PAN-tokenisatie is het proces waarbij een echt kaartnummer wordt vervangen door een willekeurige identificatie die buiten het systeem dat hem heeft gegenereerd geen waarde heeft. Het is de technologie die handelaren, PSP's en platforms in staat stelt betalingen te beheren zonder ooit gevoelige gegevens in hun eigen systemen op te slaan of te verzenden. Het begrijpen van de werking, op elk niveau, is onmisbaar voor iedereen die architectuur- of nalevingsbeslissingen moet nemen.
Van PAN naar token: hoe het proces stap voor stap werkt
De PAN-tokenisatiestroom begint altijd met de veilige vastlegging van kaartgegevens. De klant voert het kaartnummer in op een gehoste pagina of via een PCI DSS-gecertificeerde client-side SDK: op deze manier passeren de gegevens nooit de server van de handelaar. De kluis van de tokenisatieaanbieder ontvangt de PAN in leesbare tekst, slaat hem veilig op en genereert een willekeurige token die naar het systeem van de handelaar wordt teruggegeven.
Vanaf dat moment werkt de handelaar uitsluitend met de token. Om een betaling te verwerken, stuurt hij de token samen met het bedrag en de afrekeningsinstructies naar de kluis: de kluis haalt de echte PAN op, stuurt hem door naar het kaartnetwerk en geeft alleen het autorisatieantwoord terug. De volledige cyclus verloopt in milliseconden, transparant voor de eindgebruiker.
Tokenisatie vs. versleuteling: verschillen die tellen
Het onderscheid tussen tokenisatie en versleuteling is niet terminologisch van aard: het gaat om een architectureel verschil met directe gevolgen voor beveiliging en naleving. Versleuteling transformeert de PAN in versleutelde gegevens die een mathematische relatie met het origineel behouden: iedereen met de ontsleutelingssleutel kan de PAN herstellen. Het risico verschuift naar sleutelbeheer, dat nog steeds in de verantwoordelijkheid van de handelaar ligt.
Tokenisatie genereert een willekeurige waarde zonder relatie met de originele PAN. Er bestaat geen algoritme waarmee de originele gegevens uit de token kunnen worden hersteld: de enige manier voor detokenisatie is toegang tot de kluis met de juiste inloggegevens. Dit betekent dat een inbreuk op de database van de handelaar alleen waardeloze tokens blootlegt, geen echte kaartnummers. Vanuit PCI DSS-perspectief vallen databases die uitsluitend tokens bevatten niet binnen de CDE.
De tokenlevenscyclus: kluis, ophaling en intrekking
Een token heeft een gedefinieerde levenscyclus die aanmaak, gebruik en intrekking omvat. Bij aanmaak koppelt de kluis de token aan de PAN en slaat hem op met metadata zoals handelaar-ID, aanmaakdatum en eventuele gebruikslimieten. Gedurende de actieve levenscyclus kan de token worden gebruikt voor afschrijvingen, terugbetalingen en annuleringen, zonder dat de handelaar ooit de PAN ziet.
Intrekking vindt plaats wanneer de klant om verwijdering van zijn gegevens verzoekt, wanneer de kaart verloopt of wordt vervangen, of wanneer de handelaar besluit de relatie te beëindigen. Een goed ontworpen kluis beheert ook de automatische tokenvervanging wanneer een kaart verloopt, en actualiseert de PAN in de kluis zonder dat de klant zijn gegevens opnieuw hoeft in te voeren. PCI Proxy EU ondersteunt dit proces via de account-updater-programma's van de toonaangevende kaartnetwerken.
Veelgestelde vragen
Kan een token worden omgekeerd om de PAN te herstellen?
Absoluut niet. Alleen de kluis die de token heeft gegenereerd kan detokenisatie uitvoeren, en alleen met geautoriseerde API-inloggegevens. Technisch gezien is de token een willekeurige waarde zonder mathematische relatie met de PAN: er bestaat geen terugkeeralgoritme. Dit is het fundamentele voordeel van tokenisatie ten opzichte van symmetrische versleuteling.
Vereist tokenisatie wijzigingen aan mijn checkout?
Dat hangt af van uw huidige architectuur. Als uw checkout kaartgegevens direct vastlegt, moet u het formulier vervangen door een gehoste pagina of een client-side SDK van PCI Proxy EU. De backend moet worden aangepast om tokens in plaats van PAN's te ontvangen en te beheren. Als u al een gehoste betaalpagina van een PSP gebruikt, kan de integratie met PCI Proxy EU op API-niveau plaatsvinden zonder frontend-aanpassingen.
Wat onderscheidt netwerk-tokenisatie van betalingstokenisatie?
Betalingstokenisatie (of handelaarstokenisatie) genereert tokens die door de kluis van de aanbieder worden beheerd en in de interne stromen van de handelaar worden gebruikt. Netwerk-tokenisatie genereert tokens die rechtstreeks door kaartnetwerken (Visa, Mastercard) worden uitgegeven en aan een specifiek apparaat zijn gekoppeld. Beide verminderen risico's, maar opereren op verschillende niveaus: betalingstokenisatie beschermt gegevens binnen de handelaarsperimeter, netwerk-tokenisatie beschermt de overdracht naar het netwerk.
Wilt u tokenisatie snel in uw betalingsinfrastructuur implementeren? Ontdek PCI Proxy EU.
Hulp nodig bij PCI-naleving?
Ons team helpt u uw CDE in kaart te brengen, het juiste SAQ te kiezen en tokenisatie te implementeren met gegevensresidentie in de EU.
Neem contact op