La tokenizzazione si verifica quando un circuito delle carte di credito sostituisce un numero di carta con un token digitale legato a un dispositivo o a un'attività specifica. È una procedura che avviene dietro le quinte sulle carte aggiunte ad Apple Pay, a Google Pay o a un checkout salvato, ed è diventato il modo standard con cui i circuiti delle carte di credito proteggono i dati di pagamento salvati senza modificare nulla del modo in cui i titolari della carta effettuano effettivamente i pagamenti.

Si prevede che il numero di utenti dei digital wallet aumenterà del 35% tra il 2025 e il 2030. Questo significa che la tokenizzazione sta diventando una parte comune dei pagamenti quotidiani. Di seguito esploreremo come funziona passo dopo passo la procedura di tokenizzazione, il motivo per cui a volte viene addebitato un piccolo costo di verifica quando salvi per la prima volta una carta e i vantaggi in termini di sicurezza offerti da un network token.

In sintesi

• La procedura di tokenizzazione sostituisce un numero di carta reale con un token digitale legato a un dispositivo o a un'attività specifica in modo che il numero di carta originale non compaia nelle transazioni.

• A volte nell'estratto conto viene visualizzato un piccolo addebito di autorizzazione quando una carta viene salvata per la prima volta in un wallet. In genere viene stornato nel giro di qualche giorno.

• I network token presentano restrizioni integrate e crittogrammi per singola transazione che li rendono molto meno utili per un autore di frodi rispetto a un numero di carta statico.

Cos'è la tokenizzazione?

La tokenizzazione è la procedura utilizzata dai circuiti delle carte di credito per scambiare un numero di carta reale con un sostituto digitale chiamato network token. Invece di inviare il numero di conto principale (PAN) a 16 cifre reale ogni volta che un cliente paga tramite un digital wallet o una carta salvata in archivio, la rete emette un token legato a un contesto specifico, ad esempio un singolo dispositivo o il checkout di una singola attività.

Come funziona la procedura di tokenizzazione?

La tokenizzazione inizia nel momento in cui aggiungi una carta a un digital wallet o la salvi presso un'attività per acquisti futuri. Il richiedente del token (un fornitore di wallet o il fornitore di servizi di pagamento di un'attività) invia i dati della carta al relativo circuito della carta di credito insieme al proprio ID richiedente del token. Il passaggio successivo è l'identificazione e la verifica (ID&V): la rete e la banca emittente confermano che la carta e il titolare della carta sono legittimi, utilizzando metodi come la corrispondenza dell'indirizzo di fatturazione in archivio, il controllo del codice di verifica della carta, l'invio di un passcode monouso tramite SMS o email e la verifica tramite l'app della banca.

In base al livello di affidabilità di tale verifica, la rete assegna un livello di garanzia dell'autenticatore: una richiesta verificata tramite passcode otterrà un punteggio più alto rispetto a una confermata solo tramite la corrispondenza dei dati. La banca emittente della carta esamina la richiesta e la approva o la rifiuta. L'approvazione non è garantita nemmeno quando il passaggio ID&V viene completato senza problemi.

Una volta approvata la richiesta, la rete crea il token e lo associa a una chiave crittografica utilizzata per generare un codice univoco per ogni transazione futura. Invia il token all'elemento sicuro del dispositivo o lo salva nel token vault del richiedente, a seconda della configurazione.

Perché gli addebiti per la tokenizzazione compaiono sull'estratto conto bancario?

A volte il passaggio ID&V della procedura di tokenizzazione genera una piccola transazione sull'estratto conto, che alcune persone non si aspettano. Quando un circuito o un emittente verifica una carta durante la tokenizzazione, spesso esegue un' autorizzazione nominale per confermare che la carta è attiva e può accettare un addebito. Ogni emittente imposta le proprie convenzioni per la voce sull'estratto conto, in modo che lo stesso controllo possa essere interpretato in modo diverso a seconda della banca. In alcune banche viene visualizzata la dicitura "verifica della carta", in altre "blocco dell'autorizzazione" e in altre ancora un'etichetta come "tokenizzazione". In genere viene azzerato o stornato entro qualche giorno lavorativo senza che si concretizzi in un addebito effettivo.

Quali sono i vantaggi in termini di sicurezza della tokenizzazione?

Un network token presenta restrizioni integrate che un normale numero di carta non ha. Essendo associato a un dispositivo, un'app o a un account specifico tramite l'ID del richiedente del token, non ha alcun valore in nessun altro luogo. Chiunque intercetti un token collegato al wallet del telefono non può caricarlo su un telefono diverso o utilizzarlo per pagare un'attività diversa.

Ogni transazione genera anche il proprio crittogramma, un codice monouso derivato dalla chiave crittografica del token. Anche all'interno del contesto previsto, la stessa stringa numerica non può essere riutilizzata per una seconda transazione indipendente. I numeri di carta statici non hanno questa protezione, il che è in parte il motivo per cui una violazione dei dati che coinvolge i numeri di carta salvati crea un'esposizione continua, mentre una violazione che coinvolge i token in genere non lo fa.

I token cambiano anche il modo in cui le aziende gestiscono gli aggiornamenti delle carte. Quando una società emittente riemette una carta, a causa della sua scadenza o della sua sostituzione in seguito a una segnalazione di smarrimento, la rete può inviare automaticamente il token aggiornato. Un metodo di pagamento salvato continua a funzionare senza che il titolare della carta debba reinserire alcuna informazione e le aziende riscontrano un numero inferiore di pagamenti non andati a buon fine legati a dati della carta obsoleti.

Chi è coinvolto nella gestione di un token durante il suo ciclo di vita?

Diverse parti sono coinvolte nel mantenere i network token utilizzabili e aggiornati. Di seguito sono elencate tutte le parti che gestiscono il token durante il suo ciclo di vita e in che modo sono coinvolte:

• Il titolare della carta avvia il processo aggiungendo una carta a un wallet o salvandola per pagamenti futuri.

• La banca emittente approva o rifiuta la richiesta di tokenizzazione, definisce i requisiti di garanzia con cui è a proprio agio e successivamente approva le singole transazioni eseguite rispetto al token.

• Il circuito delle carte di credito funge da fornitore di servizi del token. Genera il token, ne assegna il livello di garanzia e mantiene la mappatura tra il token e il numero di carta reale.

• Il richiedente del token (il fornitore del wallet o il fornitore di servizi di pagamento dell'attività che ha richiesto il token) detiene l'ID del richiedente del token ad esso associato.

• La banca acquirente instrada le richieste di transazione dell'attività verso la rete e riceve la risposta di autorizzazione.

• Il token vault (un sistema di archiviazione sicuro, a volte gestito dalla rete e a volte dal richiedente del token) conserva la mappatura tra token e PAN, in modo che il numero di carta reale non debba mai viaggiare con una transazione.

Cosa succede quando la procedura di tokenizzazione non va a buon fine o se la carta viene rifiutata?

Quando una richiesta di tokenizzazione viene rifiutata, la carta potrebbe semplicemente non essere aggiunta al wallet o al servizio. Questo significa che il titolare della carta non noterà necessariamente alcun cambiamento. Alcune configurazioni richiederanno di riprovare, a volte con un metodo di verifica diverso (ad esempio confermando un codice di accesso invece di affidarsi solo alla corrispondenza dei dati).

Gli errori di tokenizzazione sono diversi dai normali pagamenti rifiutati. Un errore di tokenizzazione si verifica quando la carta viene aggiunta per la prima volta a un digital wallet o a un servizio e incide solo sulla creazione o sull'attivazione di un token. Un pagamento rifiutato si verifica in un secondo momento, al momento dell'acquisto. Può verificarsi indipendentemente dal fatto che qualcuno paghi con un token o con un normale numero di carta. Problemi come credito non disponibile, indirizzo di fatturazione non corrispondente e carta scaduta possono causare il rifiuto di un pagamento indipendentemente dal modo in cui i dati della carta sottostante sono stati salvati.

In che modo Stripe Payments può esserti d'aiuto

Stripe Payments offre una soluzione di pagamento unificata e globale, che aiuta tutte le attività ad accettare pagamenti con wallet online, di persona e in tutto il mondo.

Con Stripe Payments puoi:

• Ottimizzare l'esperienza di checkout: crea un'esperienza cliente fluida e risparmia tempo di progettazione con interfacce utente di pagamento predefinite e l'accesso a oltre 100 metodi di pagamento, tra cui più di una dozzina di metodi di pagamento tramite digital wallet e Link, un wallet integrato in Stripe.

• Espanderti più rapidamente in nuovi mercati: raggiungi i clienti di tutto il mondo e riduci le complessità e i costi della gestione multivaluta con opzioni di pagamento transfrontaliere, disponibili in 195 Paesi e in più di 135 valute.

• Unificare i pagamenti di persona e online: segui e riconcilia facilmente i pagamenti con wallet sui canali online e di persona.

• Migliorare le prestazioni dei pagamenti: aumenta i ricavi con una gamma di strumenti di pagamento personalizzabili e facili da configurare, tra cui la protezione contro le frodi no-code e funzionalità avanzate per migliorare i tassi di autorizzazione.

• Stare al passo con la rapidità operativa grazie a una piattaforma flessibile e affidabile per la crescita: sfrutta una piattaforma progettata per crescere insieme a te, con uno storico di operatività del 99,999% e un'affidabilità leader nel settore.

Scopri di più come Stripe Payments può supportare i tuoi pagamenti online e di persona, oppure inizia oggi stesso.