Wat is Tokenization?
Tokenization is een beveiligingstechnologie die wordt gebruikt in digitale betalingen. Het houdt in dat het PAN (Primary Account Number), het kaartnummer dat door de gebruiker wordt gehouden, wordt vervangen door een niet-gevoelig data-element genaamd een digitaal token.
Een token is een unieke digitale identificator die het PAN vervangt in het betalingssysteem. Het blijft direct gekoppeld aan de oorspronkelijke gegevens, waardoor transacties kunnen worden geautoriseerd zonder de gevoelige kaartgegevens van de gebruiker bloot te stellen.
Deze methode wordt ondersteund en gepromoot door de wereldwijde normalisatie-instantie EMVCo om de onderliggende beveiliging van digitale betalingen te verbeteren en het risico op ongeoorloofd of frauduleus gebruik van primaire rekeningnummers (PAN's) te verminderen.
Een Concreet Voorbeeld
Wanneer een gebruiker zijn betaalkaart wil toevoegen aan een mobiele portemonnee-applicatie (bijv. Apple Wallet), begint hij met het invoeren van zijn PAN, beveiligingscode en andere kaartgegevens.
De Wallet-applicatie start vervolgens het tokenization-proces met een entiteit die bekend staat als een Token Service Provider (TSP). Deze rol wordt vervuld door betalingsnetwerken zoals Visa, Mastercard en Cartes Bancaires.
Een uniek token wordt gegenereerd en teruggestuurd naar de Wallet-applicatie, die vervolgens toekomstige betalingen in de winkel (bijv. contactloze betalingen) kan verwerken zonder ooit het PAN bloot te stellen.
Organisatie van het Tokenization Ecosysteem op Wereldniveau
De Token Service Provider (TSP) speelt een centrale rol in het tokenization-framework, zoals weergegeven in het onderstaande diagram.
Een Token Requestor (TR) die een betaalkaart wil digitaliseren voor een specifiek gebruiksscenario, moet hiervoor samenwerken met een TSP.
Twee Voorbeelden:
Een retailbank die een mobiele nabijheidsbetaaldienst in zijn app wil aanbieden:
- Wanneer een klant de dienst activeert, moet de bank tokenization van de betaalkaart van de gebruiker aanvragen bij een TSP voordat het token in zijn app wordt voorzien.
Een e-commerce handelaar die klanten de mogelijkheid biedt om hun betaalkaart op te slaan voor toekomstige aankopen (Card-On-File service):
- Wanneer een klant zijn betaalkaart registreert, moet de handelaar tokenization van de kaart aanvragen bij een TSP voordat het token in zijn database wordt opgeslagen.
De TSP heeft een sleutelrol om verschillende redenen:
- Het is verantwoordelijk voor de Token Vault, een database die betaalkaarten koppelt aan hun overeenkomstige tokens.
- Wanneer een betalingstransactie met een token wordt gestart, neemt de TSP deel aan het autorisatieproces vóór de kaartuitgever, waarbij beveiligingselementen worden gevalideerd (zoals cryptogrammen die zijn gegenereerd uit door TSP verstrekte sleutels) voordat het "gedetokeniseerde" autorisatieverzoek naar de kaartuitgever wordt verzonden.
Zo speelt de TSP een cruciale rol door gevoelige gegevens (kaart-token mapping) te beheren en systematisch in te grijpen bij elke transactie waarbij tokens betrokken zijn.
Soevereiniteit en Controlekwesties voor Uitgevers en Nationale Betalingsnetwerken
In theorie kunnen verschillende spelers in het kaartbetalings-ecosysteem (betalingsnetwerken, betalingsdienstaanbieders, enz.) optreden als TSP's. In de praktijk hebben grote wereldwijde betalingsnetwerken echter de leiding genomen in deze rol.
Internationale betalingsnetwerken, zoals Visa en Mastercard, hebben tokenization-diensten geïntegreerd in hun kerninfrastructuur. Vanwege hun wereldwijde bereik bieden ze een breed scala aan diensten die TR's (banken, handelaren, enz.) helpen om oplossingen eenvoudig en universeel te implementeren.
Bijvoorbeeld, wereldwijde mobiele betalingsportemonnees (G-Pay, Apple Pay, Samsung Pay, enz.) verbinden zich als TR's met internationale netwerk-TSP's. Uitgevers die deze netwerken al gebruiken om fysieke kaarten uit te geven, kunnen vertrouwen op hun TSP-diensten om hun kaarten in deze portemonnees te digitaliseren.
Geconfronteerd met deze wereldwijde aanbiedingen, ontwikkelen binnenlandse spelers lokale TSP's voor uitgevers binnen hun respectieve landen. Dit is vooral te zien in landen met sterke kaartbetalingstradities, goed gevestigde interbancaire netwerken en nationale betalingsschema's, zoals Frankrijk.
Andere regio's, zoals Saoedi-Arabië, lanceren binnenlandse tokenization-hubs, gedreven door soevereiniteitskwesties en de noodzaak om gevoelige gegevens onder nationale controle te houden.
Gezien deze keuzes moeten TR's oplossingen aannemen die hen in staat stellen controle te behouden over hun waardepropositie. Dit is vooral cruciaal voor uitgevende banken, aangezien het beheer van kaarthoudergegevens traditioneel een topprioriteit is geweest. Bovendien is afhankelijkheid van derden in de betalingsautorisatielus een gevoelig onderwerp.
Voor uitgevers is het selecteren van TSP's voor verschillende diensten een strategische beslissing, niet alleen een technische of financiële. Dit staat bekend als de token sourcing strategie.
Neem bijvoorbeeld een uitgevende bank in een land met zowel een nationaal betalingsschema als een internationaal netwerk (bijv. Visa of Mastercard). De bank geeft co-badged kaarten uit, wat betekent dat binnenlandse betalingen via het nationale schema verlopen terwijl internationale betalingen het wereldwijde netwerk gebruiken.
Bij het digitaliseren van deze kaart voor mobiele betalingen moet de uitgever zijn tokenization-strategie definiëren. Het kan besluiten om het co-badging model in de digitale ruimte te repliceren, door een token te verkrijgen van de TSP van het nationale schema en een andere van de TSP van het internationale netwerk.
De Noodzaak van Beheersing door Token Requestors
Een nieuwe generatie oplossingen is ontstaan om Token Requestors te helpen naadloos toegang te krijgen tot alle tokenization-gerelateerde functies, waaronder:
- Gegevens voorbereiden voor tokenization-aanvragen;
- Tokens verkrijgen van meerdere TSP's op basis van een vooraf gedefinieerde strategie;
- In sommige gevallen tokens in betaalapplicaties voorzien;
- Het beheren van de tokenlevenscyclus om efficiënt om te gaan met gebeurtenissen zoals verlies, diefstal en vernieuwing.
Deze oplossingen fungeren als TR-platforms, toegang tot TSP's aggregeren en bieden eenvoudige integratie voor uitgevers en handelaren via API's.
Onze ReadyToTap Payment oplossing is gepositioneerd in deze ruimte. Tegenwoordig stelt het verschillende uitgevers, waaronder retailbanken, neobanken en uitgevers van prepaidkaarten, in staat om gebruik te maken van een breed scala aan TSP-diensten met flexibiliteit en eenvoud van implementatie.
Wilt u met een expert praten? Neem contact met ons op.
