Compiliamo un modulo di pagamento online, ci imbattiamo in un campo “MM/AA”, e il dubbio s’installa: bisogna digitare prima il mese, poi l’anno, con o senza slash? Questo campo corrisponde alla data di scadenza della tua carta di credito, stampata sul fronte o sul retro a seconda dei modelli. Due cifre per il mese, due cifre per l’anno. Un errore di inserimento, e la transazione viene rifiutata, a volte senza un messaggio esplicito.
Pagamento rifiutato a causa del formato MM/AA: comprendere il problema alla radice
Lo scenario più comune è un acquisto online bloccato mentre il saldo è sufficiente e la carta funziona in negozio. Nella maggior parte dei casi, il problema deriva da una confusione tra il formato MM/AA e il formato MM/AAAA. Alcuni siti richiedono l’anno in due cifre (25 per il 2025), altri in quattro cifre (2025). Inserire “2025” in un campo che si aspetta “25” provoca un rifiuto immediato.
Si incontra anche la variante anglofona MM/YY (month/year), che indica esattamente la stessa informazione. Sulle piattaforme internazionali, l’etichetta cambia ma il principio rimane identico: mese per primo, anno per secondo.
La domanda che cos’è MM AA su una carta di credito torna spesso: questi caratteri indicano il mese e l’anno di fine validità, incisi o stampati sulla carta, che il sistema di pagamento verifica prima di autorizzare qualsiasi operazione a distanza.
Data di scadenza carta di credito: un dato personale regolato dal GDPR
Raramente si pensa allo status giuridico di questa data. La data di scadenza fa parte delle informazioni bancarie considerate dati personali ai sensi dell’articolo 4(1) del GDPR, allo stesso modo del numero di carta (PAN) e del codice di sicurezza (CVV).
La conseguenza diretta riguarda i siti di e-commerce. Per default, un commerciante online non può conservare indefinitamente il MM/AA. Qualsiasi conservazione oltre la transazione (per facilitare un acquisto successivo, ad esempio) deve basarsi su una base legale chiara, documentata, e limitata alla durata di validità della carta.
In pratica, molti siti registrano questi dati per semplificare gli acquisti ricorrenti. Se si rimuove la propria carta da un account cliente, il commerciante è tenuto a cancellare queste informazioni.
CVV, numero di carta e MM/AA: il trio che sicurizza il pagamento online
Durante un acquisto a distanza, vengono sistematicamente richiesti tre elementi: il numero a 16 cifre, la data di scadenza (MM/AA) e il codice di sicurezza (CVV o CVC, tre cifre sul retro della carta). Ognuno gioca un ruolo distinto.
- Il numero di carta (PAN) identifica il conto e la rete (Visa, Mastercard). Le prime cifre indicano l’emittente, le successive il conto del titolare, e l’ultima serve come chiave di controllo tramite l’algoritmo di Luhn.
- Il MM/AA verifica che la carta non sia scaduta. Una carta la cui data è superata verrà rifiutata dal sistema, anche se il conto associato è ancora attivo.
- Il CVV dimostra che la persona che paga ha fisicamente la carta in mano, poiché questo codice non è memorizzato nella banda magnetica né nel chip.
Senzo uno di questi tre elementi, il pagamento fallisce. La data di scadenza non è un semplice dettaglio amministrativo: fa parte integrante del meccanismo di autenticazione.
Carta scaduta e pagamenti ricorrenti: gli abbonamenti da monitorare
Quando una carta scade, i pagamenti automatici (streaming, assicurazione, internet) non si fermano sempre da soli. Alcuni fornitori di pagamento beneficiano di un meccanismo di aggiornamento automatico offerto da Visa e Mastercard, che trasmette le nuove informazioni della carta di sostituzione al commerciante.
Questo sistema è pratico, ma crea una zona d’ombra. Si può continuare a essere addebitati da un servizio che si pensava fosse stato annullato lasciando scadere la carta. Lasciare scadere una carta non annulla un abbonamento. Per fermare un addebito, è necessario annullare direttamente presso il servizio interessato o fare opposizione tramite la banca.
Dal punto di vista della sicurezza, i ricercatori hanno dimostrato che carte Visa scadute possono ancora essere utilizzate per pagamenti contactless in alcune configurazioni. Questo tipo di vulnerabilità rimane marginale, ma ricorda che la sola data di scadenza non costituisce una barriera assoluta contro le frodi.
Normativa PCI DSS e protezione del MM/AA: cosa è cambiato nel 2025
Il MM/AA è direttamente interessato dai requisiti dello standard PCI DSS, il riferimento globale per la sicurezza dei dati delle carte di credito. La versione 4.0.1, i cui requisiti sono diventati obbligatori nel 2025, rafforza i controlli sullo stoccaggio e la trasmissione di tutti i dati della carta, compresa la data di scadenza.
Per i commercianti e i fornitori di pagamento, ciò si traduce in obblighi tecnici precisi:
- Crittografia dei dati della carta in transito e a riposo, incluso il MM/AA
- Limitazione rigorosa dell’accesso ai dati memorizzati solo alle persone autorizzate
- Audit regolari per verificare che i sistemi rispettino questi requisiti
Un sito che memorizza la tua data di scadenza in chiaro in un database non protetto si espone a sanzioni e, soprattutto, a fughe di dati massicce. Diverse grandi aziende di commercio online hanno subito questo tipo di violazione in passato, esponendo milioni di numeri di carta con le loro date di scadenza.
La prossima volta che compili il campo MM/AA, verifica che il sito mostri il lucchetto HTTPS e che menzioni la sua conformità PCI DSS nelle sue condizioni generali. Un modulo di pagamento non sicuro non dovrebbe mai ricevere la tua data di scadenza, né alcun altro dato della carta.
