Qu'est-ce que la tokenisation ?
La tokenisation est une technologie de sécurité utilisée dans les paiements numériques. Elle consiste à remplacer le PAN (Primary Account Number), le numéro de carte détenu par l'utilisateur, par un élément de données non sensible appelé jeton numérique.
Un jeton est un identifiant numérique unique qui remplace le PAN dans le système de paiement. Il reste directement lié aux données d'origine, permettant l'autorisation de la transaction sans exposer les détails sensibles de la carte de l'utilisateur.
Cette méthode est soutenue et promue par l'organisme de normalisation mondial EMVCo pour renforcer la sécurité sous-jacente des paiements numériques et réduire le risque d'utilisation non autorisée ou frauduleuse des numéros de compte principaux (PAN).
Un exemple concret
Lorsqu'un utilisateur souhaite ajouter sa carte de paiement à une application de portefeuille mobile (par exemple, Apple Wallet), il commence par entrer son PAN, son code de sécurité et d'autres détails de la carte.
L'application Wallet initie ensuite le processus de tokenisation avec une entité connue sous le nom de fournisseur de services de jetons (TSP). Ce rôle est assuré par des réseaux de paiement tels que Visa, Mastercard et Cartes Bancaires.
Un jeton unique est généré et renvoyé à l'application Wallet, qui peut alors traiter les futurs paiements en magasin (par exemple, les paiements sans contact) sans jamais exposer le PAN.
Organisation de l'écosystème de tokenisation à l'échelle mondiale
Le fournisseur de services de jetons (TSP) joue un rôle central dans le cadre de la tokenisation, comme le montre le schéma ci-dessous.
Un demandeur de jetons (TR) qui souhaite numériser une carte de paiement pour un cas d'utilisation spécifique doit interagir avec un TSP pour y parvenir.
Deux exemples :
Une banque de détail souhaitant offrir un service de paiement de proximité mobile dans son application :
- Lorsqu'un client active le service, la banque doit demander la tokenisation de la carte de paiement de l'utilisateur auprès d'un TSP avant de provisionner le jeton dans son application.
Un commerçant en ligne offrant aux clients la possibilité de sauvegarder leur carte de paiement pour de futurs achats (service Card-On-File) :
- Lorsqu'un client enregistre sa carte de paiement, le commerçant doit demander la tokenisation de la carte auprès d'un TSP avant de stocker le jeton dans sa base de données.
Le TSP joue un rôle clé pour plusieurs raisons :
- Il est responsable du Token Vault, une base de données reliant les cartes de paiement à leurs jetons correspondants.
- Lorsqu'une transaction de paiement utilisant un jeton est initiée, le TSP participe au processus d'autorisation avant l'émetteur de la carte, en validant les éléments de sécurité (tels que les cryptogrammes générés à partir des clés fournies par le TSP) avant de transmettre la demande d'autorisation « dé-tokenisée » à l'émetteur de la carte.
Ainsi, le TSP joue un rôle crucial en gérant les données sensibles (cartographie carte-jeton) et en intervenant systématiquement dans chaque transaction impliquant des jetons.
Enjeux de souveraineté et de contrôle pour les émetteurs et les réseaux de paiement nationaux
En théorie, divers acteurs de l'écosystème des paiements par carte (réseaux de paiement, fournisseurs de services de paiement, etc.) peuvent agir en tant que TSP. Cependant, en pratique, les principaux réseaux de paiement mondiaux ont pris les devants dans ce rôle.
Les réseaux de paiement internationaux, tels que Visa et Mastercard, ont intégré les services de tokenisation dans leur infrastructure de base. En raison de leur portée mondiale, ils fournissent une large gamme de services qui aident les TR (banques, commerçants, etc.) à déployer des solutions facilement et universellement.
Par exemple, les portefeuilles de paiement mobile mondiaux (G-Pay, Apple Pay, Samsung Pay, etc.) se connectent aux TSP des réseaux internationaux en tant que TR. Les émetteurs qui utilisent déjà ces réseaux pour émettre des cartes physiques peuvent compter sur leurs services de TSP pour numériser leurs cartes dans ces portefeuilles.
Face à ces offres mondiales, les acteurs nationaux développent des TSP locaux pour les émetteurs au sein de leurs pays respectifs. Cela est particulièrement visible dans les pays ayant une forte tradition de paiements par carte, des réseaux interbancaires bien établis et des systèmes de paiement nationaux, comme la France.
D'autres régions, comme l'Arabie Saoudite, lancent des hubs de tokenisation domestiques, motivés par des préoccupations de souveraineté et la nécessité de garder les données sensibles sous contrôle national.
Face à ces choix, les TR doivent adopter des solutions qui leur permettent de conserver le contrôle sur leur proposition de valeur. Cela est particulièrement crucial pour les banques émettrices, car la gestion des données des titulaires de carte a toujours été une priorité absolue. De plus, la dépendance à l'égard de tiers dans le circuit d'autorisation des paiements est une question sensible.
Pour les émetteurs, le choix des TSP pour différents services est une décision stratégique, pas seulement une question technique ou financière. Cela est connu sous le nom de « stratégie de sourcing de jetons ».
Par exemple, considérez une banque émettrice dans un pays avec à la fois un système de paiement national et un réseau international (par exemple, Visa ou Mastercard). La banque émet des cartes co-badgées, ce qui signifie que les paiements domestiques passent par le système national tandis que les paiements internationaux utilisent le réseau mondial.
Lors de la numérisation de cette carte pour les paiements mobiles, l'émetteur doit définir sa stratégie de tokenisation. Il pourrait décider de répliquer le modèle de co-badge dans l'espace numérique, en obtenant un jeton du TSP du système national et un autre du TSP du réseau international.
La nécessité de la maîtrise par les demandeurs de jetons
Une nouvelle génération de solutions a émergé pour aider les demandeurs de jetons à accéder à toutes les fonctionnalités liées à la tokenisation de manière transparente, y compris :
- Préparer les données pour les demandes de tokenisation ;
- Obtenir des jetons de plusieurs TSP en fonction d'une stratégie prédéfinie ;
- Dans certains cas, provisionner des jetons dans des applications de paiement ;
- Gérer le cycle de vie des jetons pour traiter efficacement les événements tels que la perte, le vol et le renouvellement.
Ces solutions agissent comme des plateformes TR, agrégeant l'accès aux TSP et offrant une intégration facile pour les émetteurs et les commerçants via des APIs.
Notre solution ReadyToTap Payment se positionne dans cet espace. Aujourd'hui, elle permet à divers émetteurs, y compris les banques de détail, les néobanques et les émetteurs de cartes prépayées, de tirer parti d'une large gamme de services TSP avec flexibilité et facilité de mise en œuvre.
Vous souhaitez parler à un expert ? Contactez-nous.
