Tokenizar é trocar o número do cartão por um identificador que só significa alguma coisa dentro do ambiente certificado que o criou. Se esse token vazar, ele não pode ser usado em outro lugar.

É o que permite recorrência, upsell de um clique e retentativa sem que o dado real do cartão passe pelo seu servidor, o que é exigência do PCI-DSS.