Tokenisatie in de betaalwereld betekent niet altijd hetzelfde: er zijn twee fundamenteel verschillende benaderingen — netwerktokenisatie en betalingstokenisatie (ook bekend als handelaarstokenisatie of kluistokenisatie) — die verschillende problemen oplossen, op verschillende niveaus van de betalingsinfrastructuur opereren en aanzienlijk van elkaar verschillen op het gebied van controle, overdraagbaarheid en PCI-nalevingsgevolgen. Inzicht in de verschillen is beslissend om de juiste architectuur voor elk toepassingsgeval te kiezen.
Wat is netwerktokenisatie?
Netwerktokenisatie is een dienst die rechtstreeks door de kaartnetwerken wordt aangeboden, voornamelijk via de Visa Token Service (VTS) en de Mastercard Digital Enablement Service (MDES). Bij deze vorm van tokenisatie wordt de PAN van een kaart vervangen door een netwerkspecifieke token die hetzelfde 16-cijferige kaartformaat heeft (BIN-routering blijft behouden) en rechtstreeks wordt gebruikt tussen handelaren, PSP's en het netwerk.
De netwerk-token is gekoppeld aan een specifieke handelaar of apparaatdomein (domeinbeheer), wat betekent dat hij buiten die context onbruikbaar is. Dit verkleint het misbruikrisico aanzienlijk: een gestolen netwerk-token kan niet worden gebruikt voor transacties op andere handelaarsplatformen. Netwerk-tokens maken ook automatische kaartupdates mogelijk (Account Updater), zonder dat de kaarthouder hoeft in te grijpen.
Wat is betalingstokenisatie (kluistokenisatie)?
Betalingstokenisatie (ook kluistokenisatie of handelaarstokenisatie) is een proces waarbij de PAN wordt vervangen door een interne token die door de kluisaanbieder wordt gegenereerd. In tegenstelling tot de netwerk-token heeft deze token geen kaartnummerformaat en geen BIN-informatie: het is een ondoorzichtige referentie die alleen zinvol is in de context van de kluisaanbieder.
De kluis-token biedt de handelaar volledige controle: hij kan worden gebruikt met meerdere PSP's en acquirers, is PSP-agnostisch en maakt eigen bedrijfslogica mogelijk (routering, uitbetalingen, terugbetalingen). De kluisaanbieder (zoals PCI Proxy EU) lost de token veilig op naar de PAN om de autorisatie bij de acquirer af te ronden, zonder dat de PAN ooit de servers van de handelaar passeert.
Vergelijkingstabel: netwerk-token vs. kluis-token
| Kenmerk | Netwerk-token (VTS/MDES) | Kluis-token (PCI Proxy EU) |
|---|---|---|
| Uitgegeven door | Visa / Mastercard-netwerk | Kluisaanbieder |
| Token-formaat | 16-cijferig (zoals PAN) | Ondoorzichtig (aanpasbaar) |
| BIN-routering | Behouden | Niet behouden |
| PSP-overdraagbaarheid | Beperkt (netwerkafhankelijk) | Volledig (PSP-agnostisch) |
| Domeinbeheer | Ja (handelaar-/apparaatspecifiek) | Configureerbaar via kluis-beleid |
| PCI-bereiksverkleining | Ja (voor kaartgegevens) | Ja (voor alle PAN-stromen) |
Veelgestelde vragen
Kan ik netwerktokenisatie en kluistokenisatie samen gebruiken?
Ja, ze zijn complementair. Netwerk-tokens kunnen in een kluis worden opgeslagen: de kluis bewaart de netwerk-token (in plaats van de leesbare PAN), en de handelaar gebruikt een kluis-token als primaire identifier. Dit combineert de voordelen van beide benaderingen: domeinbeheer en automatische kaartupdates van de netwerk-tokens, plus PSP-overdraagbaarheid en eigen bedrijfslogica van de kluis-tokens.
Verkleint netwerktokenisatie mijn PCI-bereik?
Netwerktokenisatie verkleint het risico van PAN-misbruik in geval van diefstal, omdat tokens domeingebonden zijn. De PCI-bereiksverkleining hangt echter af van hoe de netwerk-token wordt beheerd: wanneer de servers van de handelaar de netwerk-token direct ontvangen en opslaan, kan het PCI-bereik na implementatie groter zijn dan bij gebruik van kluis-tokens.
Ondersteunt PCI Proxy EU netwerktokenisatie via zijn kluis?
PCI Proxy EU ondersteunt verschillende tokenisatiearchitecturen, inclusief scenario's waarbij netwerk-tokens in de kluis worden opgeslagen. De architectuur kan worden geconfigureerd op basis van de specifieke vereisten van de handelaar op het gebied van PSP-routering, kaartupdates en PCI-bereikbeheer. Neem contact op met ons team voor technisch advies.
Wilt u weten welke tokenisatiearchitectuur het beste aansluit bij uw specifieke stack?Ontdek PCI Proxy EU.
Hulp nodig bij PCI-naleving?
Ons team helpt u uw CDE in kaart te brengen, het juiste SAQ te kiezen en tokenisatie te implementeren met gegevensresidentie in de EU.
Neem contact op