Tokenizar es cambiar el número de la tarjeta por un identificador que solo significa algo dentro del entorno certificado que lo creó. Si ese token se filtra, no puede usarse en ningún otro lugar.

Es lo que permite la recurrencia, el upsell de un clic y el reintento sin que el dato real de la tarjeta pase por tu servidor, lo cual es una exigencia del PCI-DSS.