A tokenização de PAN é o processo através do qual um número do cartão real é substituído por um identificador aleatório, sem valor fora do sistema que o gerou. É a tecnologia que permite a comerciantes, PSP e plataformas gerir os pagamentos sem terem de armazenar nem transmitir dados sensíveis nos seus próprios sistemas. Compreender como funciona, em cada fase, é essencial para quem tem de tomar decisões arquiteturais ou de conformidade.
Do PAN ao token: como funciona o processo passo a passo
O fluxo de tokenização de PAN parte sempre da recolha segura do dado de cartão. O cliente introduz o número do cartão numa página hosted ou através de um SDK client-side certificado PCI DSS: deste modo os dados nunca passam pelos servidores do comerciante. O vault do fornecedor de tokenização recebe o PAN em texto não cifrado, armazena-o de forma segura e gera um token aleatório que devolve ao sistema do comerciante.
A partir desse momento, o comerciante opera exclusivamente com o token. Para processar um pagamento, envia o token ao vault juntamente com o montante e as instruções de cobrança: o vault recupera o PAN real, transmite-o ao circuito de cartão e devolve apenas a resposta de autorização. Todo o ciclo decorre em milissegundos, de forma transparente para o utilizador final.
Tokenização vs encriptação: diferenças que importam
A distinção entre tokenização e encriptação não é terminológica: é uma diferença arquitetural com implicações diretas na segurança e na conformidade. A encriptação transforma o PAN num dado cifrado que mantém uma relação matemática com o original: qualquer pessoa que disponha da chave de decifragem pode recuperar o PAN. O risco desloca-se para a gestão das chaves, que continua a ser responsabilidade do comerciante.
A tokenização gera um valor aleatório sem qualquer relação com o PAN original. Não existe um algoritmo que permita recuperar o dado original a partir do token: a única forma de "destokenizar" é aceder ao vault com as credenciais corretas. Isto significa que uma brecha na base de dados do comerciante expõe apenas tokens inúteis, não números de cartão reais. Do ponto de vista do PCI DSS, as bases de dados que contêm apenas tokens não fazem parte do CDE.
O ciclo de vida do token: vault, recuperação e revogação
Um token tem um ciclo de vida definido que compreende criação, uso e revogação. No momento da criação, o vault associa o token ao PAN e armazena-o com metadados como o ID do comerciante, a data de criação e os eventuais limites de uso. Durante o ciclo de vida ativo, o token pode ser usado para cobranças, reembolsos e estornos sem que o comerciante veja alguma vez o PAN.
A revogação ocorre quando o cliente solicita a eliminação dos seus dados, quando o cartão expira ou é substituído, ou quando o comerciante decide encerrar a relação. Um vault bem concebido gere também a substituição automática dos tokens no vencimento do cartão, atualizando o PAN no vault sem necessidade de o cliente voltar a introduzir os dados. A PCI Proxy EU suporta este processo através dos programas de account updater dos principais circuitos.
Perguntas frequentes
É possível inverter um token para recuperar o PAN?
Não, não por qualquer pessoa. Apenas o vault que gerou o token pode realizar a destokenização, e apenas com as credenciais API autorizadas. Do ponto de vista técnico, o token é um valor aleatório sem relação matemática com o PAN: não existe um algoritmo inverso. Esta é a vantagem fundamental da tokenização face à encriptação simétrica.
A tokenização exige alterações no meu checkout?
Depende da arquitetura atual. Se o seu checkout recolhe os dados de cartão diretamente, tem de substituir o formulário por uma página hosted ou um SDK client-side fornecido pela PCI Proxy EU. O backend deve ser modificado para receber e gerir tokens em vez de PAN. Se já usa uma página de pagamento hosted de um PSP, a integração com a PCI Proxy EU pode ser feita ao nível da API sem alterações no frontend.
Qual é a diferença entre a tokenização de rede e a tokenização de pagamento?
A tokenização de pagamento (ou tokenização do comerciante) gera tokens geridos pelo vault do fornecedor, usados nos fluxos internos do comerciante. A tokenização de rede gera tokens emitidos diretamente pelos circuitos de cartão (Visa, Mastercard) associados a um dispositivo específico. Ambas reduzem o risco, mas operam em níveis distintos: a tokenização de pagamento protege os dados no perímetro do comerciante, a tokenização de rede protege a transmissão para o circuito.
Quer implementar a tokenização na sua infraestrutura de pagamento em pouco tempo? Descubra a PCI Proxy EU.
Precisa de apoio na conformidade PCI?
A nossa equipa ajuda a mapear o seu CDE, escolher o SAQ adequado e implementar tokenização com residência de dados na UE.
Contacte-nos