Qu’est-ce que la tokenisation des paiements?

La tokenisation émet un jeton à la place du numéro de carte et limite ses usages. EMVCo, qui publie les spécifications EMV, décrit le jeton EMV comme «une valeur alternative unique» dont «l’utilisation est restreinte. Par exemple, à un marchand, appareil ou scénario de paiement précis» (EMVCo).

Dans un article de 2022, EMVCo suit le jeton depuis le point d’achat jusqu’à l’acquéreur, puis à travers les réseaux jusqu’à l’émetteur de la carte, qui autorise le paiement. Un prestataire de services de tokenisation émet les jetons, et EMVCo attribue un code à chacun de ces prestataires. Une référence de compte de paiement (PAR) relie les transactions tokenisées au PAN. Après une violation de données, l’émetteur peut remplacer les jetons d’un marchand ou appareil précis, «souvent sans interaction avec le titulaire», et remplacer moins de cartes (EMVCo, 31 mars 2022).

Un jeton de carte de crédit peut avoir diverses tailles et formes, avec uniquement des chiffres ou aussi des lettres. PCI Security Standards Council donne cet exemple: le PAN 4959 0059 0172 3389 devient le jeton 729129118523184663129. Un autre format garde les six premiers et quatre derniers chiffres du PAN: 5994 0059 0172 3383 devient 599400x18523mw4cw3383 (PCI SSC, août 2011).

Un jeton à usage unique représente une transaction; un jeton réutilisable représente un PAN pour plusieurs transactions. La tokenisation d’une carte de débit fonctionne de même, car les jetons EMV s’appliquent «dans tout environnement utilisant actuellement un PAN».

La différence entre tokenisation et chiffrement tient à la possibilité de recalculer le numéro de carte à partir de la valeur. Pour un jeton, les guides PCI exigent que retrouver le PAN «ne soit pas réalisable par calcul en connaissant uniquement le jeton». Un jeton produit par chiffrement réversible «est un PAN chiffré» et peut relever d’autres règles PCI DSS. La génération de la valeur détermine s’il s’agit d’un jeton ou de données chiffrées.

La détokenisation inverse le processus en échangeant un jeton contre son PAN. Selon les guides, tokenisation et détokenisation doivent se limiter à un système clairement défini. Les paires jeton-PAN sont stockées dans un coffre de données de cartes, qui «constitue souvent la cible la plus attractive pour les attaquants».

La tokenisation réduit les systèmes couverts par PCI DSS, car un marchand stockant des jetons détient moins de données de cartes. PCI Security Standards Council (PCI SSC) expliquait en 2011 que les solutions de tokenisation «ne dispensent pas de maintenir et valider la conformité PCI DSS». Les jetons pouvant déclencher seuls un paiement, appelés «jetons de forte valeur» dans les guides, peuvent rester soumis à PCI DSS même sans révéler de PAN.

Un jeton de paiement remplace un numéro de carte et n’a aucune valeur propre; un jeton d’actif sur blockchain représente l’actif ou la créance elle-même. Le Fonds monétaire international (FMI) définit la tokenisation comme «la création d’actifs ou de représentations d’actifs sur un registre partagé, fiable et programmable, généralement une blockchain» (FMI, 4 décembre 2025). Le secteur bancaire emploie ces deux sens du mot tokenisation. Une banque tokenise des numéros pour protéger les paiements par carte, et peut tokeniser des obligations ou dépôts pour les négocier et régler sur un registre. Consultez qu’est-ce que la tokenisation des actifs? puis la réponse à que sont les dépôts tokenisés?

La DSP2, directive européenne sur les services de paiement, ne mentionne pas les jetons. Sa règle pour les paiements par carte est l’authentification forte: l’article 97 l’exige lorsqu’un payeur initie un paiement électronique. À distance, l’authentification doit lier le paiement à un montant et un bénéficiaire précis. Les prestataires doivent aussi protéger confidentialité et intégrité des données de sécurité personnalisées. L’Allemagne transpose cette règle à l’article 55 de la loi sur la supervision des services de paiement (ZAG), sous supervision de BaFin (article 4 ZAG). L’Autriche la transpose à l’article 87 du Zahlungsdienstegesetz 2018, sous supervision de la FMA (article 88).

La Suisse est hors UE, donc la DSP2 ne s’y applique pas. PCI DSS est une norme sectorielle, pas une loi; les guides PCI invitent les marchands à consulter leur acquéreur ou les marques de paiement sur les exigences propres aux jetons.

L’Eurosystème surveille les réseaux de cartes et portefeuilles électroniques selon son cadre PISA, publié par la BCE à Francfort le 22 novembre 2021. Applicable depuis le 15 novembre 2022, il couvre aussi les jetons de paiement numériques (BCE, 22 novembre 2021).

Les informations figurant ici ne constituent pas des conseils juridiques.