Le code MM/AA imprimé ou embossé sur une carte bancaire désigne sa date d’expiration au format mois/année. Deux chiffres pour le mois, deux pour l’année, séparés par un slash ou un espace selon l’émetteur. La carte reste utilisable jusqu’au dernier jour du mois indiqué. Au-delà, le réseau interbancaire rejette systématiquement toute demande d’autorisation.
Statut réglementaire du MM/AA dans la norme PCI DSS 4.0
La date d’expiration n’est pas qu’un repère pratique pour le porteur. Côté commerçants et prestataires de paiement, elle constitue un élément de cardholder data (CHD) dès qu’elle est stockée conjointement avec le numéro de carte (PAN), au sens de la norme PCI DSS 4.0 désormais pleinement en vigueur.
Concrètement, tout acteur qui conserve la date d’expiration associée au PAN doit justifier ce stockage, en restreindre l’accès et appliquer les contrôles de protection imposés par la norme. Un site e-commerce qui enregistre le couple PAN + MM/AA sans chiffrement conforme s’expose à une non-conformité PCI, avec les pénalités financières et la perte éventuelle du droit d’accepter les paiements par carte.
Nous observons que la plupart des articles grand public traitent le MM/AA uniquement sous l’angle du formulaire de paiement. Ils ignorent cette dimension réglementaire, alors qu’elle concerne directement tout développeur intégrant un module de paiement et tout responsable technique d’un site marchand. Pour une explication du mm aa sur une carte bancaire orientée usage quotidien, le sujet reste accessible, mais la couche technique mérite d’être connue.
MM/AA et authentification forte : ce que change la DSP2
Lors d’un paiement en ligne, le champ MM/AA fait partie du triptyque transmis au prestataire : numéro de carte, date d’expiration et cryptogramme visuel (CVV). Ce trio ne suffit plus à valider une transaction depuis l’entrée en application de la directive européenne sur les services de paiement (DSP2).
L’authentification forte (SCA) exige au moins deux facteurs distincts parmi trois catégories : connaissance (code, mot de passe), possession (téléphone, carte physique) et inhérence (biométrie). Le MM/AA relève de la possession, tout comme le CVV. À eux seuls, ils ne couvrent qu’un facteur.
Le protocole 3D Secure, dans sa version actuelle, intervient précisément pour ajouter ce second facteur. Le serveur de la banque émettrice déclenche une vérification supplémentaire (notification push, code SMS, empreinte digitale) avant de valider l’autorisation. Le MM/AA reste nécessaire pour initier le flux, mais il n’a plus de pouvoir d’authentification autonome.
Exemptions à l’authentification forte
Certaines transactions échappent à la SCA, notamment les paiements récurrents d’un montant fixe après une première authentification forte, ou les transactions de faible montant. Dans ces cas, le MM/AA conserve un rôle de validation plus direct, car le système se fie aux données statiques de la carte sans redemander de second facteur.
Portefeuille EUDI et avenir du code MM/AA sur carte bancaire
Le règlement eIDAS 2.0, adopté au niveau européen, prévoit le déploiement du portefeuille d’identité numérique européen (EUDI Wallet). Ce dispositif permettra à terme d’authentifier le titulaire d’une carte sans transmettre les données imprimées sur le support physique.
Dans ce scénario, le MM/AA perdrait une partie de sa fonction actuelle. L’identité du payeur serait vérifiée par le portefeuille numérique, et non plus par la saisie manuelle de la date d’expiration et du cryptogramme. Le rôle du MM/AA se limiterait alors à la gestion du cycle de vie de la carte (renouvellement, désactivation), sans plus intervenir comme donnée de sécurité transactionnelle.
Nous recommandons aux équipes techniques de suivre l’avancement du cadre EUDI, car il modifiera la manière dont les modules de paiement collectent et traitent les données de carte.
Carte expirée et sécurité : un risque sous-estimé
Une carte dont le MM/AA est dépassé ne peut plus servir pour un paiement classique. Le réseau interbancaire la refuse. En revanche, certaines données de la carte expirée restent exploitables par des fraudeurs si le PAN et le CVV ont été compromis avant l’expiration.
Les raisons sont techniques :
- Le numéro de carte (PAN) ne change pas systématiquement lors d’un renouvellement. Chez plusieurs émetteurs, la nouvelle carte conserve le même PAN avec un MM/AA et un CVV mis à jour.
- Un attaquant disposant du PAN peut tenter de deviner la nouvelle date d’expiration par force brute, les combinaisons étant limitées (quelques dizaines de mois plausibles multipliés par quelques années).
- Sur les sites non conformes à la SCA ou bénéficiant d’exemptions, cette combinaison peut suffire à initier une transaction frauduleuse.
La parade la plus fiable reste de demander un changement de PAN lors du renouvellement si vous soupçonnez une compromission antérieure. Le renouvellement automatique ne garantit pas un nouveau numéro de carte.
Formats d’affichage du MM/AA selon les réseaux
Le format de la date d’expiration varie légèrement selon l’émetteur et le réseau :
- Visa et Mastercard affichent généralement MM/AA sur deux lignes ou sur une seule, précédé de la mention « VALID THRU » ou « EXPIRES END ».
- American Express utilise parfois le format MM/AAAA (quatre chiffres pour l’année) sur certains marchés, ce qui peut créer une confusion lors de la saisie dans un formulaire qui attend deux chiffres.
- Les cartes virtuelles, de plus en plus courantes, reprennent le même format mais l’affichent uniquement dans l’application bancaire, sans support physique.
Les formulaires de paiement en ligne acceptent tantôt MM/AA, tantôt MM/AAAA, tantôt deux champs séparés. Une erreur de format (saisir quatre chiffres pour l’année dans un champ qui en attend deux) provoque un rejet immédiat de la transaction, souvent interprété à tort comme un problème de plafond ou de carte bloquée.
Le code MM/AA reste, malgré sa simplicité apparente, un maillon technique dont la portée dépasse le simple formulaire de paiement. Entre son statut de donnée réglementée sous PCI DSS 4.0, son rôle dans le flux d’authentification forte et les évolutions liées au portefeuille EUDI, sa fonction est appelée à se recentrer sur la gestion du cycle de vie de la carte plutôt que sur la sécurisation des transactions.