Co oznacza tokenizacja karty i jak wpływa na Twój biznes?

Co to jest tokenizacja karty

Numer karty płatniczej (PAN, primary account number) to najbardziej wrażliwa dana w całym procesie płatności. Kto zna go razem z datą ważności i kodem CVV, może próbować płacić cudzą kartą. Tokenizacja karty polega na tym, że prawdziwy numer zostaje zastąpiony tokenem: ciągiem cyfr, który wygląda jak numer karty i przechodzi przez tę samą infrastrukturę płatniczą, ale sam w sobie nie ujawnia danych karty.

Token ma trzy cechy, które odróżniają go od zwykłego numeru:

• jest powiązany z konkretnym urządzeniem, portfelem cyfrowym lub sprzedawcą, u którego karta została zapisana,
• nie da się z niego odtworzyć prawdziwego numeru karty,
• poza swoim kontekstem jest bezużyteczny: token z telefonu nie zadziała w sklepie internetowym, a token zapisany u jednego sprzedawcy nie zadziała u innego.

Fizyczna karta nie znika. Token jest jej cyfrowym odpowiednikiem, a oryginalna karta nadal działa w terminalu i bankomacie. Jedna karta może mieć wiele tokenów: osobny w telefonie, osobny w zegarku i osobny w każdym sklepie, który zapisał ją do przyszłych zakupów.

Jak działa tokenizacja karty w praktyce

Z perspektywy klienta tokenizacja jest niewidoczna: dodaje kartę do portfela w telefonie albo zapisuje ją w sklepie i płaci. W tle pracuje jednak kilka podmiotów i kilka etapów.

Token zamiast PAN

Gdy użytkownik dodaje kartę do portfela cyfrowego, portfel nie zapisuje numeru karty. Zamiast tego prosi wydawcę karty (bank) i organizację płatniczą o jej tokenizację. Od tego momentu w każdej płatności do terminala, sklepu i systemu rozliczeniowego trafia token, a nie PAN. Dopiero po stronie sieci płatniczej token jest dopasowywany do właściwej karty, a bank wydawca autoryzuje transakcję jak każdą inną.

Dostawca usług tokenizacyjnych (TSP)

Za wydanie tokena i jego cykl życia odpowiada dostawca usług tokenizacyjnych, po angielsku token service provider. Zwykle jest nim organizacja płatnicza, która prowadzi tę usługę dla banków wydających karty. TSP:

1. sprawdza, czy karta jest ważna i czy może być używana w danym środowisku (portfel, sklep, urządzenie),
2. generuje unikalny token przypisany do tego urządzenia lub sprzedawcy,
3. przekazuje do portfela token, obraz karty i klucze kryptograficzne potrzebne do podpisywania płatności,
4. utrzymuje powiązanie tokena z kartą i aktualizuje je, na przykład gdy bank wyda kartę z nową datą ważności.

Bank wydawca decyduje, czy tokenizacja ma dojść do skutku. Może wymagać dodatkowego potwierdzenia w aplikacji mobilnej, zanim token zostanie aktywowany.

Ograniczenie domeny i jednorazowy kryptogram

Kluczowym zabezpieczeniem jest ograniczenie domeny (domain restriction): token jest ważny tylko w kanale, dla którego go wydano. Token zbliżeniowy z telefonu nie przejdzie w transakcji internetowej, a token sklepu internetowego nie przejdzie w terminalu. Do tego przy każdej płatności urządzenie generuje jednorazowy kryptogram, rodzaj cyfrowego podpisu tej konkretnej transakcji. Nawet gdyby ktoś przechwycił token razem z kryptogramem, nie powtórzy płatności, bo kryptogram jest ważny tylko raz.

Cykl życia tokena

Token można w każdej chwili unieważnić bez wpływu na kartę. Gdy klient zgubi telefon, bank lub portfel blokuje token przypisany do tego urządzenia, a fizyczna karta i tokeny w innych urządzeniach działają dalej. Podobnie działa usunięcie karty z portfela: token przestaje istnieć w systemie, karta zostaje. Gdy bank wymienia kartę, powiązanie tokena z nową kartą jest aktualizowane automatycznie, więc klient nie musi ponownie wpisywać danych w sklepie ani w portfelu.

Gdzie tokenizacja karty działa na co dzień

Tokenizacja w Apple Pay i Google Pay

Portfele mobilne to najbardziej znane zastosowanie tokenizacji. Dodanie karty do Apple Pay lub Google Pay uruchamia opisany wyżej proces: portfel otrzymuje token przypisany do urządzenia, a nie numer karty. W Apple Pay token i klucze są przechowywane w Secure Element, czyli wydzielonym układzie sprzętowym w urządzeniu; płatność jest podpisywana wewnątrz urządzenia, a numery kart nie są przechowywane na serwerach Apple. Autoryzację zabezpiecza dodatkowo biometria lub kod urządzenia. Google Pay i inne portfele realizują ten sam model: token zamiast PAN, powiązanie z urządzeniem, jednorazowy kryptogram przy każdej transakcji. W każdym z nich do sprzedawcy trafia wyłącznie token.

Tokenizacja w sieciach Mastercard i Visa

Organizacje płatnicze prowadzą własne usługi tokenizacji i w praktyce to one pełnią rolę dostawcy usług tokenizacyjnych dla banków. Mastercard komunikuje tokenizację jako domyślny standard płatności cyfrowych, a nie dodatek do nich: celem jest, by numer karty w ogóle nie krążył między sprzedawcą, portfelem a bankiem. Ta sama logika obejmuje nie tylko portfele mobilne, ale też kartę zapisaną u sprzedawcy (card-on-file) i płatności gościa bez zakładania konta, na przykład w rozwiązaniu Click to Pay. W każdym z tych kanałów dane źródłowe karty są schowane za warstwą tokenów, którymi operuje tylko certyfikowany podmiot.

Tokenizacja kart w bankach

Bank wydawca jest stroną, która zgadza się na tokenizację i autoryzuje każdą płatność tokenem. Banki udostępniają tokenizację w aplikacjach mobilnych i portfelach, a część z nich oferuje tokenizację natychmiastową: kartę można dodać do portfela od razu po jej zamówieniu, zanim plastik dotrze pocztą. Tokenizacja obejmuje też urządzenia ubieralne: zegarki, opaski i pierścienie płatnicze NFC, w których token jest przypisany do danego urządzenia. Zarządzanie tokenami płatniczymi podlega standardowi PCI DSS oraz wymogom dyrektywy PSD2 dotyczącym silnego uwierzytelniania klienta. Przykład takiej usługi w jednym z polskich banków opisujemy w artykule Tokenizacja karty Alior Bank.

Co tokenizacja zmienia w bezpieczeństwie płatności

W tradycyjnej płatności pełne dane karty są przesyłane i często przechowywane po stronie sprzedawcy. Każdy wyciek z takiego systemu oznacza, że numery kart trafiają na czarny rynek i mogą być użyte w dowolnym sklepie. Tokenizacja zmienia ten model w kilku punktach:

• Brak danych wrażliwych u sprzedawcy. Sklep przechowuje token, nie numer karty. Po włamaniu do bazy napastnik zdobywa identyfikatory, których nie użyje nigdzie indziej.
• Ograniczony zasięg nadużycia. Dzięki ograniczeniu domeny skradziony token działa tylko w jednym kanale i u jednego sprzedawcy, a bank może go unieważnić, nie wymieniając karty.
• Jednorazowość transakcji. Kryptogram generowany przy każdej płatności uniemożliwia powtórzenie przechwyconej transakcji.
• Mniejszy zakres obowiązków regulacyjnych. Firma, która nie przechowuje numerów kart, ogranicza zakres systemów objętych wymogami PCI DSS i zmniejsza ryzyko naruszenia ochrony danych osobowych w rozumieniu RODO.

Tokenizacja nie eliminuje każdego ryzyka. Nie chroni przed oszustwem, w którym klient sam autoryzuje płatność na rzecz oszusta, ani przed przejęciem portfela, jeśli urządzenie nie jest zabezpieczone. Zabezpiecza natomiast najsłabszy dotąd punkt: przechowywanie i przesyłanie numeru karty.

Co tokenizacja zmienia w płatnościach i w biznesie

Dla firmy przyjmującej płatności kartami tokenizacja ma skutki wykraczające poza bezpieczeństwo.

• Mniej strat z tytułu oszustw i mniejsze ryzyko odpowiedzialności za wyciek danych kartowych.
• Wyższa skuteczność autoryzacji. Transakcje tokenizowane są przez banki traktowane jako bezpieczniejsze, co przekłada się na mniej odrzuconych płatności.
• Mniej tarcia dla klienta. Klient nie przepisuje numeru karty przy każdym zakupie, a po wymianie karty nie musi aktualizować danych w sklepie czy w subskrypcji, bo token jest aktualizowany automatycznie.
• Stabilniejsze płatności cykliczne. Subskrypcje, abonamenty i karta zapisana na koncie przestają wygasać razem z plastikiem.

Najwięcej zyskują modele, w których karta jest zapisywana na dłużej: e-commerce, aplikacje mobilne, usługi subskrypcyjne i marketplace’y. Tam każdy odrzucony lub porzucony zakup to realny koszt, a tokenizacja obniża oba wskaźniki.

Jak wdrożyć tokenizację karty w firmie

Sprzedawca nie buduje własnego systemu tokenizacji. Tokeny wydaje organizacja płatnicza i bank, a firma korzysta z nich przez agenta rozliczeniowego lub operatora płatności, który obsługuje tokenizację w swojej bramce. W praktyce wdrożenie sprowadza się do kilku decyzji:

1. Sprawdzenie, czy obecny operator płatności obsługuje tokeny sieciowe (network tokens) dla kart zapisanych na koncie klienta i dla płatności cyklicznych.
2. Włączenie portfeli cyfrowych (Apple Pay, Google Pay, Click to Pay) jako metod płatności w sklepie lub aplikacji.
3. Usunięcie numerów kart z własnych systemów i zastąpienie ich tokenami, co ogranicza zakres PCI DSS.
4. Przegląd regulaminów i polityki prywatności pod kątem tego, jakie dane płatnicze firma faktycznie przetwarza po zmianie.

Zgodność z prawem w tym obszarze zapewniają głównie operator płatności i bank, które działają w ramach PSD2, PCI DSS i regulacji organizacji płatniczych. Firma odpowiada za to, co przechowuje po swojej stronie, dlatego ograniczenie przetwarzania danych kartowych do tokenów jest najprostszym sposobem na zmniejszenie własnego ryzyka prawnego.

Czym tokenizacja karty różni się od tokenizacji aktywów

Słowo „tokenizacja” opisuje dziś dwa różne mechanizmy. Tokenizacja karty działa w zamkniętej infrastrukturze organizacji płatniczych i banków: token jest zastępnikiem numeru karty, nie ma własnej wartości i nie da się nim obracać. Nie korzysta z publicznego blockchaina. Tokenizacja aktywów to z kolei zapis praw do czegoś realnego, na przykład udziału w przychodzie z najmu, akcji spółki czy wierzytelności, w postaci tokena w sieci blockchain. Taki token reprezentuje prawo, które można przenosić, a jego emisja podlega regulacjom rynku kapitałowego i MiCA.

Wspólna jest tylko idea: cyfrowy zastępnik, który pozwala operować wartością bez ujawniania lub przenoszenia tego, co za nim stoi. Zbliżenie obu światów widać w bankach, które równolegle rozwijają tokenizację płatności i uczestniczą w projektach tokenizacji aktywów instytucjonalnych, takich jak tokenizowane fundusze rynku pieniężnego czy cyfrowe obligacje. BNP Paribas jest przykładem instytucji obecnej w obu obszarach: od rozwiązania Click to Pay w płatnościach po udział w infrastrukturze tokenizacji aktywów.

Tokenizacja kart płatniczych jest domeną banków i organizacji płatniczych i nie należy do oferty Tokenuj. Zajmujemy się drugim obszarem: tokenizacją aktywów i przygotowaniem emisji tokenów w Polsce i UE. Jeśli interesuje Cię, jak działa ten model, przeczytaj artykuł Tokenizacja: co to jest i dlaczego firmy coraz częściej z niej korzystają lub zobacz opis usługi tokenizacji aktywów rzeczywistych (RWA).

Źródła

• https://newsroom.mastercard.com/news/perspectives/2024/what-is-tokenization/
• https://www.mastercard.com/pl/pl/aktualnosci-i-trendy/stories/2025/czym%20jest%20tokenizacja.html
• https://www.paypal.com/us/money-hub/article/what-is-credit-card-tokenization
• https://pep.pl/poradnik/tokenizacja-karty-platniczej/
• https://www.polcard.pl/strefa-klienta/komunikaty/tokenizacja-kart-platniczych/
• https://developer.apple.com/apple-pay/merchant-tokens/
• https://www.techtarget.com/searchsecurity/tip/How-payment-tokenization-works-and-why-its-important