Comment vérifier qu'un IBAN est valide : ce que la clé mod-97 révèle

Vous êtes sur le point d’envoyer de l’argent à l’étranger, quelqu’un vous communique un IBAN, et vous voulez être sûr qu’il est correct avant de lui confier un paiement. « Valide » a un sens précis ici, et il vaut la peine de comprendre à la fois ce que le contrôle prouve et, plus important encore, ce qu’il ne prouve pas.

En bref : un IBAN est valide quand deux conditions sont réunies : sa longueur correspond à ce qu’exige son code pays, et ses deux chiffres de contrôle concordent avec un calcul appelé mod-97 effectué sur le reste du numéro. Cela détecte les fautes de frappe de façon fiable. En revanche, cela ne prouve pas, et ne peut pas prouver, que le compte est ouvert ou qu’il appartient à quelqu’un en particulier.

Deux conditions rendent un IBAN valide

La validation se fait en deux temps, et un véritable IBAN doit réussir les deux.

Le premier, c’est la longueur. Chaque pays fixe la longueur exacte de ses IBAN. L’Allemagne fait toujours 22 caractères, le Royaume-Uni 22, la France 27, les Pays-Bas 18, l’Espagne 24. Si un numéro commence par DE mais ne fait pas 22 caractères une fois les espaces retirés, il est faux, point final, avant même tout calcul.

Le second, c’est la clé de contrôle. Les deux chiffres situés juste après le code pays ne font pas partie du numéro de compte. Ce sont des valeurs de contrôle calculées à partir de tout le reste de l’IBAN. Si un seul autre caractère est erroné, ces deux chiffres ne concordent plus et le numéro est rejeté. Ce second test, c’est le contrôle mod-97, et il vaut la peine de voir comment il se déroule réellement.

Comment fonctionne le contrôle mod-97

La méthode vient d’une norme appelée ISO 7064, et vous pouvez l’appliquer à la main sur un exemple court. Il y a trois étapes.

Déplacez le début à la fin. Prenez les quatre premiers caractères, le code pays et les deux chiffres de contrôle, et placez-les à la fin de la chaîne. Ainsi DE89 3704 0044 0532 0130 00 devient 3704 0044 0532 0130 00 DE89.

Transformez les lettres en nombres. Les lettres du code pays sont maintenant à la fin, et les lettres ne sont pas admises dans le calcul. Chaque lettre devient donc un nombre à deux chiffres selon sa position dans l’alphabet : A vaut 10, B vaut 11, C vaut 12, et ainsi de suite jusqu’à Z qui vaut 35. D devient 13, E devient 14, donc DE89 se transforme en 13 14 89.

Prenez le reste de la division par 97. Vous avez maintenant une très longue suite de chiffres. Lisez-la comme un seul entier et divisez-la par 97. Si le reste est exactement 1, la clé de contrôle est correcte et l’IBAN passe. Tout autre reste signifie un échec.

C’est tout le contrôle. La règle du reste égal à 1 est ce que fait chaque outil de validation, y compris le validateur d’IBAN de finance.hivly.net, en coulisses. Les nombres sont grands, donc un logiciel s’en charge, mais la logique est assez simple pour être suivie sur papier.

Pourquoi ce calcul détecte presque toutes les fautes de frappe

Si le mod-97 a été retenu, c’est parce qu’il est particulièrement efficace pour repérer les erreurs que les humains font réellement. Changez un seul caractère et le reste ne reste presque jamais égal à 1. Intervertissez deux caractères voisins, l’erreur de transposition classique, et là encore la clé de contrôle est rompue. Le calcul est sensible précisément aux dérapages que commet une personne fatiguée en recopiant un long numéro depuis un écran.

Donc, quand un formulaire de paiement accepte votre IBAN, il vous indique que le numéro est cohérent en interne : la bonne longueur, des caractères autorisés et une clé de contrôle qui concorde avec le reste. Cela écarte l’écrasante majorité des fautes de frappe en une seule étape discrète.

Ce qu’un IBAN valide ne prouve pas

Voici le point qui piège souvent. Réussir la validation ne signifie pas que l’argent arrivera au bon endroit. Cela signifie que le numéro est bien formé. Ce n’est pas la même chose.

Deux failles subsistent. D’abord, un IBAN valide peut pointer vers un compte fermé, ou vers un compte qui n’a pas reçu les fonds pour une autre raison. La validation ne contacte jamais la banque, elle ne peut donc pas le savoir. Ensuite, et c’est plus dangereux, vous pouvez saisir par erreur, à la place de l’IBAN voulu, un autre numéro qui se trouve lui aussi être valide. La clé de contrôle est satisfaite, la longueur est correcte, et l’argent part vers un compte réel qui n’est tout simplement pas celui que vous visiez.

C’est pourquoi les banques effectuent de plus en plus un contrôle du nom distinct, en confirmant que le nom du titulaire correspond avant de libérer un virement. La clé de contrôle de l’IBAN est la première ligne de défense contre les doigts qui dérapent ; le contrôle du nom est la deuxième ligne contre l’envoi à la mauvaise personne réelle. Validez le numéro pour détecter les fautes de frappe, puis appuyez-vous sur la confirmation du nom, et non sur la clé de contrôle, pour vous assurer que vous avez le bon compte.