On remplit un formulaire de paiement en ligne, on tombe sur un champ « MM/AA », et le doute s’installe : faut-il taper le mois d’abord, l’année ensuite, avec ou sans slash ? Ce champ correspond à la date d’expiration de votre carte bancaire, imprimée au recto ou au verso selon les modèles. Deux chiffres pour le mois, deux chiffres pour l’année. Une erreur de saisie, et la transaction est refusée, parfois sans message explicite.
Paiement refusé à cause du format MM/AA : comprendre le problème à la source
Le scénario le plus fréquent, c’est un achat en ligne bloqué alors que le solde est suffisant et que la carte fonctionne en magasin. Dans la majorité des cas, le problème vient d’une confusion entre le format MM/AA et le format MM/AAAA. Certains sites demandent l’année sur deux chiffres (25 pour 2025), d’autres sur quatre chiffres (2025). Renseigner « 2025 » dans un champ qui attend « 25 » provoque un rejet immédiat.
On rencontre aussi la variante anglophone MM/YY (month/year), qui désigne exactement la même donnée. Sur les plateformes internationales, le libellé change mais le principe reste identique : mois en premier, année en second.
La question c’est quoi MM AA sur une carte bancaire revient souvent : ces caractères désignent le mois et l’année de fin de validité, gravés ou imprimés sur la carte, que le système de paiement vérifie avant d’autoriser toute opération à distance.
Date d’expiration carte bancaire : une donnée personnelle encadrée par le RGPD
On pense rarement au statut juridique de cette date. La date d’expiration fait pourtant partie des données bancaires considérées comme données à caractère personnel au sens de l’article 4(1) du RGPD, au même titre que le numéro de carte (PAN) et le cryptogramme visuel (CVV).
La conséquence directe touche les sites marchands. Par défaut, un e-commerçant ne peut pas conserver indéfiniment le MM/AA. Toute conservation au-delà de la transaction (pour faciliter un achat ultérieur, par exemple) doit reposer sur une base légale claire, documentée, et limitée à la durée de validité de la carte.
En pratique, beaucoup de sites enregistrent ces données pour simplifier les achats récurrents. Si vous supprimez votre carte d’un compte client, le commerçant est tenu d’effacer ces informations.
CVV, numéro de carte et MM/AA : le trio qui sécurise le paiement en ligne
Lors d’un achat à distance, trois éléments sont systématiquement demandés : le numéro à 16 chiffres, la date d’expiration (MM/AA), et le cryptogramme visuel (CVV ou CVC, trois chiffres au dos de la carte). Chacun joue un rôle distinct.
- Le numéro de carte (PAN) identifie le compte et le réseau (Visa, Mastercard). Les premiers chiffres indiquent l’émetteur, les suivants le compte du titulaire, et le dernier sert de clé de contrôle via l’algorithme de Luhn.
- Le MM/AA vérifie que la carte n’est pas expirée. Une carte dont la date est dépassée sera rejetée par le système, même si le compte associé est toujours actif.
- Le CVV prouve que la personne qui paie a physiquement la carte en main, puisque ce code n’est pas stocké dans la bande magnétique ni dans la puce.
Sans l’un de ces trois éléments, le paiement échoue. La date d’expiration n’est pas un simple détail administratif : elle fait partie intégrante du mécanisme d’authentification.
Carte expirée et paiements récurrents : les abonnements à surveiller
Quand une carte arrive à expiration, les prélèvements automatiques (streaming, assurance, box internet) ne s’arrêtent pas toujours d’eux-mêmes. Certains prestataires de paiement bénéficient d’un mécanisme de mise à jour automatique proposé par Visa et Mastercard, qui transmet les nouvelles coordonnées de la carte de remplacement au commerçant.
Ce système est pratique, mais il crée une zone d’ombre. On peut continuer à être débité par un service qu’on pensait résilié en laissant la carte expirer. Laisser expirer une carte ne résilie pas un abonnement. Pour stopper un prélèvement, il faut résilier directement auprès du service concerné ou faire opposition via la banque.
Côté sécurité, des chercheurs ont démontré que des cartes Visa expirées pouvaient encore être utilisées pour des paiements sans contact dans certaines configurations. Ce type de vulnérabilité reste marginal, mais il rappelle que la date d’expiration seule ne constitue pas une barrière absolue contre la fraude.
Norme PCI DSS et protection du MM/AA : ce qui a changé en 2025
Le MM/AA est directement concerné par les exigences du standard PCI DSS, le référentiel mondial de sécurité des données de carte bancaire. La version 4.0.1, dont les exigences sont devenues obligatoires en 2025, renforce les contrôles sur le stockage et la transmission de toutes les données de carte, date d’expiration comprise.
Pour les commerçants et les prestataires de paiement, cela se traduit par des obligations techniques précises :
- Le chiffrement des données de carte en transit et au repos, y compris le MM/AA
- La limitation stricte de l’accès aux données stockées aux seules personnes habilitées
- Des audits réguliers pour vérifier que les systèmes respectent ces exigences
Un site qui stocke votre date d’expiration en clair dans une base de données non protégée s’expose à des sanctions et, surtout, à des fuites massives. Plusieurs grandes enseignes du commerce en ligne ont subi ce type de brèche par le passé, exposant des millions de numéros de carte avec leurs dates d’expiration.
La prochaine fois que vous remplissez le champ MM/AA, vérifiez que le site affiche bien le cadenas HTTPS et qu’il mentionne sa conformité PCI DSS dans ses conditions générales. Un formulaire de paiement non sécurisé ne devrait jamais recevoir votre date d’expiration, ni aucune autre donnée de carte.