Un almacén de tokens guarda la asignación que reemplaza un número de cuenta principal (PAN) por el valor de un token. Esto permite que la base de datos de una empresa, el proceso de compra y las herramientas de elaboración de informes usen ese token en lugar de las credenciales de pago confidenciales. Solo el almacén puede volver a conectar el token con el PAN. Ese único punto de control reduce el alcance del cumplimiento de la normativa para el Estándar de seguridad de datos para la industria de las tarjetas de pago (PCI DSS), admite la facturación recurrente y los reembolsos sin tener que ingresar la tarjeta reiteradas veces, y mantiene los datos de pago almacenados en condiciones de uso sin exponerlos.

Se prevé que la tokenización de red proteja casi 2.4 billones de transacciones a nivel mundial entre 2026 y 2030.

A continuación, explicaremos cómo se generan los tokens y cómo se descifran, cómo la estructura de un token difiere del número original de la tarjeta y cómo los tokens basados en un almacén se comparan con los tokens que las redes de tarjetas emiten directamente.

Puntos clave

• Un almacén de tokens guarda la única copia de la asignación del PAN al token, lo que significa que un token que se intercepta en cualquier otro lugar del sistema no se puede volver a revertir a los datos de la tarjeta real.

• La tokenización de los PAN en el primer contacto reduce el alcance de la evaluación del PCI DSS de una empresa y, a menudo, la califica para un cuestionario de autoevaluación más corto.

• Las configuraciones actuales a menudo almacenan tokens de red dentro de un almacén para combinar la portabilidad con actualizaciones automáticas del ciclo de vida.

¿Qué es un almacén de tokens?

Un almacén de tokens es un almacén de datos seguros que guarda la asignación entre las credenciales de pago confidenciales, como los PAN, y los valores de los tokens que las reemplazan en un sistema de pago. El almacén en sí guarda la única copia de esa asignación. Todo lo demás (p. ej., las páginas de confirmación de compra, los sistemas de facturación y las herramientas de elaboración de informes) solo ve el token.

¿Cómo funciona un almacén de tokens?

El flujo comienza en el momento en que un titular de tarjeta ingresa la información de pago en la página de confirmación de compra o durante la configuración de un método de pago almacenado. A partir de allí, el PAN atraviesa una secuencia definida.

Captura

Una página de confirmación de compra o un terminal recopila el PAN y lo envía a través de una conexión cifrada, directamente al almacén o a su proveedor de servicios de pago. El PAN nunca entra en contacto con los propios servidores de la empresa sin estar cifrado.

Generación de tokens:

El motor de tokenización del almacén crea un token. Puede generar un token que conserva el formato, que coincide con la estructura del PAN, o bien uno opaco, que es una cadena arbitraria que no tiene ninguna relación estructural con el número original.

Almacenamiento

El almacén guarda la asignación del PAN al token en su almacén de datos cifrados y, a continuación, devuelve el token al sistema que realiza la llamada.

Uso cotidiano

Los sistemas de la empresa almacenan y transmiten el token para realizar la facturación recurrente, los reembolsos y la elaboración de informes, pero ninguno de esos sistemas guarda nunca el PAN en sí.

Descifrado

Cuando se debe realizar una autorización, el proveedor de servicios de pago envía una solicitud de descifrado al almacén. El almacén devuelve el PAN, o un token de red, según la configuración, para esa transacción específica a través de un canal cifrado. Luego, guarda un registro de la solicitud para fines de auditoría.

¿En qué se diferencia un token de los datos de tarjetas originales en un almacén de tokens?

Un PAN original tiene una estructura fija. Según la normativa ISO/IEC 7812, los primeros de seis a ocho dígitos identifican a la red de tarjetas y al banco emisor; el resto de los dígitos, hasta un total de 19, identifica a la cuenta. Un dígito de control final valida el número completo mediante el algoritmo de Luhn. Un token no tiene ninguna relación matemática con el PAN que reemplaza. Si se intercepta uno en tránsito o en una base de datos, el atacante no obtiene nada que se pueda usar, a menos que tenga acceso independiente a la tabla de asignación del almacén y a las claves de descifrado.

En general, los almacenes producen uno de los dos formatos de tokens:

• Tokens que conservan el formato: estos conservan la longitud del PAN y la estructura válida de Luhn, incluidos los primeros seis dígitos del número de identificación bancaria original para fines de enrutamiento. Eso significa que pueden ingresar a campos de base de datos existentes y sistemas heredados sin cambios de esquema.

• Tokens opacos: estas son cadenas alfanuméricas arbitrarias sin similitud estructural a un PAN. Se adaptan a las pilas de pago creadas en torno a las interfaces de programación de aplicaciones (API), donde nada de lo que está después espera información con forma de tarjeta y eliminan cualquier posibilidad de que un token se confunda con un número de tarjeta real o de que se procese como este.

¿Cómo el almacén de tokens reduce la carga relacionada con el cumplimiento de la normativa PCI?

El alcance de PCI DSS se reduce al lugar donde residen, se mueven o se procesan los datos del titular de tarjeta. A este área, los evaluadores la denominan entorno de datos del titular de la tarjeta (CDE). Como el almacén de tokens guarda las únicas copias del PAN, cualquier otro sistema en la empresa que almacene, transmita o procese tokens no forma parte del CDE. Contar con menos sistemas que estén en contacto con los datos reales de las tarjetas significa que el evaluador debe examinar una menor cantidad de sistemas.

Esta reducción en el alcance afecta de manera directa a cuál cuestionario de autoevaluación (SAQ) del PCI DSS se debe aplicar. Un SAQ del PCI DSS es una herramienta de validación que contiene una serie de preguntas a las que hay que responder que sí o que no. Esto les permite a las empresas evaluar y reportar su cumplimiento de la seguridad con los estándares de las tarjetas de pago. Una empresa que maneja PAN originales a través de sus propios sistemas en general debe rellenar el SAQ D, el cuestionario más largo. Una empresa que realiza la tokenización durante el primer contacto y nunca almacena, procesa o transmite PAN en sus propios sistemas, a menudo, puede reunir los requisitos para un cuestionario más corto, como el SAQ A, que incluye un grupo más reducido de controles.

Los datos cifrados siguen siendo matemáticamente reversibles con la clave correcta, pero un token no tiene ningún valor independiente fuera del almacén específico que lo generó. Cuando se combinan los dos (cifrar los datos en reposo dentro del almacén y realizar la tokenización en cualquier lugar fuera de este), se crea una configuración en capas en la que una vulneración en los sistemas de la empresa por sí sola no expone datos de tarjeta que se puedan usar.

¿En qué se diferencia el almacenamiento de tokens de la tokenización de red?

Una red de tarjetas emite un token directamente, lo vincula a un dispositivo, empresa o caso de uso específico y luego administra todo el ciclo de vida del token por sí misma. Si la tarjeta de un titular de tarjeta se vuelve a emitir (p. ej., después de que caduca o se reemplaza después de un informe de pérdida o robo), un token de red se actualiza en segundo plano porque la red, y no la empresa, mantiene el enlace entre el token y la tarjeta activa actual.

Un token de solo almacenamiento no tiene un mecanismo de mantenimiento integrado. Si el PAN subyacente cambia, la asignación se debe actualizar mediante cualquier proceso que la empresa o su proveedor de servicios tengan implementado. Eso puede generar un pago rechazado hasta que se realice la actualización. Dado que los emisores pueden reconocer si un token de red proviene de un dispositivo o de una empresa registrados, también suelen ver mejores tasas de aprobación.

Sin embargo, los tokens de solo almacenamiento y los tokens de red no son enfoques que compitan entre sí. De hecho, las configuraciones actuales a menudo los combinan. Un almacén puede guardar tokens de red en lugar de, o junto con, PAN, lo que le da a la empresa un sistema de almacenamiento a la vez que le permite recibir las actualizaciones automáticas y los beneficios de autorización de la red.

¿Cómo eliges el almacén de tokens adecuado para tu empresa?

No todos los almacenes de tokens resuelven el mismo problema. Considera estos detalles antes de comprometerte con uno:

• Portabilidad: verifica si los tokens generados en el almacén funcionan en distintos procesadores o si están bloqueados para un solo proveedor de servicios. Un almacén vinculado a un procesador puede limitar tu capacidad para agregar proveedores de servicios o cambiar de uno a otro más adelante sin tener que volver a crear tokens para cada tarjeta almacenada.

• Complejidad de integración: averigua cuánto trabajo se necesita para enrutar los PAN al almacén y recuperar tokens, lo que incluye saber si las páginas de confirmación de compra existentes, los kits de desarrollo de software (SDK) para dispositivos móviles y los sistemas back-end necesitan cambios en el código o solo configuración.

• Certificaciones de cumplimiento de la normativa: confirma que el proveedor del almacén es un proveedor de servicios de nivel 1 de la normativa PCI y puede emitir un atestación de cumplimiento, dado que eso es lo que te pedirá tu propio auditor.

• Soporte de token de red: verifica que el almacén pueda solicitar, almacenar y actualizar tokens de red en varias redes (p. ej., Visa, Mastercard, American Express o Discover) en lugar de en solo una o dos.

• Controles de descifrado: entiende quién le puede solicitar nuevamente al almacén un PAN, bajo qué condiciones y cómo se registran esas solicitudes. Los auditores analizan detenidamente los controles de acceso.

La API Vault and Forward de Stripe almacena los tokens junto con la tokenización de red nativa para que una tarjeta guardada reciba actualizaciones automáticas de su ciclo de vida sin tener que realizar ningún trabajo adicional de integración, y permite a una empresa enrutar las solicitudes de autorización al procesador que elija.

Cómo puede ayudar Stripe Payments

Stripe Payments proporciona una solución de pagos unificada y global que ayuda a cualquier empresa, desde startups en expansión hasta empresas globales, a aceptar pagos en línea, en persona y en todo el mundo.

Con Stripe Payments, puedes hacer lo siguiente:

• Optimiza tu experiencia de proceso de compra: crea una experiencia para el cliente sin fricciones y ahorra miles de horas de ingeniería con interfaces de usuario de pago prediseñadas, acceso a más de 125 métodos de pago y Link, una cartera digital diseñada por Stripe.

• Llegar a nuevos mercados más rápido: conéctate con clientes de todo el mundo y reduce la complejidad y los costos de la gestión de múltiples monedas mediante opciones de pago transfronterizas, disponibles en 195 países y en más de 135 monedas.

• Unificar los pagos en persona y en línea: crea una experiencia de comercio unificado en todos los canales, tanto en línea como en persona, para personalizar las interacciones, recompensar la lealtad y aumentar los ingresos.

• Mejorar el rendimiento de los pagos: aumenta los ingresos con una gama de herramientas de pago personalizables y que no requieren programación, que incluyen protección contra fraudes y que no requieren programación y funcionalidades avanzadas para mejorar las tasas de autorización.

• Avanzar más rápido con una plataforma flexible y confiable para el crecimiento: desarrolla tu negocio a partir de una plataforma diseñada para crecer contigo, con un tiempo de actividad histórico del 99.999 % y una confiabilidad líder en el sector.

Obtén más información sobre cómo Stripe Payments puede potenciar tus pagos en línea y en persona, o empieza hoy.