Skip to main content
Malga criou este Serviço de Tokenização para permitir que os dados sensíveis de cartão sejam processados de maneira segura. Através da Tokenização, é possível garantir que os dados sensíveis do cartão (holder name, pan, cvv) não passem pelo seu backend e possam ser enviados para os servidores da Malga diretamente da sua aplicação cliente. Um token representa dados sensíveis de cartão armazenados de maneira segura na Malga, seguindo as melhores práticas do PCI, sendo os dados enviados direto do seu frontend para os servidores da Malga. É extremamente recomendado que você realize o processo de tokenização diretamente no lado do cliente, coletando os dados sensíveis de cartão na sua interface e enviando diretamente para o Serviço de Tokenização, a partir de um client token criado para essa funcionalidade, enviando para seu backend o identificador do token gerado que não guarda dados sensíveis e pode ser trafegado normalmente pelos seus servidores.
Os Tokens são invalidados após o primeiro uso, não sendo possível armazenar o token gerado para uso futuro em compras recorrentes. Caso queira salvar os dados de um cartão para uso futuro, você deve realizar a criação de um token e na sequência solicitar a criação de um cartão a partir do token criado, dessa forma o cartão ficará armazenado em definitivo no nosso vault, servidor de armazenamento seguro de cartões, bastando enviar somente o card id gerado nas transações futuras.
Fluxo de criação de token Você pode criar cartões a partir de tokens gerados, sendo possível associar múltiplos cartões a um mesmo comprador, de maneira a possibilitar cobrança futura.
O token gerado na tokenização é temporário e expira em 2 horas. Esse token guarda os dados sensíveis (como o CVV) usados para criar o cartão. O cardId, gerado a partir do token, é permanente e não expira, ele identifica o cartão salvo em definitivo no vault da Malga.

​
Criando um Card ID

Uma vez criado um cartão é gerado um identificador único cardId que pode ser armazenado no seu sistema, já que não contém dados sensíveis de cartão, somente um identificador de um cartão salvo de maneira segura no vault da Malga. A partir de um cardId gerado é possível realizar cobranças recorrentes, bastando enviar esse identificador no momento da criação do charge.

​
Por que uma cobrança é aceita após a expiração do token?

Uma dúvida comum é por que um cardId continua aceitando cobranças mesmo depois das 2 horas de expiração do token. O motivo é que o que expira é o token (e o CVV nele guardado), não o cartão: o cardId permanece válido no vault e segue disponível para cobranças. Após a expiração do token, a cobrança com cardId ainda pode ser aprovada quando:
  • Você envia o cvv na própria cobrança. O campo cvv é opcional no paymentSource e, quando informado, é repassado ao provedor, não dependendo do token tokenizado.
  • O merchant está habilitado a cobrar sem CVV. Nesse cenário, a transação segue para o provedor sem o código de segurança e a aprovação depende das regras do emissor.
  • O cartão está com status active ou pending. Ambos seguem utilizáveis no fluxo transacional (veja Status de Cartão).
Durante a janela de 2 horas após a tokenização, a Malga ainda consegue recuperar o CVV a partir do token para aumentar a chance de aprovação. Passado esse prazo, o CVV não está mais disponível pelo token, mas a cobrança com cardId continua possível pelos caminhos descritos acima. Por isso o comportamento pode parecer diferente conforme o merchant exija ou não o CVV na cobrança.
O código de segurança (cvv) do cartão, que foi enviado na tokenização, é validado através de uma transação de valor zero junto ao emissor do cartão, dessa maneira a Malga consegue validar se os dados tokenizados do cartão são válidos sem que seja necessário realizar uma cobrança efetiva. Após a validação com sucesso dos dados do cartão, o mesmo fica com status:active e disponível para compras futuras, caso contrário, o cartão ficará com status:failed e invalidado, devendo ser gerado um novo token e um novo cartão.

​
Status de Cartão

  1. O atributo cvvchecked identifica se o cartão teve ou não seus dados validados na tokenização. Algumas bandeiras como a AMEX não permitem validação zero dollar, nesse caso o cartão passa a ser criado como status=active e cvvchecked=false.
  2. O status active continua identificando se o cartão está disponível para uso no fluxo transacional, porém não é garantia de que um cartão status=active retornar sucesso na cobrança, é possível retorno de falha na cobrança por parte dos bancos.
  3. O status failed continua identificando um cartão que NÃO pode ser usado no fluxo transacional, é um token já identificado como inválido e não poderá ser utilizado.
  4. O status pending passa a identificar os casos de impossibilidade de validação dos dados do cartão na sua criação. Enquanto o status estiver pending o cartão pode ser usado para criar transação durante a janela de validade do token (2 horas), garantindo maior resiliência do transacional. Um cartão status=pending ao ser utilizado para uma cobrança, tem seu status atualizado para active se os dados do cartão forem válidos, e atualizado para failed se os dados do cartão forem inválidos.
Os status possíveis para um card na Malga são:
É possível enviar o cvv do cartão como opcional na requisição de cobrança, sendo útil nos cenários onde o cartão está com status pending ou active, sendo este cvv repassado para o provedor aumentando assim as chances de aprovação nos casos onde você pode solicitar o código de segurança no momento da cobrança.

​
Bandeiras aceitas

As bandeiras aceitas para transações na plataforma da Malga, de acordo com o método de pagamento, são:
Importante: Apesar do suporte à tokenização para o método de pagamento voucher, é importante observar limitações próprias em cartões desse método de pagamento, que impossibilitam transações sem CVV. Em decorrência disso, o cartão tokenizado só pode ser utilizado em uma única transação.