Définition
La tokenisation consiste à remplacer un numéro de carte bancaire (PAN) par une chaîne de caractères unique, appelée jeton (token), qui n’a aucune valeur exploitable en dehors d’un environnement de paiement donné. Concrètement, votre boutique e-commerce ne stocke plus jamais le vrai numéro de carte : elle manipule un jeton émis par un prestataire (Stripe, Adyen, Checkout.com, Worldline…). Ce jeton peut être utilisé pour initier un paiement, un abonnement ou un remboursement, mais il est inutile pour un fraudeur qui mettrait la main sur votre base de données.
En France, la tokenisation est devenue un standard pour les marchands DTC soumis à PCI DSS. Elle réduit le périmètre de conformité : au lieu de sécuriser l’ensemble de votre infrastructure, vous déléguez le stockage sensible au prestataire certifié.
Analogie
Imaginez un vestiaire de boîte de nuit parisienne. Vous confiez votre manteau (le numéro de carte) à l’hôte, qui vous remet un ticket numéroté (le jeton). Ce ticket vous permet de récupérer votre manteau, mais si vous le perdez, personne ne peut deviner quel manteau il désigne. Le vestiaire, lui, conserve le manteau dans un coffre sécurisé. La tokenisation fonctionne exactement pareil : le jeton circule, le PAN reste enfermé chez le prestataire.
Formule
La tokenisation ne repose pas sur une formule mathématique unique, mais sur une fonction de substitution irréversible côté marchand :
Jeton = F(PAN, Clé_de_chiffrement, Contexte_marchand)
Où :
- PAN = Primary Account Number (16 à 19 chiffres)
- Clé_de_chiffrement = clé gérée par le prestataire (AES-256, RSA)
- Contexte_marchand = identifiant unique du marchand, du terminal ou du portefeuille client
Propriété clé : F est non inversible sans la clé du prestataire. Le jeton peut être format-preserving (même longueur que le PAN, ex. 16 chiffres) ou non format-preserving (UUID, chaîne aléatoire).
Exemple de ratio de réduction de risque :
Surface_de_données_sensibles = PAN_stockés × Nb_points_de_contact Après_tokenisation : PAN_stockés = 0 → Surface = 0
Tableau comparatif
| Critère | Stockage PAN brut | Tokenisation | Chiffrement seul |
|---|---|---|---|
| Donnée stockée chez le marchand | Numéro de carte réel | Jeton sans valeur | Numéro chiffré |
| Utile en cas de fuite | Oui, directement | Non | Oui, si clé compromise |
| Périmètre PCI DSS | Élevé (SAQ D) | Réduit (SAQ A-EP) | Élevé (SAQ D) |
| Coût de mise en œuvre | Faible | Moyen (intégration API) | Moyen |
| Réutilisation pour abonnements | Oui | Oui (jeton récurrent) | Oui |
| Exemple d’émetteur | — | Stripe, Adyen, Worldline | Vault interne |
Application en DTC / e-commerce français
Chez un marchand DTC français, la tokenisation intervient à plusieurs niveaux :
1. Paiement one-shot : le client saisit sa carte sur une page hébergée ou un iframe. Le prestataire renvoie un jeton tok_xxx que votre back-office utilise pour capturer le paiement. Vous ne voyez jamais le PAN.
2. Abonnements et réachat : pour un site de cosmétiques en abonnement, le jeton est stocké et réutilisé chaque mois. Taux de succès des paiements récurrents : +8 à +12 % par rapport à un stockage non tokenisé (source : Adyen 2023).
3. Click to Pay / portefeuilles : Apple Pay et Google Pay génèrent des jetons de réseau (DPAN) qui remplacent le PAN réel. Réduction de la fraude : jusqu’à 30 % sur les transactions e-commerce selon Visa.
4. Omnicanal : un client achète en ligne puis retourne en boutique. Le jeton permet au vendeur de retrouver la carte sans la voir. En France, 62 % des marchands omnicanaux utilisent la tokenisation pour ce cas d’usage (Baromètre Fevad 2024).
Données chiffrées à retenir :
- 70 % des violations de données impliquent des PAN non tokenisés (Verizon DBIR 2024).
- Réduction moyenne du coût de conformité PCI : -40 % après tokenisation (Stripe 2023).
- Taux d’autorisation amélioré : +2,5 points sur les transactions tokenisées vs PAN bruts (Adyen 2023).
Common pitfalls (pièges fréquents)
- Confondre tokenisation et chiffrement : le chiffrement est réversible avec la clé, la tokenisation ne l’est pas. Un jeton volé ne permet pas de reconstituer le PAN.
- Croire que le jeton est universel : un jeton émis par Stripe ne fonctionne pas chez Adyen. Chaque prestataire a son propre vault.
- Négliger la portabilité : si vous changez de PSP, vous perdez souvent les jetons. Prévoyez une migration ou une double tokenisation.
- Oublier le niveau de jeton : jeton de paiement (one-shot), jeton de client (récurrent), jeton de réseau (DPAN). Les cas d’usage diffèrent.
- Penser que la tokenisation supprime la 3DS : la tokenisation ne remplace pas l’authentification forte (DSP2). La 3DS reste obligatoire pour la plupart des transactions européennes.
Termes liés
- PAN (Primary Account Number)
- DPAN (Device PAN, jeton de réseau)
- Vault (coffre-fort de jetons)
- PCI DSS (norme de sécurité des données de cartes)
- PSP (Prestataire de services de paiement)
- 3DS (3-D Secure, authentification forte)
- DSP2 (Directive sur les services de paiement 2)
- Récurrence (paiement récurrent tokenisé)