Una cámara de pagos es un sistema seguro y externo que almacena credenciales de pago confidenciales en nombre de una empresa. En lugar de esas credenciales, la empresa recibe un token: un sustituto que conlleva mucho menos riesgo si se filtra, pero que sigue permitiendo a la empresa volver a cobrar a ese cliente o reintentar un pago fallido cuando sea necesario. El uso de tokens está creciendo rápidamente. En los próximos cinco años, se prevé que el número de transacciones tokenizadas por red en todo el mundo registre una tasa de crecimiento anual compuesto (CAGR) del 18,1 %.

A continuación, repasaremos cómo almacena y protege realmente los datos de la tarjeta una cámara, qué hace por el cumplimiento de la normativa del sector de pagos con tarjeta (PCI DSS) y la conversión, y en qué se diferencia de la tokenización que un proveedor de servicios de pago ya hace por su cuenta.

De un vistazo

• Una cámara de pagos sustituye los números de tarjeta almacenados por tokens para que una brecha en los sistemas de la empresa no exponga nada que un actor fraudulento pudiera usar para realizar una transacción con éxito.

• El uso de cámaras suele acortar la evaluación de PCI DSS de una empresa y permite suscripciones de tarjetas registradas, reintentos de pago y la capacidad de ruta a través de varios responsables del tratamiento.

• Los tokens emitidos por el responsable del tratamiento suelen estar bloqueados a ese único proveedor, mientras que una cámara dedicada permite a una empresa mover las credenciales almacenadas a donde las necesite.

¿Qué es una cámara de pagos?

Una cámara de pagos es un sistema seguro y externo que almacena credenciales de pago confidenciales, como números de tarjeta y datos de la cuenta bancaria, en nombre de una empresa. Esas credenciales nunca tocan los propios servidores de la empresa. Cuando un cliente introduce su tarjeta en el proceso de compra, la cámara captura el número, lo cifra y devuelve un token que la empresa usa para todas las transacciones posteriores.

¿Cómo almacena y protege los datos de la tarjeta una cámara de pagos?

El trabajo principal de una cámara es mantener el número de tarjeta sin procesar separado de todo lo demás en los sistemas de una empresa.

Funciona de la siguiente manera:

• Cifrado en la captura: El número de la tarjeta se cifra cuando entra en la cámara, antes de que se escriba en el disco, lo que significa que nunca existe una versión de texto sin formato del número en el entorno de la empresa.

• Tokenización: La cámara genera un token (una cadena de caracteres sin vínculo matemático con el número de la tarjeta real) y lo envía a la empresa para que lo use en cualquier referencia futura a la transacción.

• Mapeo de tokens: Solo la cámara contiene el mapeo entre el token y la tarjeta. La propia base de datos de la empresa, la gestión de relaciones con los clientes (CRM) y las herramientas de soporte ven el token, lo que significa que una filtración por su parte no expone nada que un actor fraudulento pudiera usar para realizar una transacción con éxito.

• Controles de acceso y registros: La cámara restringe y registra cada petición para destokenizar una tarjeta. Ni siquiera un empleado con acceso al sistema puede extraer un número sin procesar sin una razón específica y auditada.

• Gestión de CVV: Las normas de la red no permiten a las cámaras almacenar el valor de verificación de la tarjeta (CVV) después de la autorización. Se debe recopilar de nuevo cada vez que una transacción lo requiera.

• Tokenización de red: Algunas cámaras también funcionan con tokens emitidos por la red, que se actualizan automáticamente cuando una tarjeta se vuelve a emitir tras una pérdida o caducidad; estos reducen los pagos que fallan debido a datos de tarjeta caducados o no válidos.

¿Cuáles son las ventajas de usar una cámara de pagos?

Las cámaras de pago suponen una reducción de la carga de cumplimiento de la normativa. Si una empresa nunca almacena, procesa o transmite datos de tarjetas sin procesar en sus propios sistemas, suele cumplir los requisitos para un cuestionario de autoevaluación (SAQ) de PCI DSS más breve en lugar de la versión completa requerida a las empresas que manejan los datos del titular de la tarjeta directamente. Esto se traduce en menos controles de seguridad que mantener y menos tiempo dedicado a demostrar el cumplimiento de la normativa cada año.

Además de eso, una cámara abre las siguientes prácticas:

• Suscripciones con tarjeta registrada: Una empresa puede facturar a un cliente cada mes sin pedirle que vuelva a introducir una tarjeta, ya que se usa el token, no la tarjeta en sí, para todas las transacciones después de la primera.

• Lógica de reintento de pagos fallidos: Cuando una transacción falla, la empresa puede volver a intentarlo con el mismo token almacenado, a menudo después de que un token de red ya se haya actualizado en segundo plano con una nueva fecha de caducidad o número de tarjeta.

• Ruta con varios responsables del tratamiento: Como la cámara no es propiedad de un único responsable del tratamiento, una empresa puede enviar el mismo token almacenado a diferentes proveedores para comparar las tasas de autorización o añadir cobertura de respaldo si uno de ellos sufre una interrupción.

• Proceso de compra más rápido para clientes recurrentes: Una vez que la tarjeta está en la cámara, un cliente recurrente puede completar una compra sin tener que escribir nada, lo que puede facilitar la conversión en el proceso de compra.

¿En qué se diferencia una cámara de pagos de la tokenización del responsable del tratamiento?

Los tokens que emite un proveedor de servicios de pago suelen estar bloqueados en los propios sistemas de ese proveedor, lo que significa que un token determinado normalmente solo funciona para transacciones futuras a través del mismo proveedor. Si la tarjeta se dirige a otro lugar, la empresa tiene que volver a pedirla o hacer que el cliente la vuelva a introducir.

Una cámara de pagos dedicada elimina esa limitación. La empresa almacena la tarjeta una vez en un entorno que controla, y luego reenvía la credencial subyacente, o un token de red derivado de ella, al responsable del tratamiento que se adapte a una transacción determinada. El coste, las tasas de aprobación, la geografía y las interrupciones son factores que influyen en esa decisión de ruta, lo que no es posible cuando el token solo existe dentro del sistema cerrado de un responsable del tratamiento.

Una empresa que pruebe dos responsables del tratamiento a la vez sin una cámara necesita dos conjuntos separados de tarjetas almacenadas, mantenidos en dos sistemas separados, cada uno ignorando al otro. Con una cámara, una única credencial almacenada puede moverse entre sistemas sin quedar nunca atascada en el formato de token propietario de ninguno de los proveedores.

¿Cuáles son los riesgos y las limitaciones de una cámara de pagos?

Aunque las cámaras de pagos reducen la carga del cumplimiento de la normativa de una empresa, siguen existiendo algunas limitaciones reales. La propia cámara puede convertirse en un objetivo. Puesto que los datos de la tarjeta de cada cliente están centralizados en un único lugar, un ataque con éxito a la cámara tiene consecuencias desproporcionadas. Además, la portabilidad no está garantizada. Mover una credencial almacenada entre los responsables del tratamiento requiere que tanto la cámara como el responsable del tratamiento receptor acepten un formato común para el traspaso, ya sea una credencial cifrada, un token de red o una interfaz de programación de aplicaciones (API) específica creada para la transferencia.

La integración también lleva tiempo de ingeniería. Una empresa que adopta una cámara tiene que reconstruir su flujo del proceso de compra, la lógica de facturación de suscripciones y los sistemas de conciliación en torno a tokens en lugar de números de tarjeta sin procesar. Y aunque una cámara reduce el alcance de la normativa PCI DSS, las empresas siguen necesitando políticas que cubran la transmisión segura en la captura, el acceso de los empleados a las herramientas administrativas de la cámara y la propia postura de cumplimiento de la normativa de su proveedor.

¿Cómo puedes saber si una cámara de pagos es adecuada para tu empresa?

El cobro recurrente es la señal más clara de que una cámara de pagos es adecuada para tu empresa. Una empresa que solo realiza pagos únicos y nunca necesita volver a cobrar a un cliente podría no necesitar la infraestructura que añade una cámara. Las empresas de suscripciones, los marketplaces que emiten transferencias y cualquier empresa que reintente pagos fallidos suelen ser los que más partido sacan de una cámara.

La flexibilidad del responsable del tratamiento es otra señal. Una empresa que está contenta de realizar cada transacción a través de un único proveedor indefinidamente no necesita portabilidad, pero una empresa que quiere comparar las tasas de autorización de varios responsables del tratamiento, añadir un proveedor de respaldo o negociar las condiciones sin tener que volver a pedir los datos de la tarjeta a todos los clientes se beneficiaría de ella.

La API Vault and Forward de Stripe está creada exactamente para este caso de uso. Permite a una empresa almacenar métodos de pago, y luego usa la API para enviar esas credenciales almacenadas a un responsable del tratamiento de terceros o al punto de conexión que elija.

Cómo puede ayudarte Stripe Payments

Stripe Payments ofrece una solución de pagos internacional unificada que ayuda a cualquier empresa, desde startups en expansión hasta grandes corporaciones internacionales, a aceptar pagos en línea, en persona y en todo el mundo.

Stripe Payments puede ayudarte a:

• Optimiza tu experiencia del proceso de compra: Crea una experiencia de cliente sin fricciones y ahorra tiempo de ingeniería con interfaces de usuario de pago prediseñadas, acceso a más de 125 métodos de pago y Link, un monedero creado por Stripe.

• Expandirte a nuevos mercados más rápido: llega a clientes de todo el mundo y simplifica la gestión de los tipos de intercambio gracias a las opciones para pagar internacionales, que admiten 195 países y más de 135 divisas.

• Unificar los pagos por Internet y en persona: crea una experiencia de comercio unificado entre tus canales en línea y presenciales para personalizar la relación con tus clientes, fomentar su fidelidad y aumentar tus ingresos.

• Mejorar el rendimiento de tus pagos: aumenta tus ingresos con herramientas de pagos configurables y fáciles de implementar, que incluyen soluciones sin programación de protección antifraude y funciones avanzadas para mejorar las tasas de autorización.

• Hacer crecer tu empresa con una plataforma fiable: desarrolla tu negocio sobre una infraestructura que está preparada para escalar contigo. Stripe ha logrado mantener un tiempo de actividad histórico del 99,999 % y garantiza una fiabilidad líder en el sector.

Obtén más información sobre cómo Stripe Payments puede impulsar tus pagos en línea y en persona, o empieza hoy mismo.