Aussi appelé :
Tokenization · tokenization · segmentation en jetons · découpage lexical
TermeIntermédiaire
Mis à jour le
La tokenisation est une méthode de protection des données qui remplace une information sensible par un jeton aléatoire sans valeur intrinsèque, stocké dans un coffre sécurisé, sans lien mathématique réversible avec la donnée d'origine. En 2026, elle sera de plus en plus exigée pour les systèmes traitant des paiements numériques au Québec et ailleurs.
📖 Définition
La tokenisation (ou tokenization) est une technique de protection des données sensibles qui consiste à remplacer une information sensible — comme un numéro de carte bancaire, un NAS ou une adresse courriel — par un jeton aléatoire sans valeur intrinsèque. Ce jeton n'a aucun lien mathématique avec la donnée originale et ne peut être reconverti qu'en consultant un « coffre » (vault) sécurisé où la correspondance est stockée. Contrairement au chiffrement, il n'existe pas de clé permettant de déchiffrer le jeton. Le standard PCI DSS recommande cette approche depuis 2011 pour réduire l'exposition des PAN (Primary Account Numbers).
💬 En termes simples
C'est comme quand tu vas au Casino de Montréal : tu échanges ton argent réel contre des jetons de jeu. Ces jetons n'ont aucune valeur en dehors du casino, mais permettent de jouer. Si tu les perds, ce n'est pas ton compte en banque qui est touché — juste les jetons. Le vrai argent reste en sécurité à la caisse.
🎯 Exemple concret
Une PME québécoise opérant une boutique en ligne utilise un service de paiement comme Stripe. Lorsqu'un client entre son numéro de carte, celui-ci est immédiatement converti en un jeton par le fournisseur de paiement. La PME stocke uniquement ce jeton dans sa base de données pour les futurs achats, jamais le vrai numéro de carte. Ainsi, même en cas de fuite, les données volées sont inutilisables.
💡 Le saviez-vous ?
Apple Pay et Google Pay utilisent la tokenisation EMV pour chaque transaction : le commerçant reçoit un jeton unique (DPAN) au lieu du vrai numéro de carte, ce qui empêche toute réutilisation frauduleuse même si les données sont interceptées.
❓ Questions fréquentes
Tokenisation vs chiffrement : quelle différence ?
Le chiffrement crée une relation mathématique réversible entre les données originales et les données chiffrées, à l'aide d'une clé. La tokenisation, elle, remplace les données par un jeton aléatoire sans lien mathématique ; la seule façon de récupérer la donnée originale est de consulter un vault sécurisé.
Tokenisation vs pseudonymisation ?
La tokenisation est une forme spécifique de pseudonymisation. La pseudonymisation remplace une donnée identifiable par un pseudonyme, mais ce pseudonyme peut parfois être réversible sans vault. La tokenisation exige toujours un vault sécurisé et produit des jetons non dérivables.
PCI DSS exige-t-il la tokenisation ?
PCI DSS ne l'exige pas strictement, mais la recommande fortement comme méthode pour éviter le stockage de PAN en clair. Son utilisation réduit considérablement le périmètre d'audit PCI, car les systèmes qui ne manipulent que des tokens ne sont pas considérés comme dans le scope de stockage de données sensibles.
Apple Pay utilise-t-il vraiment la tokenisation ?
Oui, Apple Pay utilise la tokenisation EMV : chaque appareil reçoit un DPAN (Device Primary Account Number), un jeton unique qui remplace le vrai PAN. Ce jeton est spécifique à l'appareil et à la carte, et change même d'une transaction à l'autre dans certains cas.
Comment implémenter la tokenisation pour une PME québécoise ?
Il est fortement déconseillé d'implémenter sa propre solution. Les PME québécoises devraient utiliser des services éprouvés comme Stripe Vault, AWS KMS avec tokenization, HashiCorp Vault ou Auth0. Ces outils gèrent la sécurité, la conformité PCI DSS et la gestion du vault, ce qui réduit les risques et les coûts de développement.
Format-Preserving Encryption (FF1/FF3-1) vs tokenisation ?
Le chiffrement préservant le format (FPE) produit un texte chiffré qui garde la même structure que l'original (ex. 16 chiffres pour une CB), mais reste réversible avec une clé. La tokenisation génère un jeton aléatoire sans valeur, non réversible sans vault. Depuis les vulnérabilités publiées en 2018 contre FF3-1, la tokenisation est considérée comme plus sûre pour les PAN.
Reçois chaque semaine le meilleur de l'actualité IA, directement dans ta boîte.
Pas de pourriel, désinscription en 1 clic.
✉️
Restez informé
Recevez nos sélections d'outils et articles directement dans votre boîte courriel.
🔐 Connexion rapide
Entrez votre courriel pour recevoir un code à 6 chiffres.
Pas besoin de mot de passe ni d'inscription. Entrez votre courriel, recevez un code par courriel, et c'est tout !
✓
Paramètres de confidentialité
Nous utilisons des témoins (cookies) pour assurer le bon fonctionnement du site, analyser le trafic et personnaliser le contenu. Vous pouvez gérer vos préférences ci-dessous.
Politique de confidentialité
