IBAN y BIC: evita errores antes de una transferencia

Validar no es lo mismo que confirmar titularidad

Un validador de IBAN sirve para detectar muchos errores de formato y de dígitos de control. Eso reduce fallos al copiar una cuenta desde una factura, un correo o un PDF. Sin embargo, superar una comprobación matemática no demuestra que la cuenta exista, esté activa o pertenezca a la persona a la que quieres pagar.

La diferencia es crítica: IBAN formalmente válido no significa beneficiario confirmado. El Banco de España define el IBAN como identificador único de la cuenta en España y en la zona SEPA, y explica que la entidad ejecuta la transferencia basándose en ese identificador. Por eso debes comprobar tanto la sintaxis como el destinatario.

Esta guía explica qué hace exactamente el validador de IBAN español, cómo reproducir sus cálculos y qué controles adicionales aplicar antes de enviar dinero. La herramienta procesa el dato localmente en tu navegador y no consulta bases de datos bancarias.

Cómo se compone un IBAN español

Un IBAN español tiene siempre 24 caracteres. Los espacios se añaden para facilitar la lectura, pero no forman parte del identificador:

La parte formada por entidad, oficina, controles internos y número de cuenta corresponde al antiguo Código Cuenta Cliente o CCC. Nuestro validador realiza dos verificaciones distintas: el control internacional MOD-97 sobre el IBAN completo y el control nacional de los dos dígitos del CCC.

No deduzcas el nombre del banco únicamente del código de entidad mostrado por una herramienta. Las entidades pueden cambiar, fusionarse o gestionar numeraciones heredadas. Para identificar la entidad actual o confirmar una cuenta debes consultar documentación bancaria vigente.

Qué comprueba exactamente el validador

La herramienta aplica estas reglas, en este orden:

1. Elimina espacios y guiones usados para presentar el número.
2. Convierte las letras a mayúsculas y rechaza caracteres no admitidos.
3. Exige el prefijo ES y los 24 caracteres del formato español.
4. Comprueba que los 22 caracteres posteriores a ES sean dígitos.
5. Ejecuta el algoritmo internacional MOD-97-10.
6. Recalcula los dos controles internos del CCC español.

Si todas las pruebas son correctas, el resultado indica que la estructura y los controles son coherentes. Es una conclusión matemática, no una consulta a la entidad. La herramienta tampoco valida IBAN de otros países, porque cada país define su propia longitud y estructura nacional dentro del estándar.

Cómo funciona MOD-97 paso a paso

El control internacional permite detectar muchos errores de transcripción sin manejar una lista de cuentas. El proceso puede reproducirse así:

1. Quita espacios y guiones.
2. Mueve los cuatro primeros caracteres al final.
3. Sustituye cada letra por su valor: A = 10, B = 11, hasta Z = 35.
4. Divide la secuencia numérica entre 97.
5. El IBAN supera este control si el resto es 1.

Para evitar problemas con números demasiado largos, una implementación puede calcular el resto por bloques o dígito a dígito. No hace falta convertir toda la secuencia a un número de JavaScript de precisión limitada. El validador de CajaUtil procesa bloques cortos y arrastra el resto hasta terminar.

Prueba reproducible con un IBAN de ejemplo

Usaremos el IBAN de ejemplo ES91 2100 0418 4502 0005 1332. No lo utilices como destino de una transferencia: aquí solo sirve para reproducir los controles matemáticos.

Al quitar los espacios y mover ES91 al final obtenemos:

21000418450200051332ES91

Como E = 14 y S = 28, la secuencia termina en 142891. Al calcular el módulo 97 de la secuencia completa, el resto es 1. Los controles internos del CCC también producen 45, que coincide con los caracteres situados después de entidad y oficina. Por tanto, el ejemplo supera las dos comprobaciones.

Ahora cambia solo el último dígito y prueba ES91 2100 0418 4502 0005 1333. El resto MOD-97 pasa a ser 28 y los controles internos esperados dejan de coincidir. El validador debe marcarlo como incorrecto. Esta comparación demuestra qué detecta la herramienta sin usar datos personales ni una cuenta real del lector.

Un matiz importante: los dígitos de control detectan muchos cambios accidentales, pero no todos los posibles. También es posible construir deliberadamente otra secuencia que supere las reglas matemáticas. Por eso una validación correcta nunca acredita legitimidad ni titularidad.

IBAN y BIC o SWIFT no son lo mismo

El IBAN identifica una cuenta dentro de una estructura normalizada. El BIC, también llamado código SWIFT, identifica a la entidad financiera que participa en la operación. Según la explicación del Banco de España sobre el código SWIFT, suele tener 8 u 11 caracteres:

El BIC no sustituye al IBAN ni confirma el titular. En las operaciones SEPA normalmente basta el IBAN; en determinadas transferencias internacionales la entidad puede solicitar además un BIC/SWIFT u otros datos. Obtén ese código de la documentación oficial o del banco, no lo deduzcas ni lo copies de una fuente no verificada.

Nuestro validador no comprueba códigos BIC. Su alcance se limita a la estructura y controles de un IBAN español. Esta separación evita mostrar como verificado un dato que la herramienta realmente no ha analizado.

Qué no puede confirmar un IBAN válido

Aunque el resultado sea correcto, todavía no sabes:

• si la cuenta existe o admite transferencias,
• si está abierta o bloqueada,
• quién es su titular,
• si el nombre que te han facilitado coincide con el registrado,
• si la factura o el mensaje han sido manipulados,
• si el pago corresponde a una operación legítima,
• si recuperarás el dinero en caso de error.

La privacidad local también tiene un límite claro. CajaUtil no recibe el IBAN introducido, pero el navegador, el dispositivo, el portapapeles o una extensión maliciosa quedan fuera del control de la página. Utiliza un equipo de confianza y no compartas capturas con datos bancarios completos.

Verificación del beneficiario: el control que falta al validador

Desde el 9 de octubre de 2025, los proveedores de servicios de pago deben ofrecer gratuitamente la verificación del beneficiario para transferencias en euros, tanto ordinarias como inmediatas. El banco consulta si el nombre indicado coincide con el asociado al IBAN y puede responder: coincidente, casi coincidente, no coincidente o no verificable.

El European Payments Council describe este servicio como un intercambio inmediato entre los proveedores del pagador y del beneficiario. También aclara que permite verificar determinados datos, pero no identifica por sí mismo a una persona física o jurídica.

Estos controles son complementarios:

Si tu banco muestra una discrepancia y decides continuar, los fondos se enviarán al IBAN escrito. No ignores el aviso por presión, urgencia o porque el remitente afirme que se trata de una diferencia menor. Detén el proceso y confirma el dato por un canal que ya conocieras antes del mensaje.

Protocolo seguro ante un cambio de cuenta

El escenario de mayor riesgo no suele ser un dígito escrito al azar, sino una instrucción aparentemente legítima para cambiar el IBAN de un proveedor, una inmobiliaria o un profesional. Aplica este protocolo:

1. No respondas al mismo correo para verificarlo: la cuenta podría estar comprometida.
2. Busca un teléfono previamente guardado, un contrato anterior o la web oficial.
3. Contrasta el IBAN completo con el contacto mediante ese canal independiente; no basta con verificar solo el inicio o los últimos dígitos.
4. Compara el titular esperado con el resultado de verificación que muestre tu banco.
5. Si el importe es elevado, realiza primero una transferencia pequeña solo cuando el procedimiento interno lo permita.
6. No aceptes prisas, amenazas de penalización ni cambios de última hora sin documentación.
7. Conserva la factura, la confirmación y el justificante de la operación.

Una transferencia de prueba reduce el importe expuesto, pero no demuestra por sí sola que el interlocutor sea legítimo. La confirmación independiente del cambio sigue siendo el paso principal.

Qué hacer si detectas un error después de enviar

Contacta inmediatamente con tu entidad por sus canales oficiales y facilita los datos de la operación. No esperes a que el destinatario responda si sospechas fraude o has escrito una cuenta equivocada. La posibilidad de detener o recuperar los fondos depende del estado de la transferencia y de la colaboración necesaria; una solicitud rápida mejora las opciones, pero no garantiza la devolución.

Guarda mensajes, facturas, justificantes y cualquier aviso de verificación. Si sospechas una estafa, sigue además las indicaciones de tu entidad y de las autoridades competentes. No envíes un segundo pago para “desbloquear” o recuperar el primero.

Errores frecuentes al comprobar una cuenta

• Validar un IBAN y asumir que el nombre también está verificado.
• Copiar el número desde el mismo mensaje sospechoso que se intenta confirmar.
• Confundir BIC con número de cuenta.
• Usar un validador de España para un formato extranjero.
• Compartir el IBAN completo en una captura o conversación pública.
• Ignorar un resultado “casi coincidente” sin revisar la diferencia.
• Autorizar el pago porque el importe de prueba llegó, sin confirmar quién controla la cuenta.

Preguntas frecuentes sobre IBAN, BIC y transferencias

¿Un IBAN válido pertenece necesariamente a una cuenta real?

No. Significa que la cadena cumple las reglas comprobadas. Una secuencia puede ser matemáticamente coherente sin que CajaUtil pueda acreditar existencia, estado o titularidad. Esa información requiere controles de la entidad.

¿Los espacios hacen que un IBAN sea incorrecto?

No cuando se usan solo para agrupar caracteres. El validador elimina espacios y guiones antes de calcular. No admite otros signos, porque podrían ocultar un error de copia.

¿Puedo validar un IBAN de otro país?

No con esta herramienta. CajaUtil exige la estructura española ES más 22 dígitos. Un IBAN extranjero puede ser legítimo y tener otra longitud; debe comprobarse con una herramienta que conozca la estructura de ese país.

¿Necesito el BIC para una transferencia SEPA?

Normalmente el IBAN es suficiente en operaciones SEPA. Para otros destinos o circuitos, tu entidad puede pedir BIC/SWIFT y datos adicionales. Sigue las instrucciones del banco para esa operación concreta.

¿Qué significa “casi coincidente” en mi banco?

Indica que el nombre introducido no coincide exactamente con el registrado y la entidad puede mostrar el nombre asociado para que revises la diferencia. No corrijas ni continúes automáticamente: confirma que se trata del beneficiario esperado.

Checklist antes de autorizar la transferencia

1. Copia el IBAN desde una fuente fiable y comprueba sus controles.
2. Confirma importe, moneda, concepto y fecha.
3. Revisa el resultado de verificación del beneficiario.
4. Ante un cambio de cuenta, usa un segundo canal conocido.
5. Comprueba BIC/SWIFT solo cuando la operación lo requiera.
6. Lee todos los avisos del banco antes de autorizar.
7. Guarda el justificante y revisa el estado de la operación.

El validador de IBAN cubre el primer paso y permite reproducir la comprobación con el ejemplo de esta guía. La verificación bancaria y el segundo canal cubren riesgos distintos. Usarlos juntos reduce errores y fraudes, aunque ningún control aislado puede garantizar que una transferencia sea segura.