Un token vault archivia la mappatura che sostituisce il primary account number (PAN) con un valore token. In questo modo il database di un'attività, il flusso di checkout e gli strumenti di reportistica possono utilizzare tale token anziché dati di pagamento sensibili. Solo il vault può ricondurre il token al PAN. Tale singolo punto di controllo riduce l'ambito di compliance del Payment Card Industry Data Security Standard (PCI DSS), supporta l'addebito ricorrente e i rimborsi senza il ripetuto inserimento della carta e mantiene i dati di pagamento salvati utilizzabili senza esporli.

Si prevede che la tokenizzazione del circuito proteggerà all'incirca 2,4 trilioni di transazioni in tutto il mondo tra il 2026 e il 2030.

Di seguito illustreremo come i token vengono generati e detokenizzati, come differisce la struttura di un token rispetto al numero di una carta grezzo e come i token basati su vault sono paragonabili ai token emessi direttamente dai circuiti delle carte di credito.

In sintesi

• Un token vault archivia l'unica copia della mappatura PAN a token, pertanto un token intercettato ovunque all'interno del sistema non può essere convertito in dati della carta reali.

• La tokenizzazione dei PAN al primo contatto riduce l'ambito di valutazione PCI DSS di un'attività, qualificandola spesso per un questionario di autovalutazione più breve.

• Le configurazioni attuali spesso archiviano i token di rete in un vault per combinare portabilità e aggiornamenti automatici del ciclo di vita.

Che cos'è un token vault?

Un token vault è un archivio di dati sicuro che mantiene la mappatura tra dati di pagamento sensibili, ad esempio PAN, e valori dei token che li sostituiscono in un sistema di pagamento. Il vault stesso trattiene l'unica copia di questa mappatura. Tutto il resto (ad es. pagine di checkout, sistemi di fatturazione, strumenti di reportistica) rileva solo il token.

Come funziona un token vault?

Il flusso inizia al momento in cui il titolare della carta inserisce i dati di pagamento durante il checkout o la configurazione per un metodo di pagamento salvato. Dopodiché, il PAN entra in una sequenza definita.

Acquisizione (del pagamento)

Una pagina di checkout o un terminale raccoglie il PAN e lo invia mediante connessione crittografata direttamente al vault o al suo fornitore di servizi di pagamento. Il PAN non sfiora neanche i server dell'attività in modo non crittografato.

Generazione del token

Il motore di tokenizzazione del vault crea un token. Può generare sia un token che mantiene il formato in linea con la struttura del PAN o un token opaco, cioè una stringa arbitraria priva di relazione con il numero originale.

Spazio di archiviazione

Il vault salva la mappatura PAN a token nel proprio archivio dati crittografato e, quindi, invia in risposta il token al sistema chiamante.

Utilizzo quotidiano

I sistemi dell'attività archiviano e distribuiscono il token per addebito ricorrente, rimborsi e reportistica, ma nessuno di questi sistemi trattiene l'effettivo PAN.

Detokenizzazione

Quando si rende necessaria l'autorizzazione, il fornitore di servizi di pagamento invia una richiesta di detokenizzazione al vault. Il vault invia il PAN, o un token di rete in base alla configurazione, per tale specifica transazione mediante canale crittografato. Registra pertanto nel log la richiesta a scopo di revisione.

In cosa differisce un token dai dati della carta grezzi in un token vault?

Un PAN grezzo presenta una struttura fissa. In base a ISO/IEC 7812, le prime cifre da sei a otto identificano il circuito delle carte di credito e la banca emittente; le restanti cifre, fino a 19 in totale, identificano il conto. L'ultima cifra di controllo convalida l'intero numero tramite l'algoritmo di Luhn. Un token non ha alcuna relazione matematica con il PAN che sostituisce. Intercettarne uno durante il transito o in un database non fornisce a un pirata informatico alcun dato utilizzabile se non ha un accesso separato alla tabella di mappatura del vault e alle chiavi di decrittazione.

I vault in genere generano uno dei due formati di token:

• Token che mantengono il formato: questi trattengono la lunghezza del PAN e la struttura valida ai sensi dell'algoritmo di Luhn, incluse le prime sei cifre del bank identification number originale per fini di routing. In tal modo possono entrare nei campi del database esistenti e in sistemi legacy senza che lo schema cambi.

• Token opachi: queste sono stringhe alfanumeriche arbitrarie prive di somiglianza strutturale a un PAN. Sono adatte a stack di pagamento creati a ridosso di API (application programming interface) dove a valle nessuno attende l'input del formato della carta ed evitano in qualsiasi caso che un token sia scambiato per, o elaborato come, un vero numero di carta.

In che modo un token vault riduce il fardello per la compliance alle norme PCI?

L'ambito del PCI DSS valuta la dimora, il trasferimento e l'elaborazione dei dati dei titolari della carta. Per i valutatori questa area si definisce cardholder data environment (CDE). Poiché un token vault trattiene le sole copie dei PAN, tutti gli altri sistemi all'interno di un'attività che archiviano, trasferiscono o elaborano i token non rientrano nel CDE. Che pochi sistemi siano in contatto con i veri dati della carta significa che un valutatore dovrà esaminarne meno.

Tale riduzione dell'ambito incide in modo diretto su quale questionario di autovalutazione del PCI DSS sia applicabile. Un questionario di autovalutazione del PCI DSS è uno strumento di convalida che contiene una serie di domande a risposta chiusa (sì o no). Questi questionari consentono alle attività di valutare e segnalare la loro conformità nell'ambito della sicurezza con gli standard delle carte di pagamento. Per un'attività che gestisce i PAN grezzi all'interno dei propri sistemi è in genere d'obbligo compilare il questionario SAQ D, ovvero il più lungo. Un'attività che tokenizza al primo contatto e che non ha mai archiviato, elaborato o trasmesso un PAN sui propri sistemi può spesso qualificarsi per un questionario più breve, come l'SAQ A, che riguarda una serie decisamente inferiore di controlli.

I dati crittografati sono ancora reversibili a livello matematico per mezzo della giusta chiave, ma un token non possiede un valore indipendente al di fuori del vault specifico che lo ha generato. In combinazione dei due si verifica l'inattività dei dati per mezzo della crittografia all'interno del vault e la relativa tokenizzazione altrove, in questo modo viene creata una configurazione suddivisa per livelli dove la violazione dei sistemi dell'attività per se non espone i dati utilizzabili della carta.

In cosa differisce il token vaulting dalla tokenizzazione del Network?

Un circuito delle carte di credito emette un token direttamente, lo collega a un dispositivo specifico, a un'attività o a un caso d'uso e ne gestisce l'intero ciclo di vita. Se la carta di un titolare della carta viene riemessa (ad esempio dopo la scadenza o la sostituzione in seguito a una segnalazione di smarrimento o furto), un token di rete si aggiorna in background perché il circuito, e non l'attività, gestisce il collegamento tra il token e l'attuale carta attiva.

Un token solo nel vault non ha un meccanismo integrato per la gestione. Se il PAN sottostante cambia, la mappatura deve essere aggiornata tramite la procedura adottata dall'attività o dal suo fornitore. Questo può causare un pagamento non andato a buon fine finché non avviene l'aggiornamento. Dal momento che le banche emittenti possono riconoscere se un token di rete proviene da un dispositivo registrato o da un'attività, in genere registrano anche tassi di autorizzazione migliori.

Ma i token solo nel vault e i token di rete non sono approcci in competizione. Infatti, le configurazioni attuali spesso li combinano. Un vault può archiviare i token di rete anziché o insieme ai PAN, offrendo all'attività un sistema di archiviazione e consentendole allo stesso tempo di ricevere gli aggiornamenti automatici e i vantaggi dell'autorizzazione del circuito.

Come scegli il token vault giusto per la tua attività?

Non tutti i token vault risolvono lo stesso problema. Considera questi dettagli prima di impegnarti in merito a un vault:

• Portabilità: controlla se i token generati nel vault funzionano tra i responsabili del trattamento dei dati o se sono legati a un unico fornitore. Un vault collegato a un fornitore del trattamento dei dati può limitare la tua capacità di aggiungere o cambiare fornitori in un momento successivo senza ritokenizzare ogni carta salvata.

• Complessità dell'integrazione: scopri quanto tempo ci vuole per instradare i PAN nel vault e recuperare i token e se, tra l'altro, occorre o meno apportare modifiche di codice a pagine di checkout, mobile software development kit (SDK) e sistemi di back-end o basta modificarne la configurazione.

• Certificazioni di conformità: conferma che il fornitore di servizi sia di livello 1 PCI e in grado di generare una dichiarazione di conformità, in quanto è ciò che un revisore richiederebbe.

• Supporto per token di rete: verifica se il vault è in grado di richiedere, archiviare e aggiornare i token di rete tra vari circuiti (ad es. Visa, Mastercard, American Express, Discover) anziché tra uno o due circuiti soltanto.

• Controlli di detokenizzazione: valuta chi può richiedere che dal vault il PAN torni indietro, in quali condizioni e come tali richieste vengono registrate in log. I revisori valutano molto attentamente i controlli di accesso.

L'API Vault and Forward di Stripe archivia i token e provvede alla tokenizzazione del circuito nativa, in tal modo una carta salvata ottiene gli aggiornamenti automatici del ciclo di vita senza che si renda necessaria l'integrazione e si consente a un'attività di instradare richieste di autorizzazione a un responsabile del trattamento dei dati scelto dalla stessa.

In che modo Stripe Payments può esserti d'aiuto

Stripe Payments offre una soluzione di pagamento unificata e globale che aiuta qualsiasi attività, dalle start-up in fase di espansione alle multinazionali, ad accettare pagamenti online, di persona e in tutto il mondo.

Con Stripe Payments puoi:

• Ottimizza la tua esperienza di checkout: crea un'esperienza cliente fluida e risparmia migliaia di ore di progettazione grazie alle UI di pagamento predefinite, all'accesso a oltre 125 metodi di pagamento e a Link, un wallet integrato di Stripe.

• Espanderti più rapidamente in nuovi mercati: raggiungi clienti in tutto il mondo e riduci le complessità e i costi della gestione multivaluta con opzioni di pagamento transfrontaliere, disponibili in 195 Paesi e in oltre 135 valute.

• Unificare i pagamenti di persona e online: crea un'esperienza di commercio unificato su canali online e di persona per personalizzare le interazioni, premiare la fedeltà e aumentare i ricavi.

• Migliorare le prestazioni dei pagamenti: aumenta i ricavi con una gamma di strumenti di pagamento personalizzabili e facili da configurare, tra cui la protezione contro le frodi no-code e funzionalità avanzate per migliorare i tassi di autorizzazione.

• Operare più velocemente con una piattaforma flessibile e affidabile per la crescita: utilizza una piattaforma progettata per crescere insieme a te, con tempi di operatività del 99,999% e un'affidabilità leader nel settore.

Scopri di più su come Stripe Payments può supportare i tuoi pagamenti online e di persona oppure inizia oggi stesso.