La data di scadenza è un campo del ciclo di vita della carta che indica a un sistema di pagamento quando una carta deve smettere di essere accettata. Non è solo una data stampata sulla plastica; fa parte dei dati che un terminale può leggere durante una transazione, soprattutto nei pagamenti contactless e basati su chip.
Nella sicurezza informatica, questo campo è importante perché aiuta a far rispettare le policy, non solo l'identità. Una carta può ancora avere credenziali crittografiche valide, ma se la sua data di scadenza è superata, la transazione dovrebbe essere rifiutata o inviata per la verifica dell'emittente. Gli attacchi possono colpire questa lacuna manipolando ciò che vede un terminale punto vendita, oppure sfruttando sistemi che si fidano troppo dei controlli locali del lettore. Le difese includono il trattamento della scadenza come una regola applicata dall'emittente, la convalida dello stato del ciclo di vita della carta durante l'autorizzazione e il test dei casi limite nei flussi di pagamento. In breve, la data di scadenza è un piccolo campo con un grande ruolo nel impedire l'uso di credenziali di pagamento vecchie o compromesse.