Cardul adăugat într-un portofel digital poate fi reprezentat printr-un număr diferit de cel imprimat pe plastic. Procedeul se numește tokenizare: numărul folosit pentru identificarea cardului este înlocuit, într-un anumit circuit de plată, cu un identificator substitut. Acest token este legat de cardul inițial, dar poate fi limitat la un dispozitiv sau la un comerciant. Numărul diferit nu indică automat existența unui alt cont bancar.
De la card la identificatorul digital
Mastercard descrie tokenizarea pentru plăți cu telefonul sau ceasul, pentru cumpărături în aplicații și pentru carduri păstrate de comercianți în vederea unor tranzacții ulterioare. În aceste situații, comerciantul nu are nevoie să primească numărul original pentru fiecare plată. Furnizorul serviciului de tokenizare gestionează asocierea dintre identificatorul substitut și card. În infrastructură, acest rol poate reveni unei rețele de carduri, unui emitent sau altui furnizor autorizat.
Visa distinge numărul principal al cardului, numit PAN în documentația tehnică, de numărul asociat unui dispozitiv, numit DAN. Un telefon și o tabletă pot avea identificatori diferiți pentru același card. Separarea permite aplicarea unor reguli de utilizare pentru fiecare reprezentare digitală. De aceea, ultimele cifre afișate la o tranzacție realizată printr-un portofel pot diferi de cele ale cardului fizic.
Crearea tokenului nu este doar copierea datelor introduse într-o aplicație. Conform descrierii Mastercard, cererea ajunge în infrastructura de tokenizare, iar emitentul decide dacă aprobă cardul pentru utilizare sau solicită verificări suplimentare. Emitentul poate și respinge înrolarea. Compatibilitatea portofelului, a cardului și a băncii face parte din acest proces; simpla existență a unui telefon cu funcție de plată nu dovedește că orice card poate fi adăugat.
Ce păstrează dispozitivul
Pentru Apple Pay, documentația de securitate arată că datele cardului sunt transmise pentru verificare, iar după aprobare emitentul creează un număr specific dispozitivului. Acesta este stocat în Secure Element, o componentă destinată protejării datelor de plată. Numărul complet al cardului original nu este păstrat în această componentă. Identificatorul dispozitivului nu este inclus în copiile de siguranță iCloud și este separat de numărul imprimat pe card.
Un Apple Watch primește propriul număr pentru cardul înrolat. Apple explică faptul că, la adăugarea cardului pe alt dispozitiv, este reluat procesul de verificare: informația pentru noul aparat nu este pur și simplu copiată de pe primul. Prin urmare, același card poate avea mai multe reprezentări digitale. Identitatea contului de bază și identitatea fiecărui dispozitiv îndeplinesc funcții diferite în circuitul unei plăți.
În cazul tokenurilor de rețea pentru comerțul online, Visa descrie și identificatori specifici unui comerciant. Asocierea cu un anumit mediu limitează locurile în care tokenul poate fi folosit. Un identificator obținut pentru un magazin nu este conceput ca înlocuitor universal al numărului cardului la orice alt magazin. Această restricție privește tokenul și regulile sale de utilizare, nu schimbarea titularului sau a băncii emitente.
Tranzacția continuă să circule prin infrastructura de acceptare a plăților. În explicația Visa, datele trec de la comerciant prin procesator sau banca acceptatoare și rețeaua de carduri, unde tokenul poate fi asociat numărului inițial pentru transmiterea către emitent. Faptul că magazinul primește alt identificator nu elimină banca din autorizarea plății. Tokenizarea schimbă reprezentarea datelor, fără să transforme portofelul digital în emitentul cardului.
Tokenul și codul unei tranzacții
Identificatorul cardului este diferit de codul de securitate generat pentru o plată. Apple descrie o criptogramă transmisă împreună cu numărul dispozitivului. Codul este calculat folosind o cheie și un contor care crește la fiecare tranzacție nouă. În funcție de schema de plată, calculul poate include și date provenite de la terminal sau elemente pentru prevenirea reutilizării mesajului într-o tranzacție online.
Astfel, un token poate rămâne asociat dispozitivului pentru mai multe cumpărături, în timp ce criptograma este specifică tranzacției. Sunt două straturi distincte, care nu trebuie confundate cu un cod static scris pe plastic. Rețeaua de plăți și emitentul folosesc datele primite pentru verificarea operațiunii. Documentația Apple precizează că lungimea codurilor de securitate poate varia în funcție de tipul tranzacției.
Google Wallet folosește, pentru cardurile eligibile adăugate în aplicație, un număr virtual comunicat comerciantului în locul celui real. Documentația cere blocarea ecranului pentru plățile în magazine. Această condiție privește utilizarea portofelului pe telefon; nu stabilește că toate cardurile sau toate dispozitivele au aceeași procedură de autentificare. Disponibilitatea reprezentării virtuale depinde de card și de implementarea serviciului.
Cardurile virtuale pentru cumpărături online
Google separă explicit cardurile virtuale folosite la completarea automată a formularelor în Chrome de cele create pe dispozitiv pentru plata prin apropiere. Funcția online este disponibilă pentru anumite bănci sau rețele și în anumite țări ori regiuni. Descrierea generală a serviciului nu dovedește disponibilitatea sa pentru toate cardurile emise în România. Opțiunea apare numai pentru cardurile eligibile în acel serviciu.
Pentru aceste plăți online, numărul, data expirării și codul de securitate pot fi diferite de cele ale cardului fizic. Google arată că unii emitenți folosesc un număr virtual cu un cod diferit pentru fiecare comerciant, iar alții generează numere distincte pentru magazine. Documentația precizează că reprezentarea virtuală nu creează linii de credit separate: limita, soldul, comisioanele și informațiile tranzacției rămân cele ale cardului de bază.
Diferența dintre numere contează și la identificarea unei cumpărături. Pentru un retur sau ridicarea unui produs cumpărat cu această funcție, comerciantul poate solicita ultimele patru cifre ale cardului virtual. Google indică posibilitatea găsirii lor în datele tranzacției sau prin emitent. Numărul imprimat pe plastic poate avea alte terminații, deși achiziția este înregistrată pe aceeași metodă de plată.
Suspendarea plăților de pe un aparat pierdut
Apple permite suspendarea Apple Pay prin marcarea dispozitivului ca pierdut, atunci când serviciul de localizare este activat. Ștergerea de la distanță elimină posibilitatea plății cu cardurile de pe acel aparat; suspendarea poate fi realizată și prin emitent. Pentru Android, Google arată că ștergerea dispozitivului elimină informațiile de plată, inclusiv cardurile adăugate. Aceste operațiuni privesc reprezentările de pe dispozitivul afectat, nu creează un cont nou.
În Apple Pay, numărul dispozitivului și codul dinamic sunt trimise pentru tranzacție, fără comunicarea numărului original al cardului către comerciant. Autorizarea poate implica biometrie sau codul aparatului; există și utilizări specifice, precum modul Express, cu reguli diferite. Tokenizarea reduce expunerea datelor cardului în aceste circuite, dar funcționează împreună cu aprobarea emitentului și cu mecanismele de securitate ale dispozitivului, fără a înlocui aceste verificări.