Worldline | Detokenization

Cette fonctionnalité avancée est réservée à des cas d'usage spécifiques.
Si vous êtes intéressé, contactez-nous pour vérifier votre éligibilité à cette fonctionnalité.

Notre service de Detokenization vous permet de récupérer les numéros de carte (PAN, Primary Account Numbers) pour tout token compte enregistré (Account on file) ou toute transaction traitée via notre plateforme.
La récupération et le partage des PAN peuvent vous aider à étendre votre infrastructure métier et de paiement en :

Importation des données de carte depuis d’autres prestataire de services de paiement lorsque vous migrez votre activité vers Worldline.
Travail en parallèle avec différents prestataire de services de paiement simultanément.
Mise en place de services externes nécessitant des données de carte (par exemple pour la prévention de la fraude).

Le service Detokenization est disponible pour tous les moyens de paiement par carte de crédit.
Gardez à l’esprit que la récupération et le stockage de données de carte impliquent un très grand nombre d’exigences PCI. Cela s’applique également à tout tiers avec lequel vous partagez ces données.

Activation

L’activation du service Detokenization nécessite :

La signature d’un avenant à votre contrat Worldline existant.
La fourniture annuelle d’une attestation de conformité PCI DSS (AOC, Attestation Of Compliance).
La nomination, au sein de votre entreprise, d’une personne comme point de contact dédié, responsable de la réception, de la sécurisation et du traitement des données sensibles concernées.
La mise en place d’un processus pour nous informer de toute difficulté éventuelle lors du renouvellement de l’AOC.
Le fait de nous informer dans les 48 heures de tout incident de sécurité conduisant à une violation des données sensibles concernées.

Nous serons ravis de vous accompagner dans cette mise en route.

Integration

L’utilisation du service Detokenization nécessite de garantir à tout moment l’intégrité des données sensibles échangées. Nous avons donc défini une cinématique qui respecte cette exigence :

Générer une paire de clés RSA et un CSR
Recevoir le certificat de la part de Worldline
Récupérer les données de carte chiffrées
Déchiffrer les données de carte

1. Générer une paire de clés RSA et un CSR

Pour établir une connexion sécurisée entre votre serveur et la plateforme, vous devez configurer une paire de clés RSA et une requête de signature de certificat (CSR, Certificate Signing Request).
Votre demande doit inclure :

Le nom de votre entreprise.
Le nom de la personne désignée comme point de contact dédié dans votre entreprise, responsable de la réception, de la sécurisation et du traitement des données sensibles concernées.
L’adresse e-mail de cette personne (à laquelle le CSR est envoyé à l’étape suivante).

La clé publique résultant de la génération de la paire de clés RSA/du CSR sera utilisée pour déchiffrer les données de carte.

2. Recevoir le certificat de la part de Worldline

Pour créer le certificat à partir du CSR, envoyez une requête POST à notre endpoint CreateCertificate :

{
     "csr": "-----BEGIN CERTIFICATE REQUEST-----
     MIICWjCCAUICAQAwFTETMBEGA1UEAwwKdGVzdC5sb2NhbDCCASIwDQYJKoZIhvcN...
     -----END CERTIFICATE REQUEST-----"
}

Property	Description
{merchantId}	Votre compte sur notre plateforme. Ajoutez-le comme paramètre de chemin à l’URL de l’endpoint CreateCertificate.
csr	Le CSR que vous avez créé à l’étape précédente.

Une fois votre requête traitée avec succès, notre plateforme fournit l’certificateId ainsi que le signedCertificate lui‑même.

Notre plateforme enverra également un e‑mail de confirmation à l’adresse que vous avez définie lors du processus d’onboarding.

Le certificat est valable 30 jours. Si vous demandez un nouveau certificat, l’existant restera valable pendant une heure supplémentaire.

3. Récupérer les PAN chiffrés

Une fois un certificat valide en place, vous pouvez récupérer les PAN depuis notre plateforme. Nous proposons deux possibilités :

token vers PAN
payment.id vers PAN

token vers PAN

Vous pouvez récupérer le PAN à partir de tokens compte enregistré (Account on file) créés précédemment. Pour ce faire, envoyez une requête GET à notre endpoint dédié Detokenize, en incluant les paramètres de chemin suivants dans votre requête :

Property	Description
{merchantId}	Votre compte sur notre plateforme qui demande les PAN. Doit être identique à celui utilisé à l’étape 2.
tokens	Contient des paires clé/valeur {aliasIds}={token} sous forme de variables distinctes pour chaque token compte enregistré (Account on file).

Pour des raisons de sécurité, si l’un des tokens est invalide, notre plateforme rejettera l’intégralité de la requête et renverra une erreur 400. Cela inclut les tokens qui :

N’existent plus.
Contiennent des erreurs de saisie.

payment.id vers PAN

Vous pouvez récupérer le PAN à partir de transactions déjà traitées ayant l’un des statuts suivants :

Reportez‑vous à notre guide Statuts pour en savoir plus.

Pour ce faire, envoyez une requête GET à notre endpoint Detokenize, en incluant les paramètres de chemin suivants dans votre requête :

Property	Description
{merchantId}	Votre compte sur notre plateforme qui demande les PAN. Doit être identique à celui utilisé à l’étape 2.
payments	Contient des paires clé/valeur {payments}={payment.id} sous forme de variables distinctes pour chaque payment.id. Un payment.id est un identifiant unique pour chaque transaction traitée sur notre plateforme, qui est renvoyé pour chaque GetHostedCheckout/CreatePayment/GetPayment.

Une fois votre requête traitée avec succès, notre plateforme fournit les PAN chiffrés dans un tableau tokens. Pour chaque occurrence, nous fournissons les données suivantes :

Property	Description
cardBrand	Le schéma de paiement de la carte pour ce PAN.
cardExpiryDatecardHolderName	La date d’expiration de la carte et le nom du porteur de carte.
encryptedCardNumber	Le PAN chiffré que vous pouvez déchiffrer à l’aide de la clé publique du CSR.
schemeReferenceData	L’identifiant unique du schéma de paiement (cardBrand) pour chaque carte, retraçant son historique de paiement pour tout achat effectué auprès de n’importe quel marchand.

4. Déchiffrer encryptedCardNumber

Utilisez la clé privée générée à l’étape 1 pour déchiffrer l’élément encryptedCardNumber de chaque occurrence du tableau tokens.

Detokenization