Número de tarjeta (PAN)
Los 15 a 19 dígitos del anverso de la tarjeta, lo bastante estructurados como para delatar al emisor y a tus erratas.
El formato lo define la norma ISO/IEC 7812. El primer dígito indica el sector: un 4 es Visa, un 5 o un 2 es Mastercard. Los primeros dígitos forman el IIN, que el sector llama BIN, y señalan al emisor. Durante décadas el BIN tuvo seis dígitos, hasta que se agotaron, y desde abril de 2022 el estándar son ocho. Después viene el número de cuenta y, al final, un dígito de control según el algoritmo de Luhn, que detecta la mayoría de los errores de tecleo y no protege contra nada más.
Todo PCI DSS gira en torno al PAN. Cualquier sistema que lo almacene, procese o transmita entra en el alcance de la auditoría, y allí donde se muestre solo pueden verse el BIN y los cuatro últimos dígitos. De ahí el **** 1234 del tique, y de ahí la popularidad de la tokenización como atajo.