Enmascarar, tokenizar o eliminar

El anonimizador de Presidio trae operadores para cada hallazgo: reemplazar el valor por otro texto o por el nombre del tipo, eliminarlo, enmascarar parte de sus caracteres, sustituirlo por un resumen con sal, cifrarlo con una clave —la única vía reversible que trae, con su operación de descifrado— o conservarlo. También admite una función propia. Tokenizar, en el sentido habitual, es otra cosa más: cambiar el valor por un código sin relación matemática con él y guardar la equivalencia en una bóveda aparte.

La elección depende de quién lee el resultado. Eliminar deja la frase coja. Una etiqueta como <CORREO> dice qué había sin decir cuál. Un seudónimo consistente —el mismo código cada vez que aparece el mismo valor— permite seguir una conversación sin ver el dato.

Enmascarar es dejar ver una parte del valor para que una persona lo reconozca sin tenerlo entero, como los últimos dígitos de una tarjeta. Cuántos caracteres quedan a la vista no es un detalle estético: con un documento de diez dígitos, dejar ver la mayoría hace que el resto se adivine o se cruce con otra fuente. Por eso las políticas fijan un máximo.

Un resumen criptográfico no se puede invertir, pero eso protege poco cuando el conjunto de valores posibles es pequeño: quien sepa el formato puede calcular el resumen de todos los candidatos y compararlos. Por eso el operador de resumen de Presidio usa sal, y las políticas exigen una sal o una clave guardada aparte. Una función propia que lo calcula sin nada de eso es un seudónimo que cualquiera puede deshacer.

Cifrar es reversible a propósito: quien tenga la clave recupera el valor. Esa propiedad sirve cuando alguien autorizado lo necesita de vuelta, pero desplaza todo el riesgo a la clave. Si la clave vive en el mismo sitio que los datos, cualquiera que llegue a los datos llega también a la clave, y el cifrado deja de proteger.