Cos'è la tokenizzazione?
La tokenizzazione è una tecnologia di sicurezza impiegata nei pagamenti digitali. Consiste nel sostituire il PAN (Primary Account Number), ovvero il numero della carta posseduta dall'utente, con un elemento di dato non sensibile chiamato token digitale.
Un token è un identificatore digitale univoco che sostituisce il PAN nel sistema di pagamento. Rimane direttamente collegato ai dati originali, consentendo l'autorizzazione della transazione senza esporre i dati sensibili della carta dell'utente.
Questo metodo è approvato e promosso dall'organismo globale di standardizzazione EMVCo per rafforzare la sicurezza di fondo dei pagamenti digitali e ridurre il rischio di utilizzo non autorizzato o fraudolento dei primary account number (PAN).
Un esempio concreto
Quando un utente desidera aggiungere la propria carta di pagamento a un'applicazione di digital wallet (es. Apple Wallet), inizia inserendo il proprio PAN, il codice di sicurezza e gli altri dati della carta.
L'applicazione Wallet avvia quindi il processo di tokenizzazione con un'entità nota come Token Service Provider (TSP). Questo ruolo è svolto dai circuiti di pagamento come Visa, Mastercard e Cartes Bancaires.
Viene generato un token univoco che viene rispedito all'applicazione Wallet, la quale può quindi elaborare i futuri pagamenti in negozio (es. pagamenti contactless) senza mai esporre il PAN.
Organizzazione dell'ecosistema di tokenizzazione a livello globale
Il Token Service Provider (TSP) svolge un ruolo centrale nel framework di tokenizzazione, come illustrato nel diagramma sottostante.
Un Token Requestor (TR) che intende digitalizzare una carta di pagamento per uno specifico caso d'uso deve interagire con un TSP per raggiungere questo obiettivo.
Due esempi:
Una banca retail che desidera offrire un servizio di pagamento mobile di prossimità nella propria app:
- Quando un cliente attiva il servizio, la banca deve richiedere la tokenizzazione della carta di pagamento dell'utente a un TSP prima di effettuare il provisioning del token all'interno della propria app.
Un esercente e-commerce che offre ai clienti la possibilità di salvare la propria carta di pagamento per acquisti futuri (servizio Card-on-File):
- Quando un cliente registra la propria carta di pagamento, l'esercente deve richiedere la tokenizzazione della carta a un TSP prima di memorizzare il token nel proprio database.
Il TSP svolge un ruolo chiave per diversi motivi:
- È responsabile del Token Vault, una banca dati che collega le carte di pagamento ai rispettivi token.
- Quando viene avviata una transazione di pagamento che utilizza un token, il TSP partecipa al processo di autorizzazione prima dell'emittente della carta, convalidando gli elementi di sicurezza (come i crittogrammi generati da chiavi fornite dal TSP) prima di trasmettere la richiesta di autorizzazione "de-tokenizzata" all'emittente della carta.
In questo modo, il TSP svolge un ruolo cruciale gestendo i dati sensibili (la mappatura carta-token) e intervenendo sistematicamente in ogni transazione che coinvolge i token.
Questioni di sovranità e controllo per gli emittenti e i circuiti di pagamento nazionali
In teoria, diversi attori dell'ecosistema dei pagamenti con carta (circuiti di pagamento, prestatori di servizi di pagamento, ecc.) possono operare come TSP. Tuttavia, nella pratica, i principali circuiti di pagamento globali hanno assunto un ruolo di primo piano in questo ambito.
I circuiti di pagamento internazionali, come Visa e Mastercard, hanno integrato i servizi di tokenizzazione all'interno della propria infrastruttura principale. Grazie alla loro portata globale, forniscono un'ampia gamma di servizi che aiutano i TR (banche, esercenti, ecc.) a implementare soluzioni in modo semplice e universale.
Ad esempio, i digital wallet globali per i pagamenti mobili (G-Pay, Apple Pay, Samsung Pay, ecc.) si collegano ai TSP dei circuiti internazionali in qualità di TR. Gli emittenti che utilizzano già questi circuiti per emettere carte fisiche possono affidarsi ai relativi servizi TSP per digitalizzare le proprie carte all'interno di tali wallet.
Di fronte a queste offerte globali, gli operatori nazionali stanno sviluppando TSP locali per gli emittenti all'interno dei rispettivi paesi. Ciò si riscontra in particolare nei paesi con una forte tradizione nei pagamenti con carta, reti interbancarie consolidate e circuiti di pagamento nazionali, come la Francia.
Altre regioni, come l'Arabia Saudita, stanno lanciando hub nazionali di tokenizzazione, spinte da esigenze di sovranità e dalla necessità di mantenere i dati sensibili sotto il controllo nazionale.
Di fronte a queste scelte, i TR devono adottare soluzioni che consentano loro di mantenere il controllo sulla propria proposta di valore. Ciò è particolarmente critico per le banche emittenti, poiché la gestione dei dati dei titolari di carta è tradizionalmente una priorità assoluta. Inoltre, la dipendenza da terze parti nel ciclo di autorizzazione del pagamento rappresenta una questione delicata.
Per gli emittenti, la selezione dei TSP per i diversi servizi è una decisione strategica, non semplicemente tecnica o finanziaria. Questa è nota come "strategia di token sourcing".
Ad esempio, si consideri una banca emittente in un paese dotato sia di un circuito di pagamento nazionale sia di una rete internazionale (es. Visa o Mastercard). La banca emette carte co-badged, il che significa che i pagamenti nazionali transitano attraverso il circuito nazionale, mentre i pagamenti internazionali utilizzano la rete globale.
Nel digitalizzare questa carta per i pagamenti mobili, l'emittente deve definire la propria strategia di tokenizzazione. Potrebbe decidere di replicare il modello di co-badging nello spazio digitale, acquisendo un token dal TSP del circuito nazionale e un altro dal TSP della rete internazionale.
La necessità di controllo da parte dei Token Requestor
È emersa una nuova generazione di soluzioni per aiutare i Token Requestor ad accedere a tutte le funzionalità legate alla tokenizzazione in modo trasparente, tra cui:
- Preparing data for tokenization requests;
- Preparazione dei dati per le richieste di tokenizzazione;
- Acquisizione dei token (token sourcing) da molteplici TSP in base a una strategia predefinita;
- In alcuni casi, provisioning dei token nelle applicazioni di pagamento;
- Gestione del ciclo di vita dei token per gestire in modo efficiente eventi quali smarrimento, furto e rinnovo.
Queste soluzioni fungono da piattaforme TR, aggregando l'accesso ai TSP e offrendo una facile integrazione per emittenti ed esercenti tramite API.
La nostra soluzione ReadyToTap Payment si posiziona in questo ambito. Oggi consente a diversi emittenti, tra cui banche retail, neobanche ed emittenti di carte prepagate, di sfruttare un'ampia gamma di servizi TSP con flessibilità e semplicità di implementazione.
Vuoi parlare con un esperto? Contattaci.
