O panorama da tokenização está mais fragmentado do que nunca. Por um lado, os esquemas internacionais como Visa e Mastercard lançaram os seus próprios serviços de tokenização, o Visa Token Service (VTS) e o Mastercard Digital Enablement Service (MDES). Por outro, soluções ao nível da infraestrutura como a PCI Proxy oferecem uma tokenização independente dos PSP que opera de forma completamente autónoma relativamente a qualquer esquema de pagamento. Ambas as abordagens substituem os dados sensíveis de cartão por tokens não sensíveis, mas fazem-no em níveis diferentes do stack de pagamentos, por razões diferentes e com implicações diferentes para a sua arquitetura.
Compreender esta distinção é fundamental para qualquer comerciante europeu ou fornecedor de serviços de pagamento que construa uma estratégia a longo prazo para a gestão de dados de cartão. Escolher a abordagem errada, ou não reconhecer que ambas podem coexistir, pode conduzir a um lock-in desnecessário, maiores custos de integração ou oportunidades perdidas para melhorar as taxas de aprovação.
- Os tokens de rede (Visa/Mastercard) residem na infraestrutura do esquema e melhoram as taxas de aprovação; os tokens PCI Proxy residem no vault do fornecedor e reduzem o âmbito PCI.
- Os tokens de rede são específicos do PSP e estão vinculados à relação com o adquirente; os tokens PCI Proxy são agnósticos ao PSP, permitindo mudar de adquirente sem recolher novamente os dados de cartão.
- A estratégia ótima combina ambos: um token PCI Proxy para conformidade e portabilidade, com tokenização de rede sobreposta para melhores taxas de aprovação.
O que é a Tokenização de Rede?
A tokenização de rede é um serviço ao nível do esquema fornecido diretamente pelas redes de pagamento. O Visa Token Service (VTS) e o Mastercard Digital Enablement Service (MDES) são as duas implementações principais na Europa. O conceito básico é simples: o próprio esquema emite um token que referencia o Primary Account Number (PAN) do titular dentro da infraestrutura do esquema.
O processo começa com um Token Requestor, tipicamente um comerciante, um fornecedor de wallet ou um facilitador de pagamentos, que se regista no esquema e solicita um token para um cartão específico. O esquema valida o cartão com o banco emissor, gera um token e devolve-o juntamente com um criptograma dinâmico que deve acompanhar cada transação. Este criptograma é único por transação e vincula o token a um domínio específico (ecommerce, in-app ou contactless), impedindo a utilização indevida em caso de interceção.
O Ciclo de Vida do Token
Os tokens de rede têm um ciclo de vida gerido. Quando o cartão subjacente é reemitido, por expiração, perda ou comprometimento, o esquema atualiza automaticamente o mapeamento do token através de serviços como o Visa Account Updater (VAU) ou o Mastercard Automatic Billing Updater (ABU). Isto significa que as transações recorrentes continuam sem interrupções, reduzindo o churn involuntário para os negócios com modelos de subscrição. O próprio token permanece estável; apenas o mapeamento PAN é atualizado em segundo plano.
As restrições de domínio acrescentam uma camada adicional de controlo. Um token provisionado para ecommerce não pode ser utilizado para pagamentos contactless em loja e vice-versa. Isto limita o raio de ação de um comprometimento do token e oferece aos emissores um controlo granular sobre como e onde os seus cartões são utilizados de forma tokenizada.
O que são os Tokens PCI Proxy?
Os tokens PCI Proxy operam ao nível da infraestrutura, completamente independentes dos esquemas de pagamento. Quando um número de cartão entra no seu ecossistema, através de um formulário de checkout, um agente de call center, uma API de reservas ou qualquer outro canal, a PCI Proxy interceta o PAN antes de chegar aos seus servidores, substitui-o por um token gerado aleatoriamente e armazena o original de forma segura num vault isolado, certificado PCI DSS Level 1, alojado em centros de dados europeus.
O próprio token pode ser format-preserving (mantendo o mesmo comprimento e estrutura numérica do PAN original, conservando opcionalmente os primeiros seis e últimos quatro dígitos) ou opaco (uma cadeia alfanumérica com prefixo como tok_9f8e7d6c5b4a). Em ambos os casos, o token não tem qualquer valor explorável fora do vault PCI Proxy. Os seus sistemas armazenam, transmitem e processam apenas o token, nunca os dados brutos de cartão.
A característica distintiva da tokenização PCI Proxy é o agnosticismo relativamente ao PSP. O token não está vinculado à Visa, Mastercard nem a nenhum processador de pagamentos específico. Quando precisa de cobrar o cartão, a PCI Proxy destokeniza e reencaminha o PAN real para qualquer PSP designado, Adyen, Stripe, Worldline, Nexi ou qualquer outro fornecedor. Pode mudar de PSP, encaminhar para múltiplos processadores simultaneamente ou adicionar novos adquirentes sem necessidade de solicitar novamente os dados de cartão aos seus clientes.
Comparação Detalhada
A tabela seguinte destaca as principais diferenças entre tokens de rede e tokens PCI Proxy nas dimensões mais importantes para as empresas europeias:
| Característica | Token de Rede | Token PCI Proxy |
|---|---|---|
| Emissor | Esquema (Visa, Mastercard) | Plataforma PCI Proxy |
| Âmbito | Específico do esquema (Visa ou Mastercard) | Agnóstico ao PSP, todas as marcas |
| Taxas de aprovação | Mais altas (confiança do emissor) | Neutro (envia o PAN real ao PSP) |
| Redução do âmbito PCI | Parcial | Completa |
| Portabilidade cross-PSP | Não | Sim |
| Uso em MOTO | Limitado | Sim |
| Complexidade de implementação | Alta (registo no esquema, criptogramas) | Baixa (REST API) |
Quando Usar a Tokenização de Rede
A tokenização de rede oferece o máximo valor nos cenários em que a confiança do emissor impacta diretamente as suas receitas. Como o token é emitido pelo próprio esquema, os bancos emissores reconhecem-no como uma credencial verificada. Este reconhecimento traduz-se tipicamente em taxas de autorização mais altas: alguns comerciantes reportam melhorias de 2-5%, que podem representar receitas significativas para operações de ecommerce de alto volume.
Os tokens de rede destacam-se também nos cenários card-on-file em que a gestão automática do ciclo de vida do cartão é essencial. Os negócios com subscrições, por exemplo, beneficiam das atualizações automáticas de cartão fornecidas pelo VTS e pelo MDES. Quando o banco do titular reemite o cartão, o mapeamento do token de rede é atualizado automaticamente, evitando cobranças recorrentes falhadas e reduzindo o churn involuntário.
Ideal para
Comerciantes de ecommerce de alto volume que processam principalmente através de um único adquirente, plataformas de subscrição que pretendem maximizar as taxas de sucesso card-on-file e fornecedores de wallets digitais que requerem restrições de domínio ao nível do esquema.
Quando Usar Tokens PCI Proxy
A tokenização PCI Proxy é a escolha certa quando a sua prioridade é a flexibilidade arquitetónica e a eliminação completa do âmbito PCI. Se encaminhar transações para múltiplos PSP, para otimização geográfica, redução de custos ou redundância, os tokens de rede não o ajudarão, porque são específicos do esquema e não podem ser destokenizados e enviados para um processador arbitrário. Os tokens PCI Proxy, pelo contrário, funcionam com qualquer PSP downstream porque a destokenização ocorre ao nível do proxy, não ao nível do esquema.
A PCI Proxy é também a solução natural para os ambientes MOTO, onde o suporte para tokenização de rede é limitado. Call centers, agências de viagens e escritórios de encomendas B2B que recolhem dados de cartão por telefone podem usar a PCI Proxy para tokenizar o PAN no ponto de captura, garantindo que nenhum sistema na sua infraestrutura armazene ou processe alguma vez números de cartão em bruto. Isto reduz o âmbito PCI de SAQ D (mais de 300 controlos) para SAQ A ou SAQ A-EP (menos de 30 controlos).
Além disso, a tokenização PCI Proxy é valiosa para qualquer empresa que necessite de preparar o seu stack de pagamentos para o futuro. Mudar de PSP deixa de ser um pesadelo de migração: os tokens continuam válidos independentemente do processador para o qual encaminha, e nunca terá de pedir aos clientes que reinsiram os dados de cartão.
Utilizá-los em Conjunto
A tokenização de rede e a tokenização PCI Proxy não se excluem mutuamente; de facto, as arquiteturas de pagamentos mais sofisticadas na Europa utilizam ambas numa estratégia complementar. A ideia é sobrepor os benefícios: usar a PCI Proxy para eliminar completamente os dados de cartão da própria infraestrutura, e depois aplicar os tokens de rede ao nível transacional para aumentar as taxas de aprovação junto dos emissores.
Na prática, funciona assim: os dados de cartão entram no seu ecossistema e são imediatamente tokenizados pela PCI Proxy. Os seus sistemas armazenam e referenciam apenas o token PCI Proxy. Quando uma transação é iniciada, a PCI Proxy destokeniza o PAN e, antes de o reencaminhar para o PSP adquirente, solicita um token de rede à Visa ou à Mastercard. O PSP envia a transação usando o token de rede e o criptograma correspondente, obtendo os benefícios em taxas de aprovação da tokenização ao nível do esquema. A sua infraestrutura nunca vê o PAN real e nunca gere o provisionamento de tokens de rede: a PCI Proxy gere ambas as camadas.
A abordagem por camadas
A tokenização PCI Proxy elimina os dados de cartão do seu âmbito. A tokenização de rede melhora as taxas de autorização ao nível do esquema. Juntas oferecem máxima segurança, máxima flexibilidade e máximo desempenho de aprovação, sem acrescentar complexidade aos seus sistemas.
Conclusão
A tokenização de rede e a tokenização PCI Proxy resolvem problemas diferentes em níveis diferentes. Os tokens de rede otimizam a própria transação, melhorando as taxas de aprovação, possibilitando as atualizações automáticas de cartão e proporcionando segurança com restrições de domínio. Os tokens PCI Proxy otimizam a sua infraestrutura, eliminando os dados de cartão do seu ambiente, permitindo o encaminhamento multi-PSP e eliminando o lock-in.
Para os comerciantes e PSP europeus, a questão raramente é "qual devo usar?" mas sim "como posso combiná-los eficazmente?". Uma arquitetura de tokenização bem concebida utiliza a PCI Proxy como camada fundamental, garantindo que os dados brutos de cartão nunca toquem nos seus sistemas, e depois aplica os tokens de rede onde oferecem valor mensurável, especialmente para os fluxos de ecommerce de alto volume em que cada ponto percentual nas taxas de aprovação conta.
Quer esteja a construir uma nova plataforma de pagamentos ou a modernizar uma existente, compreender estas duas abordagens, e como se complementam, é essencial para tomar decisões arquitetónicas informadas.
Precisa de apoio na conformidade PCI?
A nossa equipa ajuda a mapear o seu CDE, escolher o SAQ adequado e implementar tokenização com residência de dados na UE.
Contacte-nos