Qu’est-ce que la norme ISO 8583 et pourquoi est-elle importante ?

Chaque fois qu’un client règle par carte, le paiement déclenche un échange de messages entre le terminal, votre prestataire de paiement et la banque émettrice de la carte. La norme ISO 8583 définit le format de ces messages et la façon dont ils se répondent.

Cette norme internationale permet à un distributeur de billets, à un terminal ou à une passerelle de paiement en ligne de dialoguer avec des systèmes qu’ils ne connaissent pas. Elle sert ainsi de colonne vertébrale aux échanges de données de paiement par carte dans le monde entier.

Dans cet article, nous expliquons comment un message ISO 8583 est construit, pourquoi cette norme compte encore en France et ce qui la distingue de la norme ISO 20022.

Qu’est-ce que la norme ISO 8583 ?

La norme ISO 8583 décrit une interface commune pour l’échange de messages entre les acquéreurs (les prestataires qui encaissent au nom des commerçants) et les émetteurs de cartes. Elle précise la structure et le format de ces messages, mais elle ne dit rien de la façon dont ils circulent sur le réseau, ni du règlement des fonds.

Publiée pour la première fois en 1987, elle a été révisée en 1993, puis en 2003. Sa troisième édition, ISO 8583:2023, préparée par le comité technique de l’ISO consacré aux services financiers, annule et remplace les trois parties de 2003 et confie la tenue des codes à une agence de maintenance dédiée.

Le secteur appelle « flux monétiques » l’ensemble de ces échanges liés aux paiements par carte, de la demande d’autorisation jusqu’à la compensation entre banques. ISO 8583 en est le langage historique.

Un message ISO 8583 repose sur trois composants :

• L’indicateur de type de message (MTI), un code à quatre chiffres qui annonce la nature du message.
  
• Le bitmap, une suite de bits qui indique quels champs sont présents dans le message.
  
• Les éléments de données, c’est-à-dire les champs eux-mêmes, comme le montant, le numéro de carte ou la date de la transaction.

Ces trois briques s’assemblent pour former plusieurs types de transactions :

• Les demandes d’autorisation, qui interrogent l’émetteur avant d’accepter un paiement.
  
• Les transactions financières, qui confirment le débit à porter au compte du porteur, le règlement entre banques intervenant ensuite hors de la norme.
  
• Les messages d’avis, qui informent l’autre partie d’une action déjà effectuée, par exemple un paiement accepté hors ligne par le terminal.

Chacun de ces trois éléments attend une réponse, et c’est cette discipline qui rend le dialogue entre systèmes prévisible.

Quelles sont les caractéristiques clés de la norme ISO 8583 ?

Mais pourquoi une norme née en 1987 équipe encore la majorité des réseaux de cartes ? Cela s’explique par trois caractéristiques spécifiques.

Un format standardisé

Tous les systèmes conformes à ISO 8583 lisent un message de la même façon : d’abord le MTI, puis le bitmap, puis les champs annoncés. 

Un terminal, un serveur d’autorisation ou un distributeur de billets peuvent donc être développés par des fournisseurs différents et se comprendre, même si chaque réseau de cartes publie sa propre variante de la norme.

De la souplesse dans les éléments de données

La norme réserve des champs à usage national ou privé. Un réseau peut y insérer un identifiant national, une donnée propre à un programme de fidélité ou une information exigée par un régulateur local, sans altérer la structure du message.

Cette souplesse a permis à chaque pays de bâtir ses propres dérivés. En France, les protocoles d’acceptation du réseau CB, connus sous le nom de CB2A, font partie de ces déclinaisons nationales construites sur la base de l’ISO 8583. Elle a également permis au sans contact, puis aux portefeuilles mobiles, de circuler dans les mêmes messages que les cartes à puce.

La sécurité et la fiabilité

ISO 8583 prévoit des champs pour transmettre le code confidentiel chiffré et les données de gestion des clés cryptographiques. 

En revanche, la norme ne chiffre rien elle-même. La protection repose sur les équipements, et notamment sur les modules de sécurité matériels (HSM) qui génèrent et conservent les clés chez les banques et les prestataires, selon les exigences du PCI Security Standards Council.

La fiabilité vient de la logique même de la norme. Chaque demande attend une réponse, et la norme définit des messages de répétition, pour une demande restée sans réponse dans le délai attendu, et des messages d’annulation. Les délais et les règles de relance eux-mêmes sont fixés par chaque réseau, et les cas douteux se règlent ensuite par la réconciliation des comptes.

Pourquoi la norme ISO 8583 est-elle importante ?

Cette norme est invisible pour vos clients. Elle est pourtant présente derrière chaque paiement par carte que vous encaissez, en magasin comme en ligne.

L’interopérabilité mondiale

Un touriste qui paie avec sa carte dans votre boutique déclenche un message qui parcourt votre acquéreur, le réseau de la carte et la banque émettrice, parfois jusqu’à l’autre bout du monde. ISO 8583 donne à tous ces maillons un format commun, et c’est pour cette raison que la carte fonctionne à l’étranger sans réglage particulier.

Pour la France, l’enjeu est réel. En 2024, les cartes françaises représentaient à elles seules 25 % des paiements par carte de la zone euro en nombre d’opérations, et un paiement sur dix était effectué hors du territoire.

Le socle des paiements électroniques

En France, la carte est le premier moyen de paiement hors espèces. En 2025, elle représentait 62,7 % des transactions scripturales en nombre, hors retraits, et les cartes émises en France ont servi à 1 005 milliards d’euros d’opérations. Le sans contact représentait 72 % des paiements de proximité par carte, et les portefeuilles mobiles, 19 %.

Derrière ces chiffres, une grande partie des demandes d’autorisation transite par des infrastructures nationales. Le service de routage et d’autorisation de STET a ainsi acheminé plus de 14,8 milliards de transactions en 2025. 

Que le paiement vienne d’un distributeur, d’un TPE mobile ou d’un site marchand, le dialogue avec l’émetteur suit la même grammaire.

Deux autres apports sont importants :

• La précision des traitements. Chaque champ a une place, une longueur et un code définis, par exemple un code de traitement qui distingue un achat d’un retrait. Les systèmes interprètent donc le message sans ambiguïté, ce qui réduit les erreurs et les litiges.
  
• La sécurité des échanges. Les données sensibles, comme le numéro de carte et le code confidentiel, circulent dans des champs identifiés, et le code confidentiel est toujours chiffré avant de quitter le terminal. En 2025, le taux de fraude sur les paiements de proximité et aux automates est resté à 0,011 % en France.

Ces garanties vous profitent directement, car un paiement autorisé selon ces règles est tracé de bout en bout.

Quels sont les composants d’un message ISO 8583 ?

Regardons de plus près les trois briques d’un message, car c’est leur agencement qui rend la norme à la fois compacte et lisible par une machine.

L’indicateur de type de message (MTI)

Le MTI est un code numérique à quatre chiffres placé en tête du message. Le premier chiffre indique la version de la norme (0 pour 1987, 1 pour 1993, 2 pour 2003). Le deuxième donne la classe du message (une autorisation, une transaction financière, une annulation ou une gestion de réseau). Le troisième présente sa fonction (une demande, une réponse ou un avis) et le quatrième son origine (l’acquéreur ou l’émetteur, avec un code distinct pour leurs messages répétés).

Quelques exemples :

• 0100 : une demande d’autorisation.
• 0110 : la réponse à une demande d’autorisation.
• 0200 : une demande de transaction financière.
• 0210 : la réponse à une transaction financière.

Le système qui reçoit le message sait donc immédiatement s’il doit répondre, et sous quelle forme.

Le bitmap

Le bitmap est une suite de 64 bits dans laquelle chaque bit indique si le champ correspondant, de 1 à 64, est présent dans le message. Si le premier bit vaut 1, un bitmap secondaire suit et couvre les champs 65 à 128. Certaines implémentations ajoutent un bitmap tertiaire, rarement utilisé.

Ce mécanisme évite de transmettre des champs vides. Un message ne porte que les données utiles, ce qui le rend léger et rapide à traiter, un atout quand un terminal attend une réponse en quelques secondes.

Les éléments de données

Les éléments de données sont les champs numérotés qui portent le contenu de la transaction. 

Parmi les plus courants figurent les suivants :

• Le numéro de compte primaire (PAN), c’est-à-dire le numéro de la carte, qui sert à identifier l’émetteur et le compte.
  
• Le montant de la transaction, accompagné de son code devise.
  
• Le code de traitement, qui précise la nature de l’opération (un achat, un retrait ou un remboursement).
  
• L’identifiant du terminal et celui du commerçant, qui rattachent l’opération à votre point de vente.

Plusieurs de ces champs constituent des données personnelles au sens du RGPD. La CNIL classe d’ailleurs les données de carte parmi les données « à caractère hautement personnel », et elle interdit de conserver le cryptogramme une fois la transaction effectuée.

Quels exemples montrent la norme ISO 8583 en action ?

Voici trois exemples pour illustrer cette mécanique de question/réponse de la norme.

Exemple 1 : un retrait au distributeur

Vous insérez votre carte et vous saisissez votre code. Le distributeur envoie à votre banque une demande (MTI 0200 ou 0100 selon le réseau) avec le numéro de carte, le montant demandé et le code confidentiel chiffré.

La banque vérifie le solde et le plafond, puis elle répond par un message 0210 ou 0110 qui approuve ou refuse l’opération. L’ensemble prend quelques secondes.

Exemple 2 : un paiement sur un terminal

Un client approche sa carte d’un terminal de paiement. Le terminal construit une demande d’autorisation (MTI 0100, ou 0200 sur certains réseaux) et l’envoie à l’acquéreur, qui la route vers l’émetteur.

La réponse (0110, ou 0210 dans le second cas) revient avec un code : « approuvé » déclenche l’impression du ticket, tandis qu’un refus affiche le motif. Avec un terminal certifié, vous n’avez rien à configurer, car le constructeur et l’acquéreur ont déjà implémenté la norme à votre place.

Exemple 3 : un paiement transfrontalier

Un client américain paie en euros dans votre magasin. Le message part de votre acquéreur, traverse le réseau international de la carte, puis arrive à la banque émettrice aux États-Unis.

Le montant voyage avec son code devise, la conversion est appliquée par le réseau ou par la banque émettrice, et la réponse revient par le même chemin. Votre acquéreur et cette banque n’ont signé aucun accord entre eux : ce sont leur adhésion au réseau de la carte et les règles de ce réseau qui rendent l’opération possible, et la norme leur donne un langage commun.

Quels sont les défis liés à la norme ISO 8583 ?

Une norme de 1987 impose également des contraintes, surtout pour ceux qui doivent l’implémenter.

La complexité de mise en œuvre

Programmer un système conforme à l’ISO 8583 suppose de maîtriser les MTI, les bitmaps et les dizaines de champs propres à chaque variante de réseau. Les éditeurs s’appuient donc sur des intergiciels et des API spécialisés, qui traduisent les messages vers des formats plus courants comme le XML. 

Pour un commerçant, la solution est encore plus simple : choisissez un prestataire dont les terminaux et la passerelle de paiement sont déjà certifiés.

L’adaptation aux marchés locaux

Chaque pays et chaque réseau ont enrichi la norme de champs spécifiques. Un acquéreur qui veut travailler dans plusieurs pays doit donc gérer autant de dictionnaires de données que de pays.

C’est pour sortir de ces variantes que l’association Nexo a conçu des protocoles d’acceptation, entre le terminal et l’acquéreur, fondés sur ISO 20022 et destinés à remplacer ISO 8583 et ses dérivés nationaux sur ce segment, selon ses propres termes. Leur adoption reste progressive, et entre acquéreurs et émetteurs, les réseaux internationaux restent sur ISO 8583. 

La France participe à ce mouvement, puisque le Groupement des Cartes Bancaires a été à l’origine, en 2005, de l’association EPAS, l’un des trois fondateurs de Nexo.

La compatibilité avec les normes plus récentes

En Europe, les virements SEPA et les paiements instantanés utilisent ISO 20022, un standard plus riche, le plus souvent exprimé au format XML. Faire dialoguer un flux de cartes en ISO 8583 avec une chaîne de traitement en ISO 20022 nécessite des couches de traduction.

L’ISO a d’ailleurs publié des messages carte au format ISO 20022, la famille ATICA (les messages « cain ») pour les échanges entre acquéreurs et émetteurs, que la norme ISO 8583:2023 cite elle-même dans sa bibliographie. La coexistence des deux formats est donc organisée, et non improvisée.

ISO 8583 vs ISO 20022 : quelles différences ?

Les deux normes ISO portent le même préfixe, mais elles ne jouent pas dans la même catégorie. Voici une comparaison critère par critère.

Critère	ISO 8583	ISO 20022
Objet	Les messages issus des cartes de paiement, échangés entre acquéreurs et émetteurs	Une méthode de messagerie financière universelle (les paiements, les titres, le change, les cartes)
Première publication	1987, révisée en 1993, 2003 et 2023	2004, édition courante publiée en avril 2026
Format	Des champs numérotés annoncés par des bitmaps, un codage compact	Des modèles de messages convertis en schémas XML ou ASN.1, avec un dictionnaire de données
Richesse des données	Limitée à 128 champs, 192 dans certaines implémentations, dont beaucoup à usage privé	Très riche, avec des adresses structurées, des références et des motifs de paiement
Usages principaux	L’autorisation et la compensation des transactions carte, les DAB, les TPE	Les virements SEPA, les paiements instantanés, les paiements internationaux via Swift, le système T2
Situation en France	Dominante dans l’infrastructure carte	T2 depuis mars 2023, Swift international depuis le 22 novembre 2025, acceptation carte via Nexo en cours
Acteurs concernés	Les réseaux de cartes, les acquéreurs, les émetteurs, les fabricants de terminaux	Les banques, les trésoreries d’entreprise, les infrastructures de marché
Horizon	Aucune date de fin annoncée	Généralisation en cours

ISO 20022 ne remplace donc pas ISO 8583 du jour au lendemain. Pour comprendre ce que ce second standard change pour les virements de votre entreprise, consultez notre guide sur la norme ISO 20022.

La norme ISO 8583 est-elle encore pertinente aujourd’hui ?

Oui, et pour longtemps. La France vit une période à deux normes : les virements et les paiements instantanés basculent vers ISO 20022, tandis que les cartes restent sur ISO 8583 chez les acquéreurs, les commerçants et les distributeurs de billets.

ISO 8583 reste la norme de référence pour :

• Les systèmes de paiement par carte, c’est-à-dire les DAB, les terminaux et les passerelles de paiement en ligne.
  
• Les transactions transfrontalières par carte, où la compatibilité entre réseaux prime.
  
• Les réseaux établis, dont les systèmes d’autorisation fonctionnent sur cette base depuis des décennies.

Toutefois, le centre de gravité se déplace. Les paiements de compte à compte comme Wero s’appuient sur le virement instantané, et donc sur ISO 20022. La stratégie nationale des paiements 2025-2030 cite d’ailleurs le réseau CB et le virement instantané parmi les leviers d’une plus grande souveraineté des paiements.

Pour un commerçant, la conclusion est pratique : équipez-vous de solutions qui acceptent les cartes aujourd’hui et qui prendront en charge les nouveaux moyens de paiement demain. 

Les terminaux myPOS acceptent ainsi les cartes à puce, le sans contact et les portefeuilles mobiles comme Apple Pay et Google Pay, et les fonds arrivent sur votre compte professionnel myPOS en quelques secondes, sans frais mensuels avec la formule de base. 

L’échange ISO 8583 avec les réseaux est pris en charge par le terminal et par la plateforme myPOS, sans aucun paramétrage de votre part.

Pour aller plus loin sur la protection des données de carte, lisez notre article sur les paiements sécurisés, et pour une vue d’ensemble des règles de 2026, téléchargez notre guide des paiements pour les PME françaises.

Conclusion

ISO 8583 est la norme fondatrice des paiements par carte. Sa structure, un MTI, un bitmap et des éléments de données, donne aux réseaux du monde entier un langage commun, sûr et précis.

Les standards les plus récents, ISO 20022 en tête, gagnent du terrain dans les virements et les paiements instantanés. Pour les cartes, en revanche, ISO 8583 reste indispensable, et rien n'indique une date de fin. 

Pour vous, l'important est donc de vous appuyer sur un prestataire qui applique la norme correctement, car c'est lui qui vous permet d'encaisser vite, partout et en toute sécurité.

Questions fréquemment posées

Un commerçant doit-il se conformer lui-même à la norme ISO 8583 ?

Non, car la norme s'adresse aux acquéreurs, aux émetteurs et aux fabricants de terminaux, qui l'implémentent dans leurs systèmes. En tant que commerçant, vous choisissez un terminal certifié et un prestataire agréé, et c'est leur chaîne technique qui construit, envoie et interprète les messages. Vos obligations portent plutôt sur la protection des données des cartes.

Quelle est la différence entre ISO 8583 et EMV ?

EMV désigne les spécifications des cartes à puce et des terminaux, c'est-à-dire la manière dont la carte et le terminal se reconnaissent et sécurisent la transaction au point de vente. ISO 8583 intervient ensuite, pour transporter les données de cette transaction entre le terminal, l'acquéreur et l'émetteur. Les deux normes sont donc complémentaires.

Quelle version de la norme ISO 8583 est utilisée aujourd'hui ?

Les trois versions historiques (1987, 1993 et 2003) coexistent encore, et le premier chiffre du MTI indique en principe quelle version est utilisée. De nombreux réseaux de cartes fonctionnent encore sur les versions de 1987 ou de 1993, car migrer un système d'autorisation en production est long et coûteux. La troisième édition, publiée en juillet 2023, remplace officiellement les textes de 2003 sans rendre les anciennes implémentations obsolètes.

La norme ISO 8583 s'applique-t-elle aux paiements mobiles et sans contact ?

Oui. Un paiement avec Apple Pay ou Google Pay génère un message de la même famille qu'un paiement par carte physique, à une différence près : le numéro de carte y est remplacé par un jeton, c'est-à-dire un numéro de substitution, souvent propre à l'appareil, défini par les spécifications de tokenisation d'EMVCo. La norme ISO 8583:2023 en tient compte, puisqu'elle précise que le numéro de jeton émis par un établissement financier peut différer de celui de la carte associée.

Combien de temps un commerçant peut-il conserver les données de carte ?

Pour un paiement unique, la CNIL recommande de ne conserver les données que le temps nécessaire à la réalisation de la transaction. Elles peuvent ensuite être conservées pendant 13 mois après la date de débit pour gérer d'éventuelles réclamations, ou pendant 15 mois pour les cartes à débit différé. Le cryptogramme ne doit jamais être conservé une fois la transaction réalisée, et la CNIL recommande de s’appuyer sur un référentiel reconnu comme le standard PCI DSS, que les réseaux de cartes imposent par ailleurs aux acteurs qui traitent des données de carte.

La norme ISO 8583 va-t-elle disparaître au profit de la norme ISO 20022 ?

Rien ne l'indique à court terme. ISO 20022 s'est imposée pour les virements, et des messages de carte existent déjà au format ISO 20022, mais aucune échéance de migration n'a été fixée pour les réseaux de cartes. Les acquéreurs et les fabricants de terminaux ajoutent donc la prise en charge d'ISO 20022 là où elle apporte de la valeur, sans abandonner ISO 8583, qui continue de porter la plus grande partie des transactions par carte.

Sources

ISO 8583:2023 - Financial-transaction-card-originated messages — Interchange message specifications

ISO 8583:1993 - Financial transaction card originated messages — Interchange message specifications

ISO 20022-1:2013 - Financial services — Universal financial industry message scheme — Part 1: Metamodel

About ISO 20022

ISO 20022 Message Definitions

Norme de messagerie ISO8583 - Documentation IBM

Rapport annuel 2025 de l'Observatoire de la sécurité des moyens de paiement

Cartographie des moyens de paiement scripturaux - Bilan de la collecte 2025 (données 2024)

Key Figures - STET

Standards - nexo standards

About us - nexo standards

Recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance

Règlement délégué (UE) 2018/389 - normes techniques de réglementation relatives à l'authentification forte du client

PCI Security Standards

Global financial community completes switch to ISO 20022, paving the way for new levels of cross-border payment speed and innovation around the world

What is T2? - European Central Bank

Une nouvelle stratégie nationale à l'horizon 2030 pour des paiements inclusifs, durables et souverains

European Payments Initiative

Why EMV? - EMVCo