Un chiffre, un seul, ferme chaque numéro de carte bancaire depuis plus de soixante-dix ans. Il n’est choisi ni par l’établissement qui émet la carte, ni par le client qui la reçoit. Ce dernier chiffre résulte d’un calcul mathématique appliqué à tous les chiffres qui le précèdent, une opération invisible mais systématique qui transforme une suite de nombres en une petite formule de vérification.

L’homme derrière cette invention s’appelle Hans Peter Luhn. Ingénieur d’origine allemande naturalisé américain, il travaille pour IBM où il devient responsable de la division recherche en information. Créateur de l’algorithme de Luhn et de l’indexation KWIC, Luhn était un informaticien travaillant pour IBM dont les travaux restent largement utilisés aujourd’hui. Son nom reste attaché à un mécanisme que des milliards de personnes utilisent sans le savoir, chaque fois qu’elles paient par carte.

Un brevet déposé en pleine guerre froide technologique

Le procédé a été décrit dans le brevet américain numéro 2 950 048, déposé le 6 janvier 1954 et accordé le 23 août 1960. Intitulé sobrement « Computer for Verifying Numbers », ce brevet décrit à l’origine un petit appareil mécanique portatif, pas un logiciel. À cette époque, différents types de numéros d’identification, comme les numéros de carte de crédit et de sécurité sociale, commençaient à jouer un rôle important dans la vie publique et privée, mais ces numéros étaient difficiles à mémoriser et pouvaient être mal retranscrits ou falsifiés délibérément.

Luhn cherchait une solution rapide pour vérifier qu’un numéro était valide sans avoir à interroger une base de données centrale. Quatre-vingts brevets. C’est le total que cet ingénieur a déposé au cours de sa carrière chez IBM, selon les archives de l’entreprise. La formule qui porte son nom n’est qu’une pièce de ce puzzle, mais c’est de très loin la plus utilisée au quotidien.

Un calcul simple, presque artisanal

Le principe tient en quelques lignes. On part du dernier chiffre du numéro et on remonte vers la gauche, en doublant un chiffre sur deux. On soustrait 9 lorsque le résultat dépasse 9, puis on additionne le tout ; si la somme obtenue est un multiple de 10, le numéro passe le test de Luhn. Aucune multiplication complexe, aucune clé secrète : de l’addition, rien de plus.

Ce choix n’est pas anodin. À l’époque de sa conception, les vérifications devaient pouvoir se faire à la main, ou avec des machines mécaniques rudimentaires. Cet algorithme est extrêmement simple, il n’y a que des additions à faire. La formule est aujourd’hui codifiée dans la norme internationale ISO/IEC 7812, qui encadre la numérotation des cartes émises par les organismes financiers.

Ce que ce chiffre détecte vraiment

La force de cette clé tient dans sa capacité à repérer les erreurs humaines les plus fréquentes. Elle détectera toute erreur de chiffre simple, ainsi que la plupart des transpositions entre deux chiffres adjacents. Tapez un 7 à la place d’un 3 en saisissant votre numéro sur un site marchand, et le formulaire vous le signalera avant même que la transaction ne soit transmise à votre banque.

Cette détection a une limite précise. L’algorithme ne détectera pas les transpositions de deux séquences de chiffres, comme 09 vers 90 ou l’inverse. Une faute d’inattention sur deux blocs entiers peut donc, dans de rares cas, passer entre les mailles du filet mathématique.

Le calcul n’a jamais été pensé pour arrêter un fraudeur. L’algorithme n’a pas vocation à être une fonction de hachage cryptographiquement sécurisée ; il a été conçu pour protéger contre les erreurs accidentelles, pas contre les attaques malveillantes. Un escroc qui construit un faux numéro de carte peut parfaitement respecter la règle du multiple de 10, puisque la formule est publique et documentée dans la norme ISO/IEC 7812 elle-même.

Voilà pourquoi les vraies barrières contre la fraude se trouvent ailleurs. Cryptogramme visuel, code confidentiel, authentification en deux étapes lors d’un paiement en ligne : ce sont ces dispositifs, ajoutés bien après l’invention de Luhn, qui protègent réellement l’argent du client. Le chiffre de contrôle, lui, ne fait que confirmer qu’un numéro pourrait exister, pas qu’il appartient à quelqu’un ni qu’il est autorisé à payer.

Un système devenu universel

Le même mécanisme sert aussi à valider les numéros IMEI des téléphones portables, les identifiants nationaux de prestataires aux États-Unis et les numéros d’assurance sociale canadiens. En France, on le retrouve derrière les numéros SIRET des entreprises, ce qui permet à un logiciel comptable de repérer instantanément une faute de saisie sans consulter aucun registre officiel.

Un numéro sur dix seulement a un format valide selon cet algorithme, ce qui permet justement de déterminer le dernier chiffre d’une carte bancaire à partir des quinze premiers. Concrètement, sur toute suite de chiffres prise au hasard, une seule terminaison sur dix rendra l’ensemble cohérent selon la règle du multiple de 10. C’est ce ratio, minuscule mais suffisant, qui permet aux sites de paiement de filtrer en une fraction de seconde les erreurs de frappe les plus banales, sans jamais avoir besoin d’appeler la banque émettrice.

Ce détail technique, resté quasi anonyme pendant des décennies, a connu un regain de notoriété inattendu en 2026 : une ancienne séquence télévisée mettant en scène une suggestion de code de vérification a ressurgi en ligne, amusant les internautes qui y voyaient une préfiguration comique de l’authentification à deux facteurs, quand elle évoquait en réalité davantage le principe du calcul de Luhn, un algorithme conçu dès 1954, bien avant l’ère du numérique tel qu’on le connaît.

Sources : maths-au-quotidien.fr | lecluseo.scenari-community.org | vmaths.fr