¿Qué es Bóveda de tarjetas?
Un almacén de credenciales de tarjeta tokenizadas compatible con PCI DSS que permite a un comercio volver a cargar una tarjeta sin tener el PAN.
Una bóveda de tarjetas es un sistema seguro y compatible con PCI DSS que se utiliza para almacenar detalles sensibles de tarjetas de pago, principalmente el Número de Cuenta Principal (PAN).
Su función principal es reducir la carga de cumplimiento de un comercio al delegar el almacenamiento de estos datos peligrosos a un tercero certificado, como una pasarela de pago o un PSP.
En lugar de tener el PAN, el comercio almacena un valor sustituto no sensible conocido como token.
Este token actúa como referencia, permitiendo al comercio iniciar pagos futuros sin tocar nunca la información bruta del titular de la tarjeta, lo que reduce significativamente sus obligaciones PCI DSS.
Cuando un cliente realiza su primera compra, los detalles de su tarjeta se envían directamente al entorno seguro del proveedor de la bóveda. La bóveda devuelve un token único al comercio, que se guarda en el perfil del cliente.
Para transacciones posteriores, como una suscripción recurrente o un pago con un solo clic, el comercio simplemente envía este token y el importe de la transacción al proveedor de pagos.
El proveedor utiliza el token para recuperar el PAN almacenado de forma segura y procesar el pago. Un punto común de confusión es la portabilidad de estos tokens.
La mayoría de los tokens de bóveda básicos, a menudo llamados tokens de pasarela o PSP, son propietarios.
Esto significa que están vinculados a un proveedor de pagos específico, lo que crea dependencia y dificulta que un comercio cambie de proveedor sin someterse a un proyecto de migración de datos complejo y costoso.
Ejemplo práctico
Un cliente se suscribe a un producto SaaS por 29,99 £ al mes. Durante el registro inicial, introduce los detalles de su Mastercard en el formulario de pago.
Estos detalles se transmiten directamente a la bóveda compatible con PCI DSS Nivel 1 de Cardflo, evitando por completo los servidores del comercio SaaS. La bóveda de Cardflo almacena el PAN y devuelve un token único y no sensible, por ejemplo, `Cflo_tok_xyz789`, al comercio.
El comercio almacena este token en su base de datos, asociado a la suscripción del cliente.
Un mes después, el sistema de facturación del comercio inicia automáticamente una Transacción Iniciada por el Comercio (MIT) enviando una solicitud a la API de Cardflo que contiene el token `Cflo_tok_xyz789` y el importe de 29,99 £.
Cardflo recupera los detalles de la tarjeta subyacente y procesa el pago, sin exponer nunca el PAN al comercio. Este proceso reduce en gran medida el alcance PCI del comercio y el riesgo de una violación de datos.
Notas de los esquemas
El concepto de bóveda es una tecnología específica del proveedor, no un producto directo del esquema de tarjetas. Sin embargo, las bóvedas modernas están profundamente integradas con los servicios del esquema.
Tanto Visa (a través de su Visa Token Service, VTS) como Mastercard (Mastercard Digital Enablement Service, MDES) abogan firmemente por el uso de tokens de red.
Las bóvedas avanzadas, como las proporcionadas por Cardflo, se integran con VTS y MDES para aprovisionar estos tokens nativos del esquema en lugar de, o además de, los tokens de pasarela propietarios.
Mientras que una bóveda básica almacena el PAN estático, una conectada a los servicios de tokenización del esquema puede asegurar que la credencial de pago permanezca 'activa' incluso si la tarjeta física se pierde o caduca,
ya que los esquemas y emisores actualizan el token en segundo plano. Esta es una ventaja significativa sobre las bóvedas que solo admiten tokens propietarios.
Por qué importa a los comercios
La implementación de una bóveda de tarjetas es fundamental para cualquier comercio que maneje transacciones con tarjeta en archivo, como negocios de suscripción o tiendas de comercio electrónico con pago con un solo clic.
El principal beneficio es la drástica reducción del alcance de cumplimiento de PCI DSS, lo que ahorra una cantidad significativa de tiempo y dinero en auditorías de seguridad e infraestructura.
Al evitar que los datos brutos de la tarjeta toquen los sistemas del comercio, una bóveda también minimiza el daño reputacional y financiero de una posible violación de datos.
Sin embargo, los comercios deben ser conscientes de la dependencia del proveedor asociada con los tokens de bóveda propietarios.
El uso de un proveedor como Cardflo, cuya bóveda admite tokens de red y ofrece servicios seguros de migración de tokens, proporciona mayor flexibilidad y permite a los comercios enrutar transacciones a través de múltiples adquirentes,
optimizando los costes y las tasas de aprobación sin estar atados a una única pasarela.
Preguntas frecuentes
¿Cómo afecta el uso de una bóveda al alcance PCI DSS de un comercio?
La utilización de una bóveda de terceros puede reducir significativamente los requisitos de auditoría PCI DSS de un comercio, lo que a menudo les permite calificar para Cuestionarios de Autoevaluación más simples como SAQ A o SAQ A-EP.
Debido a que el comercio nunca almacena, procesa o transmite PANs brutos en sus propios servidores, las obligaciones de seguridad para su infraestructura interna disminuyen en gran medida.
¿Cuál es la diferencia entre una bóveda específica de PSP y una solución agnóstica a la bóveda?
Una bóveda específica de PSP vincula los tokens a un único adquirente, lo que puede llevar a la dependencia del proveedor porque esos tokens pueden no ser portátiles a una pasarela diferente.
Un proveedor de bóveda agnóstico o independiente permite al comercio almacenar datos de forma centralizada y enrutar transacciones a múltiples adquirentes, proporcionando mayor flexibilidad y redundancia en su pila de pagos.
¿Cuál es la diferencia entre un token de bóveda y un token de red?
Un token de bóveda (o token de pasarela) es un identificador propietario creado por un proveedor de pagos específico. Solo se reconoce dentro del ecosistema de ese proveedor, lo que lleva a la dependencia del proveedor.
Un token de red es creado por los propios esquemas de tarjetas (Visa, Mastercard) y es interoperable en cualquier proveedor de pagos que esté integrado con el servicio de tokens del esquema.
Los tokens de red son generalmente superiores, ya que el emisor los actualiza automáticamente, lo que reduce los rechazos por tarjetas caducadas.
¿El uso de una bóveda me hace totalmente compatible con PCI?
El uso de una bóveda reduce significativamente el alcance de cumplimiento de PCI DSS, pero no lo elimina por completo. Todavía se le exige que complete un Cuestionario de Autoevaluación (SAQ), normalmente SAQ A, que es la forma más sencilla.
Esto certifica que ha externalizado todas las funciones de datos del titular de la tarjeta a un tercero compatible. Sus propias prácticas de seguridad para su sitio web y sistemas siguen siendo importantes.
¿Puedo mover mis tarjetas almacenadas de un PSP a otro?
Sí, pero puede ser un proceso complejo y costoso. Requiere una transferencia segura de datos entre los proveedores antiguos y nuevos compatibles con PCI, lo que implica coordinación y tarifas de ambas partes.
Para evitar esta dependencia, es preferible utilizar un proveedor que admita tokens de red desde el principio, ya que estos son portátiles. Alternativamente, elija un proveedor con una política clara y justa sobre la migración de datos.
¿Una bóveda ayuda con las tasas de autorización?
Una bóveda básica en sí misma no mejora directamente las tasas de autorización; es principalmente una herramienta de seguridad y cumplimiento.
Sin embargo, una bóveda moderna que esté integrada con servicios como la tokenización de red y el Actualizador de Cuentas mejorará significativamente las tasas de aprobación.
Estos servicios integrados aseguran que las credenciales almacenadas permanezcan actualizadas, evitando rechazos debido a tarjetas caducadas o reemitidas y reduciendo la rotación involuntaria.
¿Una bóveda es solo para pagos de suscripción?
No, si bien las bóvedas son esenciales para suscripciones y facturación recurrente, también son ampliamente utilizadas por los comerciantes de comercio electrónico para ofrecer la funcionalidad de 'tarjeta en archivo' o 'pago con un solo clic'.
Esta conveniencia acelera drásticamente el proceso de compra para los clientes recurrentes, lo que puede conducir a mayores tasas de conversión y una mayor lealtad del cliente. Cualquier comerciante que desee almacenar la tarjeta de un cliente para uso futuro necesita una bóveda.
See how Bóveda de tarjetas plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Términos relacionados
Un token emitido por el esquema que reemplaza el PAN de extremo a extremo y se actualiza automáticamente cuando se reemite la tarjeta subyacente.
Sustitución de datos sensibles de tarjetas por un valor sustituto no sensible que puede almacenarse y reutilizarse sin el alcance de PCI.
El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago, el marco exigido por el esquema para el manejo de datos de titulares de tarjetas.
Un cargo iniciado por el comercio contra una credencial previamente almacenada, sin que el titular de la tarjeta esté presente.
Guías relacionadas.
¿Listo para mejorar tu configuración de pagos?
Cuéntenos sobre su negocio. Le emparejaremos con los socios adquirentes adecuados y la ruta correcta, normalmente en una semana.