¿Qué es el CVV/CVC (código de seguridad)? Definición, flujo de pago y ejemplos

Puntos clave

• Definición: El CVV/CVC (código de seguridad) es un código de verificación corto que figura en la tarjeta y suele usarse como comprobación adicional en transacciones con tarjeta no presente; no es el PIN.
• En el flujo de pago: La fecha de vencimiento ayuda al sistema a determinar si las credenciales de la tarjeta siguen dentro del período aceptado; el CVV o CVC sirve para verificar las credenciales en determinados canales, y el CVV dinámico se actualiza según las reglas del producto.
• No confundir: CVV/CVC / contraseña de un solo uso (OTP)

Cómo encaja en el flujo de pago

En el caso del CVV/CVC, el proceso es el siguiente: la fecha de vencimiento ayuda al sistema a determinar si las credenciales de la tarjeta siguen dentro del período aceptado; el CVV o CVC sirve para verificar las credenciales en determinados canales, y el CVV dinámico se actualiza según las reglas del producto. Todos son elementos de la credencial, pero difieren en su uso, en cómo se generan y en si se pueden almacenar.

Al evaluar el CVV/CVC, ten en cuenta lo siguiente: el comercio solo debe recopilar los datos necesarios para completar la transacción y gestionarlos dentro del alcance de PCI DSS que corresponda. El reemplazo de la tarjeta, las actualizaciones del ciclo de vida del token o los cambios en las políticas del emisor pueden afectar los pagos posteriores con credenciales almacenadas.

Ejemplo práctico

En una página de pago en línea, el CVV se usa para verificar esa transacción con tarjeta no presente. Aunque quien paga acepte guardar la tarjeta, el comercio no puede conservar ese código después de la autorización.

Diferencias con términos similares

En esencia, el CVV/CVC es un código de verificación corto que figura en la tarjeta y suele usarse como comprobación adicional en transacciones con tarjeta no presente; no es el PIN. La contraseña de un solo uso, en cambio, es un código de verificación que solo es válido para una operación o durante un tiempo breve; puede servir como factor de autenticación, pero no equivale automáticamente a una autenticación reforzada de cliente completa. Los dos conceptos pueden aparecer en una misma transacción, pero responden a preguntas distintas.

Usos, límites y riesgos

El CVV/CVC tiene un límite clave: PCI DSS prohíbe que el comercio conserve después de la autorización datos de autenticación sensibles como el código de verificación de la tarjeta, y cifrarlos no cambia esa prohibición. No envíes el código de seguridad por chat, correo electrónico ni formularios que no sean de confianza.

Preguntas frecuentes

A continuación respondemos las dos dudas más comunes de quienes buscan información sobre el CVV/CVC.

¿Es lo mismo que la contraseña de un solo uso (OTP)?

No. El CVV/CVC (código de seguridad) es un código de verificación corto que figura en la tarjeta y suele usarse como comprobación adicional en transacciones con tarjeta no presente; no es el PIN. La contraseña de un solo uso (OTP) es un código de verificación que solo es válido para una operación o durante un tiempo breve; puede servir como factor de autenticación, pero no equivale automáticamente a una autenticación reforzada de cliente completa. Para diferenciar ambos conceptos, revisa por separado a qué se refiere cada uno, en qué etapa del proceso interviene y quién es el responsable.

Si el comercio cifra el código de seguridad, ¿puede guardarlo después de la autorización?

En el caso del CVV/CVC, no: el cifrado no permite concluir que se pueda guardar. El PCI SSC indica expresamente que, después de la autorización, no se deben almacenar datos de autenticación sensibles como los códigos de verificación de la tarjeta, aunque estén cifrados.

Traducción asistida por IA; el texto original fue revisado por Steven Cai.