Un’architettura senza vault genera token e, quando necessario, ricostruisce i valori originali senza conservare un database centrale delle corrispondenze tra token e valori. Si affida invece a meccanismi controllati, come chiavi crittografiche, algoritmi o servizi protetti, per supportare la creazione e la reversibilità dei token.
Può ridurre il rischio che un singolo archivio di corrispondenze diventi un obiettivo di alto valore, ma non elimina la necessità di proteggere i dati sensibili. Gli aggressori possono prendere di mira chiavi, servizi di reversibilità, API o accessi amministrativi. I difensori dovrebbero individuare quali sistemi possono creare o invertire i token, proteggere e limitare questi percorsi e valutare se i carichi di lavoro connessi rientrino comunque nell’ambito dei requisiti di sicurezza applicabili.