EMVco enrichit la tokénisation des paiements
En vente à distance, la « Payment Account Reference » (PAR) sécurisera le lien entre le PAN de la carte (Primary Account Number) et les tokens qui la représentent.
L'organisme mondial de normes monétiques EMVco a enrichi ses spécifications de 2014 sur la tokenisation du paiement avec un élément capital. La « référence du compte de paiement », ou PAR (Payment Account Reference), démultiplie en effet la sécurité déjà apportée par la tokenisation, tout en en allégeant considérablement la gestion. Elle supprime l'obligation, pour le système du commerçant, d'enregistrer de façon sécurisée le PAN, requis pour traiter les transactions initiées par token, sur chaque étape de traitement, de l'autorisation aux impayés, en passant par la compensation. Cette nouvelle donnée intermédiaire de traitement fournit le lien entre le token du porteur et ses paiements par carte successifs, sans obliger à déployer des mesures de sécurités contraignantes, comme PCI-DSS.
En outre, la PAR ne peut révéler, par rétro-ingénierie, ni le PAN ni un token EMV associés. Seule, elle ne peut pas non plus servir à initier une transaction. Ainsi, le PAN est dégagé de son rôle de lien fondamental entre une transaction initiée par token et son acheminement interbancaire.
Notre analyse : Tracer les paiements en éliminant l'exposition au piratage sur la chaîne
La tokenisation est un processus de sécurité où une donnée anonymisée, à usage restreint, prend la place du numéro de la carte, le PAN, pour initier une transaction. Le token est fabriqué par le système d’acceptation du commerçant, qui peut en limiter l’usage à un canal, à un point de vente ou à une série de transactions. Toutefois, jusqu’à présent, il fallait stocker, protéger et restituer le PAN, qui reste l’élément requis pour traiter l’opération monétique de bout en bout. D’où l’apport de la standardisation du PAR.
Elle fournit aussi une vue synthétique des transactions sur un compte de paiement. Outre une aide en gestion de trésorerie, cette innovation facilite à l’établissement teneur de compte ses analyses de risques et ses diligences anti-blanchiment. De plus, elle simplifie l’historisation des données transactionnelles, au moment où s’accroît l’exploitation des informations en mode big data. Enfin, son interopérabilité favorisera un déploiement rapide dans les bases de données des commerçants et de leurs prestataires, réduisant d’autant l’attractivité des attaques pour les fraudeurs.
Par ailleurs, en vue de l’entrée en vigueur de la DSP 2, c’est une opportunité considérable pour les initiateurs de services de paiement (PISP, Payment Initiating Service Providers). Concevoir un service de paiement pour compte de tiers, fondé sur des cartes, exigera ainsi un investissement plus réduit dans la sécurité.