O que é Tokenização?
Substituição de dados sensíveis do cartão por um valor substituto não sensível que pode ser armazenado e reutilizado sem o âmbito PCI.
A tokenização é um processo fundamental de segurança de dados que substitui um elemento de dados sensíveis, como um Número de Conta Primário (PAN) de 16 dígitos, por um equivalente não sensível conhecido como 'token'.
Este token não tem valor extrínseco ou explorável; é simplesmente uma referência aos dados originais, que são armazenados de forma segura num ambiente compatível com PCI DSS chamado vault.
Ao usar tokens para iniciar pagamentos, os comerciantes podem evitar o manuseio e o armazenamento de dados brutos do titular do cartão nos seus próprios sistemas.
Isto reduz drasticamente o seu âmbito de conformidade com o PCI DSS, mitiga o risco associado a uma violação de dados e remove informações perigosas do seu ambiente.
Existem dois tipos principais de tokenização. O primeiro é a tokenização de gateway (ou PSP), onde o fornecedor de pagamento cria um token proprietário que só pode ser usado dentro do seu próprio ecossistema de processamento.
Isto é eficaz para a segurança, mas pode levar ao bloqueio do fornecedor. A segunda forma, mais avançada, é a tokenização de rede.
Aqui, os próprios esquemas de cartão (Visa, Mastercard) emitem o token. Estes tokens de rede são interoperáveis entre diferentes fornecedores de pagamento e, crucialmente, são automaticamente atualizados pelo banco emissor quando o cartão físico de um cliente é substituído ou expira.
Esta persistência é uma vantagem chave, melhorando diretamente as taxas de autorização para transações recorrentes e de cartão em arquivo. Um equívoco comum é que a tokenização é o mesmo que a encriptação.
A encriptação usa uma chave para embaralhar dados e pode ser revertida com a mesma chave, enquanto um valor devidamente tokenizado não pode ser engenharia reversa de volta ao PAN original.
Exemplo prático
Um cliente faz uma compra de £75 num website de comércio eletrónico pela primeira vez. No Checkout, ele insere os detalhes do seu cartão.
O gateway de pagamento do comerciante usa tokenização. Os dados brutos do cartão são enviados diretamente para o vault seguro do gateway, nunca tocando no servidor do comerciante.
O vault do gateway responde com um token, por exemplo `gtwy_tok_123abc`, que o comerciante armazena na conta do cliente para uso futuro. Um mês depois, o cliente retorna.
Ele vê o seu 'Cartão Guardado terminado em 4242' e escolhe pagar com ele. O site do comerciante envia o token `gtwy_tok_123abc` e o novo valor da compra para o gateway.
O gateway recupera o número real do cartão do seu vault e processa o pagamento. O comerciante facilitou um Checkout rápido e conveniente sem nunca armazenar o PAN de risco.
Notas dos esquemas
Embora o conceito geral de tokenização não seja específico do esquema, a forma mais avançada, a tokenização de rede, é impulsionada diretamente pelos esquemas.
O VTS (Visa Token Service) da Visa e o MDES (Mastercard Digital Enablement Service) da Mastercard são as duas maiores plataformas para criar e gerir tokens de rede. Eles trabalham com os emissores para provisionar tokens e mantê-los sincronizados com os detalhes do cartão subjacente.
O uso de tokens de rede pode, por vezes, resultar em taxas de intercâmbio mais baixas, pois os esquemas consideram estas transações mais seguras devido à inclusão de um criptograma dinâmico.
Em contraste, os tokens de gateway são proprietários do PSP que os criou e não oferecem benefícios diretos de intercâmbio, embora continuem a ser uma ferramenta essencial para a redução do âmbito PCI DSS.
Por que isto importa para os comerciantes
Para os comerciantes, a tokenização não é opcional; é um componente essencial do processamento de pagamentos moderno.
O impacto principal é uma redução significativa na carga de conformidade com o PCI DSS, economizando tempo, dinheiro e recursos que de outra forma seriam gastos em controlos de segurança rigorosos e auditorias. É também uma medida de segurança crítica contra violações de dados.
Ao usar a tokenização de rede, os comerciantes também podem melhorar diretamente os seus resultados.
As atualizações automáticas de cartões fornecidas pelos tokens de rede aumentam as taxas de autorização para transações de cartão em arquivo, reduzindo a rotatividade involuntária e preservando os fluxos de receita, uma característica particularmente valiosa para negócios de subscrição.
A utilização de um PSP como a Cardflo que suporta múltiplos tipos de tokens oferece aos comerciantes segurança e a flexibilidade para otimizar o seu encaminhamento de pagamentos.
Perguntas frequentes
Como a tokenização difere da encriptação num ambiente de pagamento?
A encriptação usa um algoritmo para ocultar dados que podem ser desencriptados com uma chave, enquanto a tokenização substitui os dados inteiramente por um marcador de posição não matemático.
Isto significa que se uma base de dados de tokens for violada, os valores são inúteis para um atacante, pois não podem ser revertidos para revelar o PAN original sem acesso ao vault de tokens seguro.
Qual é a principal vantagem de usar tokens de rede em vez de tokens específicos de gateway?
Os tokens de rede oferecem maior portabilidade e longevidade porque são reconhecidos em todo o ecossistema de pagamento, em vez de estarem ligados a um único fornecedor de serviços de pagamento.
Eles atualizam-se automaticamente quando um banco emite um novo cartão, reduzindo a probabilidade de recusas de transações devido a detalhes de cartão desatualizados e garantindo que o comerciante pode manter um ciclo de faturação recorrente contínuo.
Qual é a diferença entre tokenização e encriptação?
A encriptação é um processo bidirecional que usa um algoritmo matemático e uma chave para embaralhar dados. Qualquer pessoa com a chave pode desencriptar os dados de volta à sua forma original.
A tokenização é um processo unidirecional onde dados sensíveis são substituídos por um token não sensível. Não há relação matemática entre o token e os dados originais, o que significa que não pode ser revertido.
Isso torna a tokenização um método mais seguro para proteger dados de pagamento armazenados.
Se eu usar tokenização, ainda estou no âmbito do PCI DSS?
Usar a tokenização através de um fornecedor terceirizado certificado reduz drasticamente o seu âmbito PCI DSS, mas não o elimina totalmente. Ainda é obrigado a validar a sua conformidade anualmente, tipicamente preenchendo o Questionário de Autoavaliação (SAQ A) mais simples.
Isso confirma que não está a armazenar, processar ou transmitir quaisquer dados do titular do cartão e está a depender de um fornecedor de serviços compatível.
Posso tokenizar métodos de pagamento que não sejam cartões de crédito?
Sim. Embora mais comummente associado a pagamentos com cartão, o princípio da tokenização pode ser aplicado a outros instrumentos de pagamento.
Por exemplo, números de contas bancárias usados para esquemas de débito direto (como SEPA ou ACH) podem ser tokenizados para permitir que os comerciantes iniciem pagamentos futuros sem armazenar os detalhes reais da conta bancária. Isso proporciona um benefício semelhante de segurança e conformidade.
O que acontece aos meus tokens se eu quiser mudar o meu fornecedor de pagamentos?
Se estiver a usar tokens de gateway proprietários, mudar de fornecedor requer um processo seguro de migração de tokens. Isso envolve o seu antigo fornecedor transferir os detalhes do cartão armazenados para o seu novo fornecedor, que então os irá re-tokenizar.
Isso pode ser complexo e pode envolver taxas. Se estiver a usar tokens de rede, eles são portáteis, e pode simplesmente começar a processá-los através de um novo fornecedor que também esteja conectado ao serviço de token do esquema.
A tokenização previne a fraude?
A tokenização é principalmente uma ferramenta para proteger dados armazenados e evitar que sejam comprometidos numa violação de dados. Não previne a fraude de transações, como alguém usar detalhes de cartão roubados para fazer uma compra.
No entanto, a tokenização de rede adiciona uma camada de segurança através do uso de um criptograma específico da transação, o que torna as transações mais seguras e ajuda os emissores a aprovar mais pagamentos legítimos.
See how Tokenização plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Termos relacionados
Um armazenamento compatível com PCI DSS de credenciais de cartão tokenizadas que permite a um comerciante cobrar um cartão novamente sem reter o PAN.
Um token emitido pelo esquema que substitui o PAN de ponta a ponta e é automaticamente atualizado quando o cartão subjacente é reemitido.
O Padrão de Segurança de Dados da Indústria de Cartões de Pagamento, a estrutura obrigatória para o tratamento de dados de titulares de cartões.
Uma camada técnica que encripta os dados do cartão, reencaminha os pedidos de autorização para um adquirente e devolve o resultado ao comerciante.
Relacionados guias.
Preparado para melhorar a sua configuração de pagamentos?
Fale-nos do seu negócio. Iremos apresentá-lo aos parceiros adquirentes e à rota certa, normalmente em menos de uma semana.