¿Qué es la Tokenización?
La tokenización es una tecnología de seguridad utilizada en pagos digitales. Implica reemplazar el PAN (Número de Cuenta Principal), el número de tarjeta que posee el usuario, con un elemento de datos no sensible llamado token digital.
Un token es un identificador digital único que sustituye al PAN en el sistema de pagos. Permanece directamente vinculado a los datos originales, permitiendo la autorización de transacciones sin exponer los detalles sensibles de la tarjeta del usuario.
Este método es respaldado y promovido por el organismo de estandarización global EMVCo para mejorar la seguridad subyacente de los pagos digitales y reducir el riesgo de uso no autorizado o fraudulento de números de cuenta principales (PANs).
Un Ejemplo Concreto
Cuando un usuario quiere agregar su tarjeta de pago a una aplicación de billetera móvil (por ejemplo, Apple Wallet), comienza ingresando su PAN, código de seguridad y otros detalles de la tarjeta.
La aplicación de la Billetera luego inicia el proceso de tokenización con una entidad conocida como Proveedor de Servicios de Token (TSP). Este rol es desempeñado por redes de pago como Visa, Mastercard y Cartes Bancaires.
Se genera un token único y se envía de vuelta a la aplicación de la Billetera, que luego puede procesar futuros pagos en tienda (por ejemplo, pagos sin contacto) sin exponer nunca el PAN.
Organización del Ecosistema de Tokenización a Nivel Global
El Proveedor de Servicios de Token (TSP) desempeña un papel central en el marco de tokenización, como se muestra en el diagrama a continuación.
Un Solicitante de Token (TR) que desea digitalizar una tarjeta de pago para un caso de uso específico debe interactuar con un TSP para lograrlo.
Dos Ejemplos:
Un banco minorista que desea ofrecer un servicio de pago de proximidad móvil en su aplicación:
- Cuando un cliente activa el servicio, el banco debe solicitar la tokenización de la tarjeta de pago del usuario a un TSP antes de aprovisionar el token en su aplicación.
Un comerciante de comercio electrónico que ofrece a los clientes la posibilidad de guardar su tarjeta de pago para futuras compras (servicio de Tarjeta en Archivo):
- Cuando un cliente registra su tarjeta de pago, el comerciante debe solicitar la tokenización de la tarjeta a un TSP antes de almacenar el token en su base de datos.
El TSP tiene un papel clave por varias razones:
- Es responsable del Token Vault, una base de datos que vincula las tarjetas de pago con sus tokens correspondientes.
- Cuando se inicia una transacción de pago usando un token, el TSP participa en el proceso de autorización antes del emisor de la tarjeta, validando elementos de seguridad (como criptogramas generados a partir de claves aprovisionadas por el TSP) antes de transmitir la solicitud de autorización "des-tokenizada" al emisor de la tarjeta.
Así, el TSP juega un papel crucial al gestionar datos sensibles (mapeo tarjeta-token) e intervenir sistemáticamente en cada transacción que involucra tokens.
Cuestiones de Soberanía y Control para Emisores y Redes de Pago Nacionales
En teoría, varios actores en el ecosistema de pago con tarjeta (redes de pago, proveedores de servicios de pago, etc.) pueden actuar como TSPs. Sin embargo, en la práctica, las principales redes de pago globales han tomado la delantera en este rol.
Las redes de pago internacionales, como Visa y Mastercard, han integrado servicios de tokenización en su infraestructura central. Debido a su alcance global, proporcionan una amplia gama de servicios que ayudan a los TRs (bancos, comerciantes, etc.) a desplegar soluciones de manera fácil y universal.
Por ejemplo, las billeteras de pago móvil globales (G-Pay, Apple Pay, Samsung Pay, etc.) se conectan a los TSPs de redes internacionales como TRs. Los emisores que ya utilizan estas redes para emitir tarjetas físicas pueden confiar en sus servicios de TSP para digitalizar sus tarjetas en estas billeteras.
Frente a estas ofertas globales, los actores nacionales están desarrollando TSPs locales para emisores dentro de sus respectivos países. Esto se observa particularmente en países con fuertes tradiciones de pago con tarjeta, redes interbancarias bien establecidas y esquemas de pago nacionales, como Francia.
Otras regiones, como Arabia Saudita, están lanzando centros de tokenización nacionales, impulsados por preocupaciones de soberanía y la necesidad de mantener los datos sensibles bajo control nacional.
Dadas estas opciones, los TRs deben adoptar soluciones que les permitan retener el control sobre su propuesta de valor. Esto es especialmente crítico para los bancos emisores, ya que la gestión de datos de los titulares de tarjetas ha sido tradicionalmente una prioridad máxima. Además, la dependencia de terceros en el ciclo de autorización de pagos es un tema sensible.
Para los emisores, seleccionar TSPs para diferentes servicios es una decisión estratégica, no solo técnica o financiera. Esto se conoce como la estrategia de aprovisionamiento de tokens.
Por ejemplo, considere un banco emisor en un país con un esquema de pago nacional y una red internacional (por ejemplo, Visa o Mastercard). El banco emite tarjetas co-badged, lo que significa que los pagos nacionales pasan por el esquema nacional mientras que los pagos internacionales utilizan la red global.
Al digitalizar esta tarjeta para pagos móviles, el emisor debe definir su estrategia de tokenización. Podría decidir replicar el modelo de co-badging en el espacio digital, aprovisionando un token del TSP del esquema nacional y otro del TSP de la red internacional.
La Necesidad de Dominio por Parte de los Solicitantes de Tokens
Ha surgido una nueva generación de soluciones para ayudar a los Solicitantes de Tokens a acceder a todas las funciones relacionadas con la tokenización de manera fluida, incluyendo:
- Preparar datos para solicitudes de tokenización;
- Aprovisionamiento de tokens de múltiples TSPs basado en una estrategia predefinida;
- En algunos casos, aprovisionar tokens en aplicaciones de pago;
- Gestionar el ciclo de vida del token para manejar eventos como pérdida, robo y renovación de manera eficiente.
Estas soluciones actúan como plataformas TR, agregando acceso a TSPs y ofreciendo fácil integración para emisores y comerciantes a través de APIs.
Nuestra solución ReadyToTap Payment está posicionada en este espacio. Hoy en día, permite a varios emisores, incluidos bancos minoristas, neobancos y emisores de tarjetas prepago, aprovechar una amplia gama de servicios de TSP con flexibilidad y facilidad de implementación.
¿Desea hablar con un experto? Contáctenos.
