Conceito

Tokenizar é trocar o número do cartão por um identificador que só significa alguma coisa dentro do ambiente certificado que o criou. Se esse token vazar, ele não pode ser usado em outro lugar.

É o que permite recorrência, upsell de um clique e retentativa sem que o dado real do cartão passe pelo seu servidor, o que é exigência do PCI-DSS.

Exemplo de aplicação e uso

Você oferece uma recorrência ou upsell de um clique pro seu cliente. Para isso funcionar, você precisa cobrar do mesmo cartão semanas depois sem pedir os dados de novo. Se guardasse o número real, violaria PCI-DSS. A solução é usar um token, um código que só funciona no sistema que o gerou.

Segurança é um processo, não um produto.

Bruce Schneier Fonte: Secrets and Lies: Digital Security in a Networked World.

O token permite recorrência, upsell de clique único e retentativa automática sem que o dado real do cartão passe pelo seu servidor. Se o token vazar, ele não pode ser usado em outro lugar. Esse é o mecanismo que torna seguro cobrar novamente de forma automatizada.