Tokenizzazione dei pagamenti: nozioni di base, funzionamento, vantaggi e tipologie

La tokenizzazione dei pagamenti sostituisce il numero della carta di un cliente con una stringa generata in modo casuale che non presenta alcun collegamento matematico con i dati originali. Se tale stringa dovesse trapelare a seguito di una violazione, risulterebbe inutile al di fuori dell’esatto contesto della transazione per cui è stata creata. Questo è il vantaggio principale, ma non è tutto: la tokenizzazione tende anche a migliorare i tassi di autorizzazione da 3 a 6%, e i token di rete, in particolare, possono ridurre le frodi di circa 30%.

Per chiunque stia sviluppando o ampliando soluzioni di pagamento online, quella combinazione di sicurezza e potenziale di crescita dei ricavi è il motivo per cui la tokenizzazione è diventata quasi un requisito fondamentale, piuttosto che un semplice valore aggiunto. Ne sentiamo parlare costantemente nelle conversazioni con gli esercenti che stanno valutando prevenzione delle frodi strumenti, quindi vale la pena spiegare di cosa si tratta effettivamente, come funziona e quale sia il suo ruolo rispetto alla crittografia.

Che cos’è la tokenizzazione dei pagamenti?

Ma cos’è esattamente la tokenizzazione dei pagamenti? Si tratta di un processo di sicurezza che sostituisce i dati sensibili relativi al pagamento — nella maggior parte dei casi il numero della carta — con un token unico generato in modo casuale. Il token non ha alcuna relazione matematica con la carta a cui si riferisce, quindi, anche se qualcuno lo intercettasse, non ci sarebbe alcun modo di ricostruire i dati originali.

Ecco come si incastrano i vari elementi: un gateway di pagamento o un processore genera il token e indirizza i dati reali della carta verso un archivio sicuro, dove vengono conservati sotto rigorosi controlli di accesso. Il commerciante non ha mai accesso a tale archivio. Ciò che arriva nei sistemi del commerciante è il token: un innocuo segnaposto che di per sé non significa nulla.

Questa distinzione è più importante di quanto possa sembrare a prima vista. Se il database di un esercente viene compromesso, non ci sono dati delle carte da rubare, perché non ne sono mai stati memorizzati. La tokenizzazione nei pagamenti cambia ciò che è effettivamente a rischio in caso di violazione, non solo la difficoltà di accesso ai dati.

Inoltre, garantisce in modo discreto molte delle esperienze di pagamento che i clienti ormai danno per scontate. Le carte salvate, il pagamento con un solo clic e la fatturazione ricorrente dipendono tutti dalla possibilità di fare riferimento al metodo di pagamento di un cliente senza conservare il numero di carta in chiaro. Anche i portafogli digitali come Apple Pay e Google Pay non funzionerebbero come fanno ora senza questa funzionalità.

Supponiamo che un cliente acquisti una giacca online e spunti la casella “salva la mia carta”. Senza la tokenizzazione, il negozio dovrebbe memorizzare da qualche parte il numero effettivo della carta per rendere possibile l’operazione — una responsabilità che la maggior parte dei team preferirebbe non assumersi. Con la tokenizzazione, il negozio conserva semplicemente un token nei propri archivi. La volta successiva che quel cliente effettua il checkout, il negozio invia il token, non il numero della carta, e il gestore del pagamento si occupa del resto tramite il vault. Il cliente ne trae vantaggio in termini di comodità; il negozio, dal canto suo, non diventa mai un bersaglio per il furto dei dati delle carte.

Come funziona la tokenizzazione dei pagamenti?

Analizzare i meccanismi alla base di questo processo aiuta a spiegare perché la tokenizzazione si riveli così efficace nella pratica. Ecco come funziona la tokenizzazione nei pagamenti, passo dopo passo.

1. Si parte dall'acquisizione dei dati: Un cliente inserisce i dati della propria carta in un modulo di pagamento e il gateway di pagamento acquisisce quei dati grezzi prima che vengano trasmessi altrove. A quel punto entra in gioco la generazione del token: il gateway o il processore crea un token univoco che sostituisce il numero della carta. Questa prima fase, che comprende l'acquisizione e la generazione, costituisce di fatto la base su cui si fonda il resto del processo.
2. Segue poi la conservazione in un caveau di sicurezza. I dati originali della carta vengono archiviati in un deposito di token conforme allo standard PCI, mentre il sistema dell’esercente riceve solo il token. È proprio questo il passaggio che garantisce che i dati della carta rimangano completamente al di fuori dell’infrastruttura dell’esercente: è il deposito a custodire le informazioni sensibili, non il negozio o l’app tramite cui il cliente ha appena effettuato il pagamento.
3. Quando arriva il momento di addebitare effettivamente l'importo sulla carta, L'autorizzazione della transazione utilizza il token per richiedere l'approvazione all'emittente. Il token fa riferimento ai dati archiviati in modo sicuro in background, pertanto la richiesta di autorizzazione non espone mai il numero della carta stesso.

Per gli abbonamenti e i metodi di pagamento salvati, lo stesso token può rappresentare quell’account in decine o centinaia di transazioni future: è questo che rende possibile l’uso ricorrente senza chiedere ai clienti di reinserire i dati della propria carta a ogni ciclo di fatturazione. I token di rete aggiungono un ulteriore livello di praticità: quando una carta viene riemessa (in caso di smarrimento, scadenza o riemissione a seguito di una violazione), il token di rete si aggiorna automaticamente. Le aziende che gestiscono abbonamenti continuano a riscuotere i pagamenti senza interruzioni e i clienti non si accorgono nemmeno che la loro carta sia stata sostituita. La tokenizzazione dei gateway di pagamento che include questo meccanismo di aggiornamento rappresenta un vero e proprio vantaggio operativo, non solo una funzionalità di sicurezza.

Immaginate un’azienda SaaS che fattura mensilmente a un cliente. Al momento della registrazione, la carta viene tokenizzata una sola volta. Ogni mese successivo, il sistema di fatturazione invia lo stesso token al gestore dei pagamenti: i dati della carta non vengono mai più utilizzati, nessun campo sensibile ai standard PCI è presente nel database dell’app e, se la banca del cliente riemette la carta durante il periodo di abbonamento, il token viene aggiornato silenziosamente in background, evitando che si verifichi un pagamento fallito e la creazione di un ticket di assistenza.

Sei pronto a potenziare la tua infrastruttura di pagamento?

Smettila di fare i conti con flussi di pagamento frammentati. Accedi a IBAN dedicati, SEPA Instant e integrazioni API senza soluzione di continuità, il tutto da un’unica piattaforma unificata.

Contatta l'ufficio vendite Scopri i nostri prodotti

Tipi di token di pagamento

Non tutti i token hanno lo stesso scopo, e scegliere il tipo sbagliato per un determinato caso d'uso può causare problemi in seguito. La tokenizzazione dei pagamenti comprende alcune categorie distinte che vale la pena conoscere.

• Token monouso scadono dopo una sola transazione. Sono pensate per acquisti una tantum in cui non c’è motivo di conservare i dati della carta dopo l’acquisto — come nel caso di un checkout per ospiti che non torneranno mai più.
• Gettoni multiuso, al contrario, possono rappresentare lo stesso account per anni. Si tratta, ad esempio, degli abbonamenti, delle carte salvate e di qualsiasi impostazione di fatturazione ricorrente.
• Token che preservano il formato mantenere la stessa struttura dei dati originali — stessa lunghezza, stesso schema di caratteri — cosa importante per i sistemi legacy che si aspettano dati in un formato specifico e non sono stati progettati per gestire altro.
• Token che non preservano il formato vanno nella direzione opposta, differendo sia per lunghezza che per formato dai dati di origine. Questa differenza costituisce una misura di sicurezza: un token che non assomiglia nemmeno a un numero di carta è più difficile da utilizzare in modo improprio se dovesse finire dove non dovrebbe.
• Token dei commercianti appartengono al commerciante e possono essere riutilizzati su tutti i canali di quel commerciante — sito web, app, negozio fisico — ma sono legati specificatamente a quella singola relazione.
• Token di rete, emessi direttamente dai circuiti di carte di credito, sono i più efficaci del gruppo. Si aggiornano automaticamente quando una carta viene riemessa, possono beneficiare di commissioni interbancarie più basse e contribuiscono a ridurre le frodi di circa 30%. Per gli esercenti che stanno valutando quale tipo implementare, i token dei circuiti di carte di credito rappresentano solitamente la soluzione più vantaggiosa nel lungo termine.

In pratica, la maggior parte delle aziende finisce per utilizzare più di un tipo alla volta, senza optare per uno solo. Una piattaforma di biglietteria potrebbe tokenizzare gli acquisti relativi a eventi una tantum con token monouso, mentre gestisce i rinnovi degli abbonamenti stagionali tramite token di rete riutilizzabili: stessa piattaforma, due attività diverse, due tipi diversi di token che svolgono il compito per cui sono stati effettivamente progettati.

Tokenizzazione dei pagamenti vs crittografia

Questi due concetti vengono costantemente confusi, e la confusione è comprensibile: entrambi proteggono i dati ed entrambi ricorrono nelle discussioni sul PCI. Tuttavia, risolvono problemi diversi.

Crittografia trasforma i dati in testo cifrato utilizzando un algoritmo matematico, e tale testo cifrato può essere decifrato per ottenere nuovamente i dati originali utilizzando la chiave corretta. È reversibile per sua stessa natura. Tokenizzazione dei pagamenti funziona in modo diverso: il token non ha alcuna relazione matematica con il numero della carta che sostituisce, quindi non esiste una chiave che consenta di ricondurlo ai dati originali. L'unico modo per ricollegare un token alla sua carta è attraverso il deposito sicuro che lo ha generato: l'inversione avviene tramite una ricerca, non un calcolo.

Tale differenza strutturale comporta una conseguenza concreta in termini di conformità. Poiché i dati tokenizzati non risiedono mai effettivamente nei sistemi dei commercianti, la tokenizzazione riduce la porzione dell’infrastruttura del commerciante che rientra nell’ambito di applicazione dello standard PCI DSS. I dati delle carte crittografati, se rimangono ancora da qualche parte nell’ambiente di un commerciante, fanno sì che tale ambiente rientri interamente nell’ambito di applicazione dello standard, indipendentemente dal livello di sicurezza della crittografia.

Nulla di tutto ciò rende obsoleta la crittografia: le due cose sono complementari e la maggior parte dei sistemi di pagamento più affidabili, compresi quelli che realizziamo per servizi per esercenti clienti, utilizzate entrambe le opzioni insieme, anziché preferirne una all'altra.

Un processo di pagamento tipico si avvale in realtà di entrambe le tecniche contemporaneamente. La connessione tra il browser del cliente e il modulo di pagamento è crittografata durante il trasferimento: è il protocollo TLS che svolge il proprio compito prima ancora che il numero della carta raggiunga il gateway. Una volta arrivato, subentra la tokenizzazione per l’archiviazione e il riutilizzo. La crittografia protegge i dati in transito; la tokenizzazione li protegge una volta che devono essere archiviati da qualche parte. Considerarle come sostitute l’una dell’altra significa non comprendere il motivo per cui la maggior parte dei sistemi di pagamento più affidabili le utilizza in parallelo.

Vantaggi della tokenizzazione dei pagamenti

I vantaggi in termini di sicurezza derivanti dalla tokenizzazione dei pagamenti sono evidenti, ma non sono affatto l’unico motivo per cui vale la pena implementarla.

• Iniziare dalla riduzione delle frodi: un token rubato risulta immediatamente inattivo al di fuori del contesto della transazione originale e, in particolare, i token di rete possono ridurre le frodi di circa il 30%. Si tratta di una riduzione significativa delle frodi "card-not-present", che rimangono una delle categorie più difficili da contrastare per i commercianti online.
  
• A seguire, si registrano tassi di autorizzazione più elevati. Le transazioni tokenizzate tendono a registrare risultati di approvazione migliori rispetto ai pagamenti tradizionali con carta: la tokenizzazione può aumentare i tassi di autorizzazione da 3 a 6%, e Visa ha registrato un aumento del 4,61 TP3T in particolare per quanto riguarda i tassi di autorizzazione in assenza di carta legati alla tokenizzazione. Per un esercente che gestisce volumi significativi, tale differenza si riflette direttamente nel recupero di ricavi che altrimenti sarebbero stati rifiutati al momento del pagamento.
  
• C'è poi di nuovo la questione del PCI: La tokenizzazione restringe l’ambito di conformità, evitando fin dall’inizio che i dati sensibili entrino nei sistemi degli esercenti. Gli esercenti devono comunque soddisfare tutti i 12 requisiti PCI DSS nel loro complesso, ma il numero di sistemi effettivamente soggetti a tali requisiti si riduce notevolmente una volta che sono i token — e non i numeri delle carte — a circolare all’interno dell’infrastruttura.
  
• Il costo tende a seguire lo stesso andamento. I token di rete possono beneficiare di commissioni interbancarie più basse e la gestione di un minor volume di flussi di dati sensibili comporta, in genere, una riduzione dei costi operativi legati alla sicurezza e alla revisione contabile.
  
• Anche i clienti ne traggono vantaggio. La memorizzazione dei dati delle carte e gli acquisti con un solo clic sono possibili grazie alla tokenizzazione, e questa esperienza di pagamento più fluida rappresenta un vero e proprio fattore di conversione. Per le aziende che operano nel settore degli abbonamenti, in particolare, l’aggiornamento automatico dei token di rete in caso di riemissione della carta significa che fatturazione ricorrente continua a funzionare senza quella fastidiosa e-mail di pagamento non andato a buon fine che un tempo seguiva ogni riemissione della carta.

Facciamo un calcolo approssimativo: un esercente che gestisce $2 milioni all’anno di vendite senza presenza fisica della carta, registrando anche solo un aumento del 4% nel tasso di autorizzazione, recupera quasi $80.000 in transazioni che altrimenti sarebbero state rifiutate al momento del pagamento. Non si tratta di un indicatore di sicurezza, ma di ricavi già guadagnati che stavano per sfuggirci a causa di un cavillo tecnico.

Tokenizzazione dei pagamenti e conformità allo standard PCI DSS

I team addetti alla conformità tendono a porre innanzitutto una domanda: in che misura la tokenizzazione riduce effettivamente il nostro carico di lavoro in materia di revisione contabile? La risposta onesta è: “in modo significativo, ma non del tutto”.”

Poiché i dati sensibili delle carte vengono trasferiti nel deposito sicuro dei token anziché rimanere nell’infrastruttura dell’esercente, gran parte dei requisiti PCI DSS che si applicano specificatamente ai sistemi che gestiscono i dati delle carte cessano semplicemente di applicarsi all’ambiente dell’esercente stesso. Gli esercenti che conservano solo i token non conservano ciò che il PCI DSS è progettato per proteggere, pertanto tali sistemi non rientrano nei requisiti più rigorosi.

Detto questo, i 12 requisiti PCI DSS nel loro complesso continuano ad applicarsi all’obbligo generale di conformità del commerciante: la tokenizzazione restringe l’ambito dei sistemi che devono essere valutati in base a tali requisiti, non i requisiti stessi. In pratica, tale ambito più ristretto comporta un minor numero di sistemi da sottoporre a verifica, un minor numero di sistemi da proteggere secondo gli standard più elevati e costi di conformità ricorrenti inferiori.

Questo è uno dei settori in cui la scelta dell’infrastruttura riveste maggiore importanza. ConnectPay integra la tokenizzazione nella propria infrastruttura di pagamento come livello standard anziché come componente aggiuntivo; in questo modo, le piattaforme che utilizzano tale infrastruttura beneficiano di un ambito PCI ridotto senza dover avviare un progetto di tokenizzazione separato — fa parte di quanto previsto da conformità integrata fin dal primo giorno.

Prendiamo ad esempio una piattaforma di e-commerce di medie dimensioni che in passato memorizzava direttamente i numeri delle carte di credito per supportare i riordini con un solo clic. Quella decisione, da sola, ha fatto rientrare l’intero sistema di gestione degli ordini nell’ambito di applicazione dello standard PCI DSS: ogni server, ogni backup, ogni dipendente con accesso al database è diventato oggetto dell’audit. Passando invece ai token, il sistema di gestione degli ordini vede solo un token; l’ambito dell’audit si riduce al fornitore del vault, non all’intero stack del commerciante.

La tokenizzazione dei pagamenti nella pratica: casi d'uso

La tokenizzazione smette ben presto di essere un concetto astratto non appena si osserva in quali contesti si manifesta concretamente.

I portafogli digitali ne sono l'esempio più evidente

Sia Apple Pay che Google Pay memorizzano un token digitale al posto del numero effettivo della carta del cliente, e questo è uno dei motivi per cui i pagamenti tramite wallet risultano veloci e sicuri: il token presente sul dispositivo è privo di valore per chiunque non abbia accesso al deposito sottostante. L’elaborazione dei pagamenti tramite tokenizzazione è davvero fondamentale per il funzionamento stesso di questi wallet.

L'abbonamento e la fatturazione ricorrente rappresentano un altro importante caso d'uso

È probabilmente qui che la funzione di aggiornamento automatico dei token di rete dà i migliori risultati: l'abbonamento a una palestra o a un servizio SaaS continua ad essere addebitato anche dopo la scadenza e la riemissione della carta del cliente, senza alcun intervento manuale.

Il servizio "card-on-file" nell'e-commerce è il terzo grande settore

La tokenizzazione è ciò che permette a un cliente abituale di completare l'acquisto con un solo clic, invece di dover reinserire ogni volta le sedici cifre: si tratta di un piccolo dettaglio che, nel complesso, si traduce in un aumento concreto del tasso di conversione, soprattutto per i negozi che desiderano accettare pagamenti con carta senza attrito nella fase finale.

I marketplace utilizzano la tokenizzazione in modo leggermente diverso

Garantisce la sicurezza delle credenziali di pagamento memorizzate per i conti di pagamento dei venditori, dove lo stesso principio “non conservare ciò che non serve” si applica ai pagamenti in uscita tanto quanto a quelli in entrata. Si pensi a un marketplace di affitti che effettua pagamenti a centinaia di host ogni settimana: la tokenizzazione di tali credenziali di pagamento significa che i sistemi della piattaforma non conservano mai direttamente un numero di conto corrente, il che è importante tanto per un marketplace bilaterale quanto per la carta dell’acquirente all’altro capo della transazione.

Anche i pagamenti in-app si basano sulla tokenizzazione, consentendo alle app di elaborare gli acquisti senza mai conservare i dati grezzi della carta all’interno dell’app stessa.

Che si tratti di che offrono carte di pagamento ai clienti o per fornire assistenza pagamento senza contatto Nelle opzioni disponibili al momento del pagamento, la tokenizzazione avviene solitamente in modo trasparente in background. L’infrastruttura di ConnectPay integra la tokenizzazione in tutti questi flussi, quindi non è necessario implementarla o proteggerla separatamente per ciascuno di essi.

Come implementare la tokenizzazione dei pagamenti

Per un’azienda che sta valutando l’adozione della tokenizzazione, le questioni pratiche si riducono a una manciata di decisioni.

1. Primo: scegliete un gateway di pagamento o un gestore che supporti la tokenizzazione in modo nativo. Realizzare un token vault da zero è un’impresa ardua, sia dal punto di vista tecnico che di conformità, e raramente ne vale la pena quando fornitori affermati offrono già questa funzionalità integrata.
2. Secondo: Scegliere tra token del commerciante e token di rete in base al caso d'uso. I token di rete garantiscono l’aggiornamento automatico delle carte e, potenzialmente, commissioni di interscambio più basse, il che tende a renderli l’opzione predefinita più vantaggiosa per le aziende basate su abbonamenti e ricavi ricorrenti. I token dell’esercente offrono un controllo più diretto sui canali propri dell’azienda, il che può essere importante per gli esercenti di grandi dimensioni che gestiscono sistemi web, app e in-store strettamente integrati.
3. Terzo: verificate che il token vault stesso sia effettivamente conforme allo standard PCI: non basta fidarsi di quanto riportato nella pagina di marketing del fornitore, vale la pena verificarlo direttamente.
4. Quarto: integrare la tokenizzazione in modo coerente in ogni flusso di pagamento — carte registrate, addebiti ricorrenti, acquisti una tantum — anziché aggiungerla in modo frammentario a un solo flusso.
5. E infine, misurare i tassi di autorizzazione prima e dopo l'implementazione. Poiché la tokenizzazione può migliorare i tassi di autorizzazione da 3 a 6%, si tratta di un dato concreto e verificabile su cui basare la valutazione dell'implementazione.

Eseguilo come un vero e proprio confronto “prima e dopo”, piuttosto che come una valutazione intuitiva. Raccogli i dati sui tassi di autorizzazione relativi a un periodo di riferimento comparabile prima del passaggio, quindi monitora lo stesso indicatore per alcune settimane dopo l’entrata in vigore delle transazioni tokenizzate. Se l’incremento non si manifesta in qualche punto di quell’intervallo compreso tra 3 e 61 TP3T, di solito è segno che l’integrazione è stata implementata solo parzialmente: il flusso di pagamento continua a trasmettere i numeri di carta non crittografati da qualche parte, oppure i token di rete non sono abilitati dove potrebbero esserlo.

Per le piattaforme che non desiderano gestire questa funzionalità come progetto a sé stante, ConnectPay offre gateway di pagamento integra la tokenizzazione nell'infrastruttura di base, insieme alla fatturazione ricorrente e alla prevenzione delle frodi — quindi è già inclusa sin dalla prima integrazione, anziché essere aggiunta in un secondo momento.