La provisión de tokens se produce cuando una red de tarjetas sustituye un número de tarjeta por un token digital vinculado a un dispositivo o empresa concretos. Es un proceso que ocurre en segundo plano con las tarjetas añadidas a Apple Pay, Google Pay, o a un proceso de compra guardado, y se ha convertido en el método estándar con el que las redes de tarjetas protegen los datos de pago guardados sin cambiar la forma en que los titulares de las tarjetas pagan en realidad.

Se prevé que el número de usuarios de monederos digitales aumente un 35 % de 2025 a 2030. Esto significa que la provisión de tokens se está convirtiendo en un elemento habitual de los pagos cotidianos. A continuación, exploraremos cómo funciona el proceso de provisión paso a paso, por qué a veces aparece un pequeño cargo de verificación al guardar por primera vez una tarjeta, y qué ventajas de seguridad aporta un token de red.

De un vistazo

• La provisión de tokens sustituye el número real de una tarjeta por un token digital vinculado a un dispositivo o empresa concretos para que el número original de la tarjeta no figure en las transacciones.

• A veces aparece un pequeño cargo de autorización en un extracto bancario cuando se guarda por primera vez una tarjeta en un monedero. Lo normal es que se anule en unos días.

• Los tokens de red conllevan restricciones integradas y criptogramas para cada transacción que los hacen mucho menos útiles para un estafador que un número de tarjeta estático.

¿Qué es la provisión de tokens?

La provisión de tokens es el proceso que utilizan las redes de tarjetas para cambiar el número real de una tarjeta por un equivalente digital denominado token de red. En lugar de enviar el número de cuenta principal (PAN) real de 16 dígitos cada vez que un cliente paga a través de un monedero digital o una tarjeta registrada, la red emite un token vinculado a un contexto concreto, como un único dispositivo o el proceso de compra de una única empresa.

¿Cómo funciona el proceso de provisión de tokens?

La provisión comienza en el momento en que añades una tarjeta a un monedero digital o la guardas en una empresa para futuras compras. El solicitante del token (el proveedor del monedero o el proveedor de servicios de pago de la empresa) envía los datos de la tarjeta a la red de tarjetas pertinente, junto con su ID de solicitante de token. El siguiente paso es la identificación y verificación (ID&V, por sus siglas en inglés): la red y el banco emisor confirman que la tarjeta y el titular son legítimos. Para ello utilizan métodos como la comprobación de la dirección de facturación registrada, la verificación del código de verificación de la tarjeta, el envío de una contraseña de un solo uso por SMS o correo electrónico, y la verificación a través de la aplicación bancaria del emisor.

En función de la solidez de esa verificación, la red asigna un nivel de garantía del autenticador, de modo que una solicitud verificada con contraseña obtiene una puntuación mayor que una confirmada únicamente mediante coincidencia de datos. El banco emisor de la tarjeta revisa la solicitud y la aprueba o la rechaza. La aprobación no está garantizada ni siquiera cuando el paso de ID&V se haya completado sin problemas.

Una vez aprobada la solicitud, la red crea el token y lo empareja con una clave criptográfica que se utiliza para generar un código único para cada transacción futura. En función de la configuración, envía el token al elemento seguro del dispositivo o lo guarda en el depósito de tokens del solicitante.

¿Por qué aparecen cargos por la provisión de tokens en tu extracto bancario?

El paso ID&V en el proceso de provisión a veces genera una pequeña transacción en tu extracto, lo cual puede pillar desprevenida a alguna gente. Cuando una red o emisor verifica una tarjeta durante la provisión, a menudo ejecutará una pequeña autorización para confirmar que la tarjeta está activa y admite cargos. Cada emisor establece sus propias convenciones relativas a la descripción del cargo en el extracto bancario, de modo que la misma comprobación podría figurar de distinta manera en función de tu banco. Algunos muestran «verificación de tarjeta», otros «retención de autorización» y algunos usan etiquetas como «provisión de token». Lo habitual es que se liquide o anule en unos pocos días hábiles sin llegar a hacerse efectivo como cargo real.

¿Cuáles son las ventajas de seguridad de la provisión de tokens?

Un token de red conlleva restricciones integradas que no tiene un número de tarjeta sin cifrar. Al estar vinculado a un dispositivo, aplicación o cuenta de empresa concretos a través del ID de solicitante del token, no tiene ningún valor en ningún otro sitio. Si alguien intercepta un token vinculado al monedero de tu teléfono, no puede cargarlo en otro teléfono ni usarlo para pagar en otra empresa.

Cada transacción también genera su propio criptograma: un código de un solo uso derivado de la clave criptográfica del token. Ni siquiera en su contexto previsto puede reutilizarse la misma cadena numérica para una segunda transacción independiente. Los números de tarjeta estáticos no cuentan con esta protección; esto explica en parte por qué una filtración de datos que implique números de tarjeta almacenados crea una exposición continua, mientras que una que implique tokens por lo general no lo hace.

Los tokens también cambian la forma en que las empresas gestionan las actualizaciones de las tarjetas. Cuando un emisor vuelve a emitir una tarjeta (ya sea porque ha caducado o porque se ha sustituido tras denunciar su pérdida), la red puede enviar el token actualizado automáticamente. Un método de pago guardado sigue funcionando sin necesidad de que el titular de la tarjeta vuelva a introducir ninguna información, y las empresas ven menos pagos fallidos vinculados a datos de tarjetas obsoletos.

¿Quiénes participan en la gestión de un token a lo largo de su ciclo de vida?

Varias partes participan para que los tokens de red sigan siendo útiles y estén actualizados. Estas son todas las partes que intervienen en el token a lo largo de su ciclo de vida y cómo lo hacen:

• El titular de la tarjeta inicia el proceso al añadir una tarjeta a un monedero o guardarla para pagos futuros.

• El banco emisor aprueba o rechaza la solicitud de provisión, establece los requisitos de seguridad que considere adecuados y más adelante aprueba las transacciones individuales que se ejecutan contra el token.

• La red de tarjetas actúa como el proveedor de servicios de tokens. Genera el token, le asigna un nivel de garantía y mantiene la correspondencia entre el token y el número real de la tarjeta.

• El solicitante del token (el proveedor del monedero o el proveedor de servicios de pago de la empresa que solicitó el token) posee el ID del solicitante del token vinculado a él.

• El adquirente dirige las solicitudes de transacción de la empresa a la red y recibe la respuesta de autorización.

• El depósito de tokens (un sistema de almacenamiento seguro, que a veces administra la red y a veces el solicitante del token) aloja la correspondencia entre el token y el PAN de modo que el número real de la tarjeta nunca tenga que viajar con la transacción.

¿Qué ocurre cuando falla la provisión de un token o cuando se rechaza una tarjeta?

Cuando se rechaza una solicitud de provisión de token, puede ocurrir simplemente que la tarjeta no se pueda añadir al monedero o servicio. Esto significa que el titular de la tarjeta no notará necesariamente ningún cambio. En algunos casos, se le pedirá que lo intente de nuevo, a veces con un método de verificación diferente (p. ej., confirmando una contraseña en lugar de depender únicamente de la coincidencia de datos).

Los fallos de provisión son distintos a los pagos rechazados habituales. Un fallo de provisión ocurre cuando la tarjeta se añade por primera vez a un monedero digital o servicio y solo afecta al hecho de si se crea o activa un token. Un pago rechazado ocurre más adelante, en el momento de la compra. Puede ocurrir tanto si alguien paga con un token como con un número de tarjeta sin cifrar. Problemas como la falta de crédito disponible, una dirección de facturación que no coincide o una tarjeta caducada pueden provocar que se rechace el pago con independencia de cómo se hayan almacenado los datos subyacentes de la tarjeta.

Cómo puede ayudarte Stripe Payments

Stripe Payments proporciona una solución de pagos unificada y global que ayuda a cualquier empresa a aceptar pagos con monedero digital por Internet, en persona y en todo el mundo.

Stripe Payments puede ayudarte a:

• Optimiza tu experiencia en el proceso de compra: crea una experiencia de cliente sin fricciones y ahorra tiempo de programación con interfaces de usuario de pago prediseñadas, acceso a más de 100 métodos de pago, entre ellos más de doce opciones de monedero digital, y Link, un monedero creado por Stripe.

• Expandirte a nuevos mercados más rápido: llega a clientes de todo el mundo y simplifica la gestión de los tipos de intercambio gracias a las opciones para pagar internacionales, que admiten 195 países y más de 135 divisas.

• Unificar pagos en persona y en línea: hacer un seguimiento y conciliar con facilidad los pagos con monedero digital por Internet y en persona.

• Mejorar el rendimiento de tus pagos: aumenta tus ingresos con herramientas de pagos configurables y fáciles de implementar, que incluyen soluciones sin programación de protección antifraude y funciones avanzadas para mejorar las tasas de autorización.

• Hacer crecer tu empresa con una plataforma fiable: desarrolla tu negocio sobre una infraestructura que está preparada para crecer contigo. Stripe ha logrado mantener un tiempo de actividad histórico del 99,999 % y garantiza una fiabilidad líder en el sector.

Obtén más información sobre cómo Stripe Payments puede ayudarte a aceptar pagos por Internet y en persona o crea una cuenta hoy mismo.