Numéro de carte bancaire : à quoi correspondent les chiffres ?

Ce que contient un numéro de carte bancaire

Le numéro de carte bancaire n'est pas une suite tirée au hasard : il se décompose en trois blocs normalisés par la norme internationale ISO/IEC 7812. Les premiers chiffres identifient l'établissement émetteur, les suivants désignent la carte au sein de son portefeuille, et le dernier sert uniquement à vérifier que la saisie est exacte. Ce numéro, appelé PAN dans le vocabulaire technique, est propre à la carte et ne correspond jamais au numéro du compte bancaire.

Les trois blocs du numéro

Le premier bloc est l'identifiant de l'émetteur, attribué par le réseau de paiement et commun à toutes les cartes d'une même catégorie chez une même banque. Le deuxième distingue chaque carte émise, ce qui explique que deux cotitulaires d'un compte joint détiennent deux numéros différents. Le troisième se réduit à un chiffre de contrôle. Cette architecture est identique qu'une carte soit délivrée par un réseau d'agences ou par une banque en ligne.

La correspondance chiffre par chiffre

Découpage valable pour un numéro à 16 chiffres, format dominant en France. La frontière entre les deux premiers blocs a été déplacée du 6e au 8e chiffre.

Une longueur variable selon le réseau

La norme autorise de 8 à 19 chiffres, les cartes françaises en comptant presque toujours 16. Certains réseaux s'en écartent, avec 15 chiffres pour l'un et jusqu'à 19 pour d'autres, sans que cela change la logique de découpage. La longueur constitue d'ailleurs le premier indice utilisé par les formulaires de paiement pour deviner le réseau avant même la validation.

Le premier chiffre et l'identifiant de l'émetteur

Les préfixes des principaux réseaux

La plage commençant par 2 a été ouverte en octobre 2016 pour élargir les combinaisons disponibles, et se traite exactement comme les plages historiques.

Le passage de six à huit chiffres

L'identifiant de l'émetteur comptait historiquement six chiffres. La révision de la norme a porté cette longueur à huit chiffres, mandatée en avril 2022 par les principaux réseaux, les combinaisons disponibles arrivant à épuisement avec la multiplication des émetteurs. La longueur totale du numéro n'a pas changé, ce qui a évité de réémettre les cartes existantes, mais les nouveaux identifiants attribués comptent désormais huit chiffres.

Ce que ce préfixe révèle au commerçant

Un commerçant qui reçoit les premiers chiffres connaît le réseau, le pays d'émission, la gamme de la carte et la nature de l'établissement. Cette lecture lui permet d'adapter sa tarification, de refuser certaines cartes étrangères ou d'exiger une caution plus élevée. Elle révèle notamment si le support est émis par un établissement de crédit ou par les néobanques relevant du statut d'établissement de paiement, distinction utilisée par les loueurs de véhicules.

La clé de contrôle et l'algorithme de Luhn

Le rôle du dernier chiffre

Le chiffre final n'apporte aucune information sur le titulaire ni sur le compte : il résulte d'un calcul portant sur tous les précédents. Sa fonction est de détecter immédiatement une erreur de frappe ou une inversion de deux chiffres, avant même d'interroger la banque. C'est pourquoi un formulaire de paiement peut signaler un numéro invalide instantanément, sans aucune connexion au réseau bancaire.

Le calcul étape par étape

• Parcourir le numéro de droite à gauche en partant du dernier chiffre
• Doubler un chiffre sur deux, en commençant par le deuxième depuis la droite
• Retrancher 9 à chaque résultat dépassant 9, pour revenir à un seul chiffre
• Additionner l'ensemble des chiffres ainsi obtenus
• Vérifier que le total est un multiple de 10, condition de validité

Appliqué à la suite 1 2 3 4 5 6 7 8, ce calcul donne un total de 34, qui n'est pas un multiple de 10 : cette séquence serait rejetée sans consultation de la banque.

Ce que la clé ne garantit pas

Un numéro conforme à ce calcul n'est pas pour autant un numéro attribué, actif ou approvisionné. Des générateurs produisent sans difficulté des suites mathématiquement valides mais inexistantes, et seule l'autorisation demandée à la banque émettrice confirme qu'une carte existe et que l'opération peut aboutir. La clé filtre les fautes de saisie, pas la fraude.

Les autres mentions portées sur la carte

La date de validité

Exprimée en mois et année, elle marque la fin du mois indiqué, une carte portant 09/28 restant utilisable jusqu'au 30 septembre 2028 inclus. La durée d'émission s'établit généralement entre deux et quatre ans, le renouvellement étant adressé automatiquement avant l'échéance. Cette date est exigée lors d'un paiement à distance, en complément du numéro.

Le code de sécurité à trois chiffres

Imprimé au dos sur la plupart des cartes, il n'est pas calculé à partir du numéro mais généré séparément par l'émetteur à partir de données secrètes. Sa fonction est d'attester la possession physique du support lors d'un achat à distance. Certains réseaux le portent sur la face avant et lui donnent quatre chiffres, et les cartes dites à cryptogramme dynamique le renouvellent périodiquement.

Ce qui ne figure jamais sur la carte

• L'IBAN et le relevé d'identité bancaire du compte rattaché
• Le code confidentiel, connu du seul titulaire et d'aucun conseiller
• Les plafonds de paiement et de retrait applicables
• Le solde disponible et le découvert éventuellement autorisé
• Les garanties d'assurance, détaillées dans une notice distincte

La sécurité du numéro de carte bancaire

Les trois données qui suffisent à payer

Numéro, date de validité et code de sécurité permettent à eux seuls de déclencher un paiement à distance sur un site n'appliquant pas d'authentification renforcée. Ces trois éléments figurent tous sur le support, ce qui explique qu'une simple photographie de la carte représente un risque réel. L'authentification forte, imposée par la réglementation européenne sur les paiements, constitue la protection déterminante contre cet usage.

Les règles imposées aux commerçants

Les professionnels acceptant la carte sont soumis à un référentiel de sécurité qui encadre précisément la conservation de ces données. Plusieurs obligations se vérifient facilement du côté du client.

• Interdiction de conserver le code de sécurité après l'autorisation de l'opération
• Masquage du numéro sur les tickets et les confirmations, seuls les quatre derniers chiffres restant visibles
• Transmission chiffrée des données entre le site marchand et la banque
• Aucune demande du code de sécurité par courriel, message ou téléphone
• Aucune demande du code confidentiel, qu'aucun commerçant n'a à connaître

Un marchand qui s'écarte de l'une de ces règles constitue un signal d'alerte à traiter comme tel.

Le remboursement en cas d'utilisation frauduleuse

Aucune somme ne reste à charge pour une opération à distance non autorisée, la perte étant plafonnée à 50 € lorsque la carte volée a été utilisée avec son code avant opposition. Le titulaire dispose de treize mois pour contester une opération. Les frais d'opposition varient fortement selon les acteurs, et un comparatif banques en ligne permet de situer cette ligne avant d'en avoir besoin.

Le numéro face à la tokenisation

Le paiement mobile et le numéro de substitution

Lorsqu'une carte est enregistrée dans un téléphone ou une montre, le numéro réel n'est pas transmis au commerçant : un identifiant de substitution, propre à cet appareil, le remplace à chaque opération. Une fuite de données chez un marchand ne compromet donc pas la carte elle-même. Ce mécanisme explique aussi qu'un paiement mobile apparaisse parfois sous un numéro différent sur le relevé.

Les cartes virtuelles à usage unique

Plusieurs établissements génèrent à la demande un numéro temporaire, limité à un montant, à une durée ou à un seul marchand. Cet outil neutralise l'essentiel du risque lié aux achats en ligne et aux abonnements difficiles à résilier. Sa disponibilité gratuite dans l'application distingue nettement la meilleure banque en ligne d'un réseau où cette fonction reste payante ou absente.

Le changement de numéro et ses effets

Une opposition, un renouvellement ou un changement de gamme entraînent l'attribution d'un nouveau numéro, ce qui interrompt les abonnements enregistrés chez les marchands et oblige à les mettre à jour un par un. L'IBAN du compte reste en revanche inchangé, de sorte que virements et prélèvements ne sont pas affectés. Un changement d'établissement modifie les deux, les démarches pour ouvrir un compte bancaire en ligne restant limitées à une vérification d'identité à distance, et la disponibilité de ces outils de protection mérite d'être examinée au moment de choisir la bonne banque en ligne.

FAQ : numéro de carte bancaire

Le numéro de la carte est-il celui du compte

Non, ce sont deux identifiants distincts et indépendants. Le numéro imprimé sur le support désigne la carte, tandis que le compte est identifié par son IBAN, qui figure sur le relevé d'identité bancaire et non sur la carte. Changer de carte ne modifie jamais l'IBAN du compte auquel elle est rattachée.

Que signifie le premier chiffre

Il indique la nature de l'émetteur selon la norme internationale, un 4 et un 5 correspondant aux principaux réseaux de cartes bancaires, un 3 aux cartes de voyage et de divertissement, un 6 à d'autres systèmes. Les chiffres suivants précisent la banque, le pays et la gamme. Cette lecture est accessible à tout commerçant recevant le début du numéro.

Peut-on savoir à quelle banque appartient un numéro

Oui, les premiers chiffres identifient l'établissement émetteur et des annuaires publics permettent cette recherche. Cette information ne révèle en revanche ni l'identité du titulaire, ni le solde, ni les coordonnées du compte. Elle sert surtout aux commerçants pour déterminer la tarification applicable à l'opération.

Pourquoi un formulaire refuse-t-il un numéro avant validation

Le dernier chiffre est une clé de contrôle calculée sur les précédents, ce qui permet de détecter immédiatement une faute de frappe ou l'inversion de deux chiffres. Le refus intervient alors sans aucune interrogation de la banque. Une suite mathématiquement correcte peut à l'inverse être acceptée par le formulaire puis rejetée à l'autorisation.

Deux cartes peuvent-elles porter le même numéro

Non, chaque carte émise reçoit un identifiant unique, y compris pour deux cotitulaires d'un même compte joint ou pour une carte de remplacement après opposition. Seul le préfixe de l'émetteur est commun à toutes les cartes d'une même gamme chez un même établissement. Le renouvellement à échéance donne également lieu à un nouveau numéro chez la plupart des émetteurs.

Communiquer son numéro présente-t-il un risque

Le numéro seul ne suffit pas, mais associé à la date de validité et au code de sécurité il permet un paiement à distance sur un site sans authentification renforcée. Ces trois données figurant toutes sur le support, la photographie ou la transmission de la carte doit être évitée. Un commerçant légitime ne demande jamais le code de sécurité par courriel ou par téléphone.

Le numéro de carte bancaire va-t-il disparaître

Il tend à s'effacer de l'usage courant plutôt que du système : plusieurs émetteurs ne l'impriment plus sur le support et le réservent à l'application, et le paiement mobile transmet déjà un identifiant de substitution. Le numéro réel demeure toutefois nécessaire au fonctionnement interne des réseaux. Son rôle évolue donc vers une donnée technique que le titulaire manipule de moins en moins.