Een token vault slaat de koppeling op die een primair rekeningnummer (PAN) vervangt door een tokenwaarde. Hierdoor kunnen de database, het afrekenproces en de rapportagetools van een onderneming dat token gebruiken in plaats van gevoelige betaalgegevens. Alleen de vault kan het token terugkoppelen aan de PAN. Dat ene controlepunt vermindert de compliancescope voor de Payment Card Industry Data Security Standard (PCI DSS), ondersteunt terugkerende facturatie en terugbetalingen zonder herhaalde invoer van de betaalkaart en houdt opgeslagen betaalgegevens bruikbaar zonder deze bloot te stellen.

Netwerktokenisatie zal naar verwachting wereldwijd ongeveer 2,4 biljoen transacties beveiligen tussen 2026 en 2030.

Hieronder leggen we uit hoe tokens worden gegenereerd en gedetokeniseerd, hoe de structuur van een token verschilt van een onbewerkt kaartnummer en hoe tokens op basis van een vault zich verhouden tot de tokens die kaartnetwerken rechtstreeks uitgeven.

Kernpunten

• Een token vault slaat de enige kopie van de PAN-naar-token-koppeling op, wat betekent dat een token dat ergens anders in het systeem wordt onderschept, niet kan worden omgezet naar echte kaartgegevens.

• Het tokeniseren van PAN's bij het eerste contact vermindert de PCI DSS-beoordelingsscope van een onderneming, waardoor deze vaak in aanmerking komt voor een kortere zelfbeoordelingsvragenlijst.

• Huidige configuraties slaan vaak netwerktokens op in een vault om draagbaarheid te combineren met automatische levenscyclusupdates.

Wat is een token vault?

Een token vault is een beveiligde gegevensopslag die de koppeling bevat tussen gevoelige betaalgegevens, zoals PAN's, en de tokenwaarden die deze vervangen in een betaalsysteem. De vault zelf bevat de enige kopie van die koppeling. Al het andere (bijv. afrekenpagina's, facturatiesystemen, rapportagetools) ziet alleen het token.

Hoe werkt een token vault?

Het proces begint op het moment dat een kaarthouder betaalgegevens invoert bij het afrekenen of tijdens de configuratie voor een opgeslagen betaalmethode. Vanaf dat moment doorloopt de PAN een gedefinieerde reeks stappen.

Vastleggen

Een afrekenpagina of betaalterminal verzamelt de PAN en verzendt deze via een versleutelde verbinding rechtstreeks naar de vault of de betaaldienstverlener. De PAN raakt de eigen servers van de onderneming nooit onversleuteld.

Genereren van tokens

De tokenisatie-engine van de vault creëert een token. Het kan ofwel een formaatbehoudend token genereren, dat overeenkomt met de structuur van de PAN, of een ondoorzichtig token, dat een willekeurige tekenreeks is zonder structurele relatie met het oorspronkelijke nummer.

Opslag

De vault slaat de PAN-naar-token-koppeling op in zijn versleutelde gegevensopslag en retourneert vervolgens het token naar het aanroepende systeem.

Dagelijks gebruik

De systemen van de onderneming slaan het token op en geven het door voor terugkerende facturatie, terugbetalingen en rapportage, maar geen van die systemen bewaart ooit de daadwerkelijke PAN.

Detokenisatie

Wanneer er een autorisatie moet plaatsvinden, verzendt de betaaldienstverlener een detokenisatieverzoek naar de vault. De vault retourneert de PAN, of een netwerktoken afhankelijk van de configuratie, voor die specifieke transactie via een versleuteld kanaal. Vervolgens wordt het verzoek in het logboek geregistreerd voor auditdoeleinden.

Hoe verschilt een token van onbewerkte kaartgegevens in een token vault?

Een onbewerkte PAN heeft een vaste structuur. Volgens ISO/IEC 7812 identificeren de eerste zes tot acht cijfers het kaartnetwerk en de uitgevende bank; de overige cijfers, maximaal 19 in totaal, identificeren het account. Een laatste controlecijfer valideert het hele nummer met behulp van het Luhn-algoritme. Een token heeft geen wiskundige relatie tot de PAN die deze vervangt. Het onderscheppen van een token tijdens de overdracht of in een database levert een aanvaller niets bruikbaars op, tenzij deze afzonderlijk toegang heeft tot de koppelingstabel en decryptiesleutels van de vault.

Vaults produceren doorgaans een van de twee tokenindelingen:

• Formaatbehoudende tokens: Deze behouden de lengte van de PAN en de Luhn-geldige structuur, inclusief de eerste zes cijfers van het oorspronkelijke bankidentificatienummer voor routingdoeleinden. Dat betekent dat ze kunnen worden ingevoegd in bestaande databasevelden en oudere systemen zonder schemawijzigingen.

• Ondoorzichtige tokens: Dit zijn willekeurige alfanumerieke tekenreeksen zonder structurele gelijkenis met een PAN. Ze zijn geschikt voor betaalstacks die zijn gebouwd rond API's (Application Programming Interfaces), waarbij niets in het verdere proces kaartvormige invoer verwacht, en ze nemen elke kans weg dat een token wordt aangezien voor of verwerkt als een echt kaartnummer.

Hoe vermindert een token vault je PCI-compliance-lasten?

PCI DSS-scope komt neer op waar kaarthoudergegevens zich bevinden, verplaatsen of worden verwerkt. Dit is een gebied dat beoordelaars de cardholder data environment (CDE) noemen. Omdat een token vault de enige kopieën van PAN's bevat, valt elk ander systeem in de onderneming dat tokens opslaat, verzendt of verwerkt buiten de CDE. Minder systemen die echte kaartgegevens aanraken, betekent minder systemen die een beoordelaar hoeft te onderzoeken.

Deze scopereductie heeft direct invloed op welke PCI DSS-zelfbeoordelingsvragenlijst (SAQ) van toepassing is. Een PCI DSS-SAQ is een validatietool die een reeks ja-of-nee-vragen bevat; hiermee kunnen ondernemingen hun beveiligingscompliance ten aanzien van betaalkaartstandaarden evalueren en rapporteren. Een onderneming die onbewerkte PAN's verwerkt via zijn eigen systemen, moet doorgaans SAQ D, de langste vragenlijst, invullen. Een onderneming die tokeniseert bij het eerste contact en nooit PAN's op zijn eigen systemen opslaat, verwerkt of verzendt, kan vaak in aanmerking komen voor een kortere vragenlijst, zoals SAQ A, die een veel kleinere reeks controles omvat.

Versleutelde gegevens zijn nog steeds wiskundig omkeerbaar met de juiste sleutel, maar een token heeft geen onafhankelijke waarde buiten de specifieke vault die deze heeft gegenereerd. Wanneer je de twee combineert door in rust zijnde gegevens binnen de vault te versleutelen en ze overal buiten de vault te tokeniseren, creëer je een gelaagde opzet waarbij een inbreuk op alleen de systemen van de onderneming geen bruikbare kaartgegevens blootlegt.

Hoe verschilt een token vault van netwerktokenisatie?

Een kaartnetwerk geeft rechtstreeks een token uit, koppelt dit aan een specifiek apparaat, onderneming of toepassing, en beheert vervolgens zelf de gehele levenscyclus van het token. Als de betaalkaart van een kaarthouder opnieuw wordt uitgegeven (bijv. nadat deze is verlopen of is vervangen na een melding van verlies of diefstal), wordt een netwerktoken op de achtergrond bijgewerkt, omdat het netwerk, en niet de onderneming, de link behoudt tussen het token en de huidige actieve betaalkaart.

Een token dat alleen via een vault werkt, heeft geen ingebouwd mechanisme voor onderhoud. Als de onderliggende PAN verandert, moet de koppeling worden vernieuwd via de procedure die de onderneming of de leverancier hanteert. Dat kan leiden tot een mislukte betaling totdat de update plaatsvindt. Omdat uitgevende banken kunnen herkennen of een netwerktoken afkomstig is van een geregistreerd apparaat of een geregistreerde onderneming, zien ze doorgaans ook betere acceptatiepercentages.

Tokens die alleen via een vault werken en netwerktokens zijn echter geen concurrerende benaderingen. In feite combineren huidige configuraties ze vaak. Een vault kan netwerktokens opslaan in plaats van, of naast, PAN's, wat een onderneming een opslagsysteem biedt terwijl deze nog steeds de automatische updates en autorisatievoordelen van het netwerk ontvangt.

Hoe kies je de juiste token vault voor je onderneming?

Niet elke token vault lost hetzelfde probleem op. Houd rekening met deze details voordat je je vastlegt op een vault:

• Draagbaarheid: Controleer of in de vault gegenereerde tokens werken in verschillende verwerkers, of dat ze zijn vergrendeld aan één provider. Een vault die is gekoppeld aan één verwerker kan je mogelijkheid beperken om later providers toe te voegen of te wijzigen zonder elke opgeslagen betaalkaart opnieuw te tokeniseren.

• Integratiecomplexiteit: Ontdek hoeveel werk het is om PAN's naar de vault te leiden en tokens op te halen, inclusief of bestaande afrekenpagina's, mobiele Software Development Kits (SDK's) en backendsystemen codewijzigingen of alleen configuratie nodig hebben.

• Compliancecertificeringen: Bevestig dat de leverancier van de vault een PCI Level 1-dienstverlener is en een verklaring van compliance kan overleggen, aangezien je eigen auditor daar om zal vragen.

• Ondersteuning van netwerktokens: Controleer of de vault netwerktokens kan aanvragen, opslaan en vernieuwen voor meerdere netwerken (bijv. Visa, Mastercard, American Express, Discover) in plaats van slechts één of twee netwerken.

• Detokenisatiecontroles: Begrijp wie een PAN kan terugvragen bij de vault, onder welke omstandigheden en hoe die verzoeken worden geregistreerd in het logboek. Auditors onderzoeken toegangscontroles nauwkeurig.

De Vault and Forward-API van Stripe slaat tokens op naast de systeemeigen netwerktokenisatie, zodat een opgeslagen betaalkaart automatische levenscyclusupdates krijgt zonder extra integratiewerk. Bovendien kan een onderneming autorisatieverzoeken leiden naar een verwerker naar keuze.

Hoe Stripe Payments kan helpen

Stripe Payments biedt een uniforme, wereldwijde betaaloplossing die elke onderneming, van groeiende start-ups tot internationale ondernemingen, helpt om online, fysiek en wereldwijd betalingen te ontvangen.

Stripe Payments kan je helpen:

• Optimaliseer je afrekenervaring: Creëer een wrijvingsloze klantervaring en bespaar duizenden uren van technici met kant-en-klare betaal-UI's, toegang tot meer dan 125 betaalmethoden en Link, een digitale wallet die is gebouwd door Stripe.

• Sneller uit te breiden naar nieuwe markten: bereik klanten over de hele wereld en verminder de complexiteit en kosten van multivalutabeheer met grensoverschrijdende betaalopties, beschikbaar in 195 landen in 135+ valuta.

• Fysieke en online betalingen samen te voegen: bouw een unified commerce-ervaring op via online en fysieke kanalen om interacties te personaliseren, loyaliteit te belonen en inkomsten te laten groeien.

• De betaalprestaties te verbeteren: verhoog inkomsten met een reeks aanpasbare, eenvoudig te configureren betaaltools, waaronder fraudebescherming zonder code en geavanceerde mogelijkheden om autorisatiepercentages te verbeteren.

• Sneller te werken met een flexibel, betrouwbaar platform voor groei: bouw voort op een platform dat is ontworpen om met jou mee te groeien, met een historische uptime van 99,999% en toonaangevende betrouwbaarheid.

Lees meer over hoe Stripe Payments je online en fysieke betalingen kan ondersteunen of ga vandaag nog aan de slag.