con métodos de pago locales.

• Personalizar la integración: crea tu propia aplicación de punto de venta a medida o conecta Stripe Terminal con tu solución tecnológica preferida gracias a las integraciones con sistemas POS y soluciones de comercio de terceros.

• Simplificar la gestión del hardware: pide, gestiona y supervisa lectores de tarjetas compatibles con Stripe de forma sencilla, dondequiera que se encuentren tus dispositivos

Conoce todos los detalles sobre Stripe Terminal o crea una cuenta gratuita.