O que é tokenização? Definição, fluxo de pagamento e exemplos

Pontos principais

• Definição: A tokenização é o processo de substituir dados de pagamento sensíveis por um valor substituto de uso restrito, para reduzir a exposição do número real do cartão nos sistemas.
• Posição no fluxo: A tokenização usa um valor substituto de uso restrito no lugar do PAN nos pagamentos.
• Não confunda: Tokenização / Token de pagamento

Como entra no fluxo de pagamento

No caso da tokenização, o fluxo é o seguinte: a tokenização usa um valor substituto de uso restrito no lugar do PAN nos pagamentos. O token de pagamento é essa credencial substituta, o token de rede é gerenciado pelo sistema de tokenização da bandeira, e o token de dispositivo se caracteriza pelo vínculo com um dispositivo ou uma instância de carteira específica; o provedor de serviços de tokenização (TSP) cuida de serviços como a solicitação, o mapeamento e o ciclo de vida dos tokens.

Ao avaliar a tokenização, observe o seguinte: a carteira digital guarda ou aciona credenciais digitais, e o push provisioning adiciona as credenciais à carteira a partir de um canal confiável, como o aplicativo do emissor. Troca de cartão, troca de dispositivo, suspensão da conta ou exclusão da carteira podem acionar uma atualização do status do token.

Exemplo prático

Ao salvar uma forma de pagamento, o lojista envia o PAN a um serviço de tokenização confiável e guarda o valor substituto no próprio sistema. Usar o token depois reduz a exposição do PAN, mas o mapeamento e as permissões de acesso continuam precisando de proteção.

Diferenças em relação a termos parecidos

Em essência, a tokenização é o processo de substituir dados de pagamento sensíveis por um valor substituto de uso restrito, para reduzir a exposição do número real do cartão nos sistemas; já o token de pagamento é um identificador substituto usado no processamento de transações no lugar da credencial de pagamento real, com escopo de uso e ciclo de vida controlados pelo programa de tokens. Os dois conceitos podem aparecer na mesma transação, mas respondem a perguntas diferentes.

Uso, riscos e limites

A tokenização tem um limite importante: o token reduz a exposição do PAN e o valor de um eventual vazamento, mas não oferece anonimato nem substitui o desbloqueio do dispositivo, a recuperação da conta e a proteção dos acessos aos sistemas internos. A própria solicitação de token também exige verificação de identidade e de risco.

Perguntas frequentes

A seguir, as respostas para as duas dúvidas mais comuns de quem pesquisa sobre tokenização.

É a mesma coisa que token de pagamento?

Não. A tokenização é o processo de substituir dados de pagamento sensíveis por um valor substituto de uso restrito, para reduzir a exposição do número real do cartão nos sistemas. O token de pagamento é um identificador substituto usado no processamento de transações no lugar da credencial de pagamento real, com escopo de uso e ciclo de vida controlados pelo programa de tokens. Para diferenciar, verifique separadamente o objeto, a etapa do fluxo e a parte responsável.

Um token de pagamento vazado pode ser usado em qualquer lugar, como o número original do cartão?

No caso da tokenização, em geral não se pode presumir isso. Os tokens de pagamento EMV podem ser restritos a um lojista, dispositivo ou caso de uso, mas o rigor real desses controles e o tratamento de um vazamento ainda dependem do programa de tokens.

Tradução assistida por IA; o texto original foi revisado por Steven Cai.