O código MM/AA impresso ou em relevo em um cartão bancário designa sua data de expiração no formato mês/ano. Dois dígitos para o mês, dois para o ano, separados por uma barra ou um espaço, dependendo do emissor. O cartão permanece utilizável até o último dia do mês indicado. Após isso, a rede interbancária rejeita sistematicamente qualquer solicitação de autorização.
Status regulatório do MM/AA na norma PCI DSS 4.0
A data de expiração não é apenas um ponto de referência prático para o portador. Do lado dos comerciantes e prestadores de pagamento, ela constitui um elemento de cardholder data (CHD) assim que é armazenada juntamente com o número do cartão (PAN), segundo a norma PCI DSS 4.0 que agora está plenamente em vigor.
Na prática, todo ator que conserva a data de expiração associada ao PAN deve justificar esse armazenamento, restringir o acesso e aplicar os controles de proteção impostos pela norma. Um site de e-commerce que registra o par PAN + MM/AA sem criptografia conforme se expõe a uma não conformidade PCI, com penalidades financeiras e a possível perda do direito de aceitar pagamentos por cartão.
Observamos que a maioria dos artigos de consumo trata o MM/AA apenas sob a perspectiva do formulário de pagamento. Eles ignoram essa dimensão regulatória, embora ela diga respeito diretamente a todo desenvolvedor que integra um módulo de pagamento e a todo responsável técnico de um site comercial. Para uma explicação do mm aa em um cartão bancário voltada para o uso diário, o assunto permanece acessível, mas a camada técnica merece ser conhecida.
MM/AA e autenticação forte: o que muda com a DSP2
Durante um pagamento online, o campo MM/AA faz parte do tripé transmitido ao prestador: número do cartão, data de expiração e código de verificação (CVV). Esse trio não é mais suficiente para validar uma transação desde a entrada em vigor da diretiva europeia sobre serviços de pagamento (DSP2).
A autenticação forte (SCA) exige pelo menos dois fatores distintos entre três categorias: conhecimento (código, senha), posse (telefone, cartão físico) e inerência (biometria). O MM/AA se enquadra na posse, assim como o CVV. Sozinhos, eles cobrem apenas um fator.
O protocolo 3D Secure, em sua versão atual, intervém precisamente para adicionar esse segundo fator. O servidor do banco emissor aciona uma verificação adicional (notificação push, código SMS, impressão digital) antes de validar a autorização. O MM/AA continua sendo necessário para iniciar o fluxo, mas não tem mais poder de autenticação autônomo.
Isenções à autenticação forte
Certain transactions escape the SCA, notably fixed-amount recurring payments after a first strong authentication, or low-value transactions. In these cases, the MM/AA retains a more direct validation role, as the system relies on the static data of the card without requesting a second factor again.
Carteira EUDI e futuro do código MM/AA em cartão bancário
O regulamento eIDAS 2.0, adotado a nível europeu, prevê o desdobramento da carteira de identidade digital europeia (EUDI Wallet). Este dispositivo permitirá, a longo prazo, autenticar o titular de um cartão sem transmitir os dados impressos no suporte físico.
Neste cenário, o MM/AA perderia parte de sua função atual. A identidade do pagador seria verificada pela carteira digital, e não mais pela inserção manual da data de expiração e do código de verificação. O papel do MM/AA se limitaria então à gestão do ciclo de vida do cartão (renovação, desativação), sem mais intervir como dado de segurança transacional.
Recomendamos às equipes técnicas que acompanhem o avanço do quadro EUDI, pois ele modificará a maneira como os módulos de pagamento coletam e tratam os dados do cartão.
Cartão expirado e segurança: um risco subestimado
Um cartão cujo MM/AA está ultrapassado não pode mais ser usado para um pagamento convencional. A rede interbancária o rejeita. No entanto, alguns dados do cartão expirado permanecem utilizáveis por fraudadores se o PAN e o CVV foram comprometidos antes da expiração.
As razões são técnicas:
- O número do cartão (PAN) não muda sistematicamente durante uma renovação. Em vários emissores, o novo cartão mantém o mesmo PAN com um MM/AA e um CVV atualizados.
- Um atacante com o PAN pode tentar adivinhar a nova data de expiração por força bruta, as combinações sendo limitadas (algumas dezenas de meses plausíveis multiplicados por alguns anos).
- Em sites não conformes com a SCA ou que se beneficiam de isenções, essa combinação pode ser suficiente para iniciar uma transação fraudulenta.
A melhor defesa continua sendo solicitar uma mudança de PAN durante a renovação se você suspeitar de uma compromissão anterior. A renovação automática não garante um novo número de cartão.
Formatos de exibição do MM/AA segundo as redes
O formato da data de expiração varia ligeiramente conforme o emissor e a rede:
- Visa e Mastercard geralmente exibem MM/AA em duas linhas ou em uma única, precedido pela menção “VALID THRU” ou “EXPIRES END”.
- American Express às vezes utiliza o formato MM/AAAA (quatro dígitos para o ano) em alguns mercados, o que pode criar confusão ao inserir em um formulário que espera dois dígitos.
- Os cartões virtuais, cada vez mais comuns, mantêm o mesmo formato, mas o exibem apenas no aplicativo bancário, sem suporte físico.
Os formulários de pagamento online aceitam ora MM/AA, ora MM/AAAA, ora dois campos separados. Um erro de formato (inserir quatro dígitos para o ano em um campo que espera dois) provoca uma rejeição imediata da transação, muitas vezes interpretada erroneamente como um problema de limite ou de cartão bloqueado.
O código MM/AA permanece, apesar de sua aparente simplicidade, um elo técnico cuja abrangência vai além do simples formulário de pagamento. Entre seu status de dado regulamentado sob PCI DSS 4.0, seu papel no fluxo de autenticação forte e as evoluções relacionadas à carteira EUDI, sua função está chamada a se reorientar para a gestão do ciclo de vida do cartão em vez de para a segurança das transações.
