¿Cómo funciona el pago por NFC?

El pago por NFC te permite pagar acercando una tarjeta bancaria sin contacto, un teléfono o un reloj inteligente a un terminal de pago compatible. La tecnología NFC se encarga de la conexión inalámbrica de corto alcance, mientras que el chip de la tarjeta, el terminal, la red de pago y el banco se encargan de la transacción propiamente dicha.

Un pago con tarjeta puede durar solo un segundo, pero durante ese tiempo se llevan a cabo varios pasos. El dispositivo de pago se comunica con el terminal, genera datos de seguridad para la transacción y envía el pago a través de la red bancaria para su aprobación.

¿Qué es el pago por NFC?

La tecnología NFC (Near Field Communication) es una tecnología inalámbrica de corto alcance que funciona a 13,56 MHz. En el ámbito de los pagos, permite que una tarjeta de pago o un dispositivo móvil se comunique con un terminal de punto de venta sin necesidad de introducirlo en el lector.

La tecnología EMV sin contacto admite pagos tanto desde tarjetas con chip sin contacto como desde dispositivos móviles compatibles con NFC. Basta con acercar la tarjeta o el dispositivo a muy poca distancia del terminal.

Entre los métodos de pago NFC más habituales se encuentran las tarjetas de débito y crédito sin contacto, Apple Pay, Google Pay y los relojes inteligentes con función de pago.

La conexión NFC en sí misma no transfiere dinero entre cuentas. Proporciona el enlace de comunicación local entre el dispositivo de pago y el terminal. El resto de la transacción se realiza a través de la infraestructura de pago habitual.

¿Cómo funciona el pago por NFC?

Una transacción típica con tarjeta sin contacto se puede dividir en cinco fases.

1. El terminal activa la tarjeta

En primer lugar, el comerciante introduce o confirma el importe de la compra. A continuación, el terminal de pago genera un campo de radiofrecuencia alrededor de su lector sin contacto.

Una tarjeta bancaria física sin contacto no necesita batería propia. Su antena interna capta la energía del campo magnético del terminal y proporciona la energía suficiente para que el chip funcione.

Por lo tanto, una tarjeta sin contacto puede permanecer sin utilizarse en una cartera durante años y, aun así, comunicarse con un terminal al acercarla.

Los teléfonos y los relojes inteligentes se diferencian en que cuentan con su propia fuente de alimentación, aunque siguen utilizando la misma interfaz sin contacto de corto alcance para comunicarse con el terminal de pago.

2. La tarjeta y el terminal establecen comunicación

En cuanto la tarjeta entra en el campo magnético del terminal, este y la tarjeta comienzan a comunicarse.

Las tarjetas de pago sin contacto suelen utilizar una tecnología basada en la norma ISO/IEC 14443. Las especificaciones EMV definen, a su vez, cómo la aplicación de pago y el terminal intercambian la información necesaria para procesar la transacción.

El terminal identifica una aplicación de pago disponible e inicia la transacción EMV. En este momento, la tarjeta hace algo más que simplemente enviar el número de tarjeta almacenado.

3. La tarjeta genera datos de transacción

El chip de pago contiene credenciales e información criptográfica emitidas como parte del sistema de tarjetas de pago.

Durante una transacción, utiliza estas credenciales para generar datos de seguridad específicos para ese pago. EMV lo describe como un código de seguridad de un solo uso o criptograma. Para cada nueva transacción se genera un valor nuevo, en lugar de utilizar siempre el mismo código de seguridad fijo.

La transacción también puede incluir información facilitada por el terminal, como el importe de la compra y otros parámetros de la transacción.

4. La transacción se envía para su autorización

Tras establecer la comunicación con la tarjeta, el terminal envía el pago a la red financiera.

Una ruta simplificada tiene este aspecto:

Tarjeta o teléfono → terminal de punto de venta → entidad adquirente o procesadora de pagos del comerciante → red de tarjetas → banco emisor

El banco emisor es el banco o la entidad financiera responsable de la tarjeta del cliente.

Recibe la información de la transacción y realiza las comprobaciones necesarias para decidir si se debe aceptar el pago. Entre ellas pueden figurar la validación de las credenciales de pago y los datos criptográficos, así como la comprobación del estado de la cuenta y de la transacción.

5. La aprobación o el rechazo se envían de vuelta al terminal

La entidad emisora comunica su decisión a través de la red de pagos.

Si se aprueba, el terminal de punto de venta confirma el pago. Si se rechaza, el terminal recibe la respuesta correspondiente.

Todo el proceso suele durar solo unos segundos.

La liquidación del importe entre las entidades financieras se realiza por separado. Al pasar la tarjeta por el terminal, lo que se lleva a cabo principalmente es la autenticación y autorización de la transacción, y no la transferencia inmediata del dinero desde una cuenta bancaria directamente a la cuenta del comerciante.

¿Es necesaria una conexión a Internet para realizar pagos mediante NFC?

La transacción NFC de corto alcance en sí misma no requiere una conexión móvil ni Wi-Fi en el teléfono del cliente. Sin embargo, un terminal de pago comercial típico necesita acceso al adquirente o al procesador de pagos para solicitar una autorización en línea. Algunos entornos de pago pueden admitir un procesamiento limitado sin conexión, diferido o de «almacenamiento y reenvío» según unas normas específicas.

¿Qué hay dentro de una tarjeta bancaria sin contacto?

Una tarjeta de débito o crédito sin contacto es una tarjeta inteligente especializada sin contacto.

En el interior de la tarjeta de plástico hay dos componentes importantes: un chip seguro y una antena. La antena suele recorrer gran parte de la tarjeta para poder acoplarse al campo electromagnético que genera el terminal.

El chip contiene la aplicación de pago y la información protegida necesaria para las transacciones de pago. Es capaz de realizar operaciones criptográficas, en lugar de comportarse como una simple memoria legible.

Esto también explica por qué, si se daña la antena, el pago sin contacto puede dejar de funcionar, incluso aunque los contactos visibles del chip situados en la parte delantera de la tarjeta sigan funcionando. El pago con contacto, a través de los contactos metálicos, y el pago sin contacto utilizan interfaces físicas diferentes para comunicarse con el chip.

Entonces, ¿una tarjeta bancaria sin contacto es una Tarjeta NFC?

Para un uso normal, sí: se trata de una tarjeta que utiliza la tecnología NFC/sin contacto a 13,56 MHz. Más concretamente, es una tarjeta inteligente de pago seguro diseñada para transacciones sin contacto EMV, y no una etiqueta NFC de uso general.

¿Qué información se intercambia durante un pago por NFC?

A veces se dice que las tarjetas sin contacto simplemente “envían los datos de la tarjeta”. Esa descripción omite la parte más importante del proceso.

Durante la transacción se puede transmitir cierta información de pago. Visa, por ejemplo, afirma que sus tarjetas sin contacto pueden transmitir el número de cuenta, la fecha de caducidad y un código de un solo uso que cambia en cada transacción presencial.

La distinción importante es la que existe entre la información de la cuenta, que es relativamente estática, y los datos dinámicos de seguridad de las transacciones.

La información de la cuenta identifica la cuenta de pago. El valor criptográfico generado dinámicamente ayuda al emisor a determinar si la transacción procede de una credencial de pago válida y si los datos de la transacción son válidos.

Por lo tanto, un intercambio sin contacto interceptado no proporciona a otro dispositivo un criptograma reutilizable que pueda presentarse de nuevo sin más para una nueva transacción EMV sin contacto. El valor de seguridad está vinculado a la transacción concreta.

Eso no significa que la información de pago deba considerarse no confidencial. Significa que la seguridad del sistema EMV sin contacto no se basa únicamente en mantener en secreto el número de la tarjeta.

Cómo funcionan los pagos NFC en teléfonos y relojes inteligentes

Un teléfono puede comunicarse con el mismo tipo de terminal de pago sin contacto, pero no por ello presenta necesariamente la misma credencial de pago que la tarjeta física que llevas en la cartera.

Las carteras móviles suelen utilizar la tokenización de pagos.

Cuando se añade una tarjeta compatible a Google Pay, por ejemplo, se puede asignar al dispositivo un token de dispositivo, también denominado DPAN o número de cuenta virtual. Google afirma que, durante un pago por NFC, este token de dispositivo se envía al terminal en lugar del número de cuenta principal real de la tarjeta.

Apple Pay utiliza un enfoque similar específico para cada dispositivo. Apple afirma que el número de cuenta del dispositivo se almacena en el elemento seguro del dispositivo y se utiliza junto con datos de seguridad dinámicos específicos de cada transacción. El dispositivo no envía el número real de la tarjeta de pago durante una transacción de Apple Pay.

El proceso general de pago sigue siendo el de siempre:

Teléfono → Terminal de pago NFC → Red de pago → Entidad emisora

Lo que cambia es la credencial que presenta el dispositivo.

Los teléfonos y los relojes también pueden incorporar la verificación del titular de la tarjeta a nivel de dispositivo. Dependiendo del dispositivo y del monedero digital, el usuario puede autenticarse mediante Face ID, una huella dactilar, un código de acceso u otro método autorizado antes de utilizar la credencial de pago.

Por lo tanto, la interfaz NFC sigue siendo solo una parte del pago móvil. Detrás de ella se encuentran el hardware seguro, la asignación de tokens, la autenticación de usuarios y el procesamiento de la red de pagos.

¿Es necesario introducir siempre el PIN para realizar un pago sin contacto?

No. El hecho de que se requiera un PIN u otro método de verificación del titular de la tarjeta depende de factores como el importe de la transacción, las normas del emisor, la configuración del terminal, las normas de la red de pago y la normativa local. En ocasiones, una transacción con tarjeta sin contacto puede requerir que el cliente introduzca un PIN. En un teléfono o un reloj inteligente, una verificación biométrica o mediante código de acceso realizada con éxito puede servir como método de verificación del titular de la tarjeta mediante dispositivo del consumidor, lo que se conoce comúnmente como CDCVM.

Tarjetas de pago NFC frente a etiquetas NFC estándar

Una tarjeta bancaria sin contacto y una tarjeta estándar Etiqueta NFC Puede que ambos se comuniquen a 13,56 MHz, pero sus prestaciones son muy diferentes.

Los chips NFC estándar, como el NTAG213, el NTAG215 y el NTAG216, son etiquetas de tipo 2 del NFC Forum. Ofrecen memoria de usuario para aplicaciones como la publicidad inteligente, la interacción con productos, la autenticación y otras experiencias NFC. Son compatibles con las estructuras de datos NDEF, que pueden leer los teléfonos compatibles.

Por ejemplo, un NTAG213 podría contener una URL como esta:

https://example.com/pay/order123

Cuando un cliente toca la etiqueta, el teléfono abre esa página y el cliente puede continuar con el proceso de pago en línea.

La etiqueta NFC ha servido para iniciar el proceso de pago, pero la propia etiqueta no ha realizado ninguna transacción con tarjeta bancaria EMV. Simplemente ha facilitado los datos que han redirigido el teléfono al servicio de pago.

Esta misma idea se puede aplicar en restaurantes, quioscos automáticos, envases de productos, sistemas para eventos u otras aplicaciones en las que sea necesario que un simple toque conecte un objeto físico con una página de pago en línea.

Algunas organizaciones también utilizan tarjetas o dispositivos sin contacto en sistemas de circuito cerrado, en los que la credencial identifica una cuenta dentro de la propia plataforma de dicha organización. Las tarjetas de transporte, los sistemas de campus, los sistemas de prepago y otras aplicaciones similares pueden utilizar chips sin contacto seguros y de mayor capacidad. No obstante, estos sistemas no deben confundirse con la emisión de una tarjeta bancaria normal que funcione en redes como Visa, Mastercard u otras redes de pago abiertas.

¿Cómo se protegen los pagos NFC?

La seguridad de los pagos sin contacto se basa en las credenciales de pago y en el intercambio criptográfico, y no simplemente en la corta distancia de lectura de la tecnología NFC.

Criptogramas específicos de cada transacción

Las transacciones con chip EMV generan datos de seguridad para cada transacción. EMVCo describe el criptograma como un valor único que ayuda al emisor y al terminal a autenticar la transacción.

Si alguien registra una transacción válida, ese valor criptográfico no puede reutilizarse sin más como criptograma válido para otra transacción.

Claves criptográficas protegidas

Las claves utilizadas para generar criptogramas de pago válidos están protegidas dentro de la credencial de pago, en lugar de transmitirse de forma abierta cada vez que se lee la tarjeta.

El emisor o la red de pago pueden utilizar la información correspondiente para verificar el criptograma durante el procesamiento de la transacción.

Tokenización en dispositivos móviles

Las carteras móviles añaden una capa adicional de seguridad al sustituir el número de cuenta principal de la tarjeta física por un token de pago específico para cada dispositivo.

Tanto Apple Pay como Google Pay utilizan credenciales de pago específicas de cada dispositivo para los pagos sin contacto compatibles. Por lo tanto, en caso de pérdida de la credencial del dispositivo, no es necesario revelar el número de tarjeta original utilizado para recargarla.

Esta combinación de credenciales seguras, datos dinámicos de la transacción y verificación por parte del emisor es la razón por la que el pago mediante NFC no debe entenderse como un simple proceso en el que el lector escanea una tarjeta bancaria y da por válido cualquier número que reciba.

¿Dónde se utiliza el pago por NFC?

El mismo proceso básico de pago sin contacto se puede utilizar en cualquier lugar donde haya un terminal de pago compatible y una infraestructura de pago adecuada.

Las tiendas minoristas y los restaurantes son los ejemplos más conocidos. Los terminales sin contacto también son habituales en máquinas expendedoras, sistemas de aparcamiento, quioscos de autoservicio y otros puntos de pago sin personal.

El transporte público es otro de los principales ámbitos de uso. Algunos sistemas aceptan tarjetas bancarias sin contacto normales o monederos electrónicos directamente en el torniquete. A menudo se denominan «sistemas de bucle abierto», ya que se utilizan las credenciales de pago existentes emitidas por los bancos.

Otros sistemas de transporte, del campus, de hostelería y de recintos emiten sus propias tarjetas o credenciales. Estas son: de bucle cerrado sistemas en los que el operador controla la credencial y la cuenta asociada a ella.

Aunque ambos utilicen tecnología sin contacto, es el sistema financiero que hay detrás de ese «toque» el que determina lo que la tarjeta o el dispositivo pueden hacer realmente.

Conclusión

La tecnología NFC proporciona la conexión inalámbrica que permite que una tarjeta, un teléfono o un reloj inteligente se comuniquen con un terminal de pago. El chip de pago o el monedero móvil proporcionan la credencial segura, el terminal transmite la transacción a la red financiera y el emisor decide si la autoriza.

Esa división de funciones también es importante a la hora de elegir la tecnología NFC para un proyecto. Una etiqueta NFC programable puede redirigir a un cliente a una página de pago u otro servicio digital, mientras que el pago directo con tarjeta bancaria requiere las credenciales seguras y la infraestructura de un sistema de pago específico.