Tokenisation

Q: Tokenisation vs chiffrement : quelle différence ?

Le chiffrement crée une relation mathématique réversible entre les données originales et les données chiffrées, à l'aide d'une clé. La tokenisation, elle, remplace les données par un jeton aléatoire sans lien mathématique ; la seule façon de récupérer la donnée originale est de consulter un vault sécurisé.

Q: Tokenisation vs pseudonymisation ?

La tokenisation est une forme spécifique de pseudonymisation. La pseudonymisation remplace une donnée identifiable par un pseudonyme, mais ce pseudonyme peut parfois être réversible sans vault. La tokenisation exige toujours un vault sécurisé et produit des jetons non dérivables.

Q: PCI DSS exige-t-il la tokenisation ?

PCI DSS ne l'exige pas strictement, mais la recommande fortement comme méthode pour éviter le stockage de PAN en clair. Son utilisation réduit considérablement le périmètre d'audit PCI, car les systèmes qui ne manipulent que des tokens ne sont pas considérés comme dans le scope de stockage de données sensibles.

Q: Apple Pay utilise-t-il vraiment la tokenisation ?

Oui, Apple Pay utilise la tokenisation EMV : chaque appareil reçoit un DPAN (Device Primary Account Number), un jeton unique qui remplace le vrai PAN. Ce jeton est spécifique à l'appareil et à la carte, et change même d'une transaction à l'autre dans certains cas.

Q: Comment implémenter la tokenisation pour une PME québécoise ?

Il est fortement déconseillé d'implémenter sa propre solution. Les PME québécoises devraient utiliser des services éprouvés comme Stripe Vault, AWS KMS avec tokenization, HashiCorp Vault ou Auth0. Ces outils gèrent la sécurité, la conformité PCI DSS et la gestion du vault, ce qui réduit les risques et les coûts de développement.

Q: Format-Preserving Encryption (FF1/FF3-1) vs tokenisation ?

Le chiffrement préservant le format (FPE) produit un texte chiffré qui garde la même structure que l'original (ex. 16 chiffres pour une CB), mais reste réversible avec une clé. La tokenisation génère un jeton aléatoire sans valeur, non réversible sans vault. Depuis les vulnérabilités publiées en 2018 contre FF3-1, la tokenisation est considérée comme plus sûre pour les PAN.

Abstract

La tokenisation est une méthode de protection des données qui remplace une information sensible par un jeton aléatoire sans valeur intrinsèque, stocké dans un coffre sécurisé, sans lien mathématique réversible avec la donnée d'origine. En 2026, elle sera de plus en plus exigée pour les systèmes traitant des paiements numériques au Québec et ailleurs.