De MM/AA-code dat op een bankkaart is gedrukt of geperst, verwijst naar de vervaldatum in maand/jaar formaat. Twee cijfers voor de maand, twee voor het jaar, gescheiden door een schuine streep of een spatie afhankelijk van de uitgever. De kaart blijft bruikbaar tot de laatste dag van de aangegeven maand. Daarna weigert het interbancaire netwerk systematisch elke autorisatieaanvraag.
Regelgevende status van MM/AA in de PCI DSS 4.0-norm
De vervaldatum is niet alleen een praktische referentie voor de kaarthouder. Voor handelaren en betalingsdienstverleners vormt het een element van cardholder data (CHD) zodra het samen met het kaartnummer (PAN) wordt opgeslagen, in de zin van de PCI DSS 4.0-norm die nu volledig van kracht is.
Concreet moet elke partij die de vervaldatum in verband met de PAN opslaat, deze opslag rechtvaardigen, de toegang beperken en de beschermingscontroles toepassen die door de norm worden opgelegd. Een e-commercewebsite die het paar PAN + MM/AA zonder conforme encryptie opslaat, loopt het risico op een PCI-non-conformiteit, met financiële sancties en mogelijk verlies van het recht om kaartbetalingen te accepteren.
We merken op dat de meeste consumentenartikelen het MM/AA alleen vanuit het perspectief van het betalingsformulier behandelen. Ze negeren deze regelgevende dimensie, terwijl deze direct van belang is voor elke ontwikkelaar die een betalingsmodule integreert en elke technische verantwoordelijke van een webwinkel. Voor een uitleg van mm aa op een bankkaart gericht op dagelijks gebruik blijft het onderwerp toegankelijk, maar de technische laag verdient het om bekend te zijn.
MM/AA en sterke authenticatie: wat verandert de DSP2
Bij een online betaling maakt het MM/AA-veld deel uit van de triade die aan de dienstverlener wordt doorgegeven: kaartnummer, vervaldatum en visueel cryptogram (CVV). Dit trio is niet langer voldoende om een transactie te valideren sinds de inwerkingtreding van de Europese richtlijn voor betalingsdiensten (DSP2).
Sterke authenticatie (SCA) vereist minstens twee verschillende factoren uit drie categorieën: kennis (code, wachtwoord), bezit (telefoon, fysieke kaart) en inherentie (biometrie). Het MM/AA valt onder bezit, net als de CVV. Alleen de combinatie van deze twee dekt slechts één factor.
Het 3D Secure-protocol, in zijn huidige versie, komt precies in beeld om deze tweede factor toe te voegen. De server van de uitgevende bank activeert een extra verificatie (pushmelding, SMS-code, vingerafdruk) voordat de autorisatie wordt gevalideerd. Het MM/AA blijft nodig om de stroom te initiëren, maar heeft geen autonome authenticatiekracht meer.
Uitzonderingen op sterke authenticatie
Bepaalde transacties ontsnappen aan de SCA, met name terugkerende betalingen van een vast bedrag na een eerste sterke authenticatie, of transacties van lage waarde. In deze gevallen behoudt het MM/AA een meer directe validatierol, omdat het systeem vertrouwt op de statische gegevens van de kaart zonder om een tweede factor te vragen.
EUDI-portefeuille en de toekomst van de MM/AA-code op bankkaarten
De eIDAS 2.0-verordening, aangenomen op Europees niveau, voorziet in de uitrol van de Europese digitale identiteitsportefeuille (EUDI Wallet). Dit systeem zal uiteindelijk de mogelijkheid bieden om de houder van een kaart te authentiseren zonder de gegevens die op het fysieke medium zijn afgedrukt te verzenden.
In dit scenario zou het MM/AA een deel van zijn huidige functie verliezen. De identiteit van de betaler zou worden geverifieerd door de digitale portefeuille, en niet meer door handmatige invoer van de vervaldatum en het cryptogram. De rol van het MM/AA zou zich dan beperken tot het beheer van de levenscyclus van de kaart (vernieuwing, deactivatie), zonder verder als transactiebeveiligingsgegeven op te treden.
We raden technische teams aan om de voortgang van het EUDI-kader te volgen, omdat dit de manier waarop betalingsmodules kaartgegevens verzamelen en verwerken zal veranderen.
Verlopen kaart en veiligheid: een onderschat risico
Een kaart waarvan de MM/AA is verstreken, kan niet meer worden gebruikt voor een gewone betaling. Het interbancaire netwerk weigert deze. Echter, bepaalde gegevens van de verlopen kaart blijven bruikbaar door fraudeurs als de PAN en de CVV vóór de vervaldatum zijn gecompromitteerd.
De redenen zijn technisch:
- Het kaartnummer (PAN) verandert niet systematisch bij een vernieuwing. Bij verschillende uitgevers behoudt de nieuwe kaart dezelfde PAN met een bijgewerkte MM/AA en CVV.
- Een aanvaller met de PAN kan proberen de nieuwe vervaldatum te raden via brute kracht, aangezien de combinaties beperkt zijn (enkele tientallen plausibele maanden vermenigvuldigd met enkele jaren).
- Op websites die niet voldoen aan de SCA of die profiteren van uitzonderingen, kan deze combinatie voldoende zijn om een frauduleuze transactie te initiëren.
De meest betrouwbare oplossing blijft om bij vernieuwing om een wijziging van de PAN te vragen als u vermoedt dat er eerder een compromis heeft plaatsgevonden. Automatische vernieuwing garandeert niet een nieuw kaartnummer.
Weergaveformaten van MM/AA volgens netwerken
Het formaat van de vervaldatum varieert licht afhankelijk van de uitgever en het netwerk:
- Visa en Mastercard tonen doorgaans MM/AA op twee regels of op één enkele regel, voorafgegaan door de vermelding “VALID THRU” of “EXPIRES END”.
- American Express gebruikt soms het formaat MM/AAAA (vier cijfers voor het jaar) op bepaalde markten, wat verwarring kan veroorzaken bij invoer in een formulier dat twee cijfers verwacht.
- Virtuele kaarten, die steeds gebruikelijker worden, hanteren hetzelfde formaat maar tonen dit alleen in de bankapp, zonder fysiek medium.
Online betalingsformulieren accepteren soms MM/AA, soms MM/AAAA, soms twee gescheiden velden. Een fout in het formaat (vier cijfers voor het jaar invoeren in een veld dat er twee verwacht) leidt tot een onmiddellijke weigering van de transactie, vaak ten onrechte geïnterpreteerd als een probleem met het plafond of een geblokkeerde kaart.
De MM/AA-code blijft, ondanks zijn ogenschijnlijke eenvoud, een technische schakel waarvan de reikwijdte verder gaat dan alleen het betalingsformulier. Tussen zijn status als gereguleerde gegevens onder PCI DSS 4.0, zijn rol in de stroom van sterke authenticatie en de evoluties met betrekking tot de EUDI-portefeuille, is zijn functie gericht op het beheer van de levenscyclus van de kaart in plaats van op de beveiliging van transacties.
