Facture électronique : 115 cibles pour le prix d’une

mardi 5 mai 2026.

Trois jours sans virements bancaires. Onze mois pour réparer trois escalators à Châtelet. Deux semaines sans Internet à Saint-Marcellin. À la liste des services qui ne tiennent plus en France, on peut désormais ajouter la sécurité informatique des coffres régaliens. Quatre incidents majeurs en quatre-vingt-dix jours, sur quatre systèmes d’information de l’État. Et, dans cent vingt jours, l’obligation légale de pousser l’intégralité des flux de facturation interentreprises à travers une centaine de plateformes privées agréées par cette même administration.

Le calendrier ne ment pas. Les chiffres non plus.

Quatre mois entre le rappel et la généralisation

L’agenda parle seul.

Le 18 février 2026, le ministère de l’Économie communique : 1,2 million de comptes bancaires consultés dans le fichier national des comptes bancaires (FICOBA) depuis fin janvier, par un acteur ayant usurpé les identifiants d’un fonctionnaire dans le cadre d’échanges interministériels. Le fichier recense les quelque 300 millions de comptes ouverts en France. La DGFiP porte plainte.

Le 15 avril, le portail moncompte.ants.gouv.fr est éventré par une faille IDOR — la première vulnérabilité enseignée dans tout cours de cybersécurité. 11,7 millions de comptes confirmés officiellement, jusqu’à dix-neuf millions de lignes revendiquées en vente sur les forums cybercriminels. Auteur arrêté : un mineur de quinze ans, sans formation spécialisée, qui a qualifié sa propre intrusion de banale. En septembre 2025 déjà, une alerte similaire avait circulé. L’ANTS l’avait publiquement démentie en vantant ses « mesures de sécurité renforcées ». La faille est restée ouverte sept mois.

Fin avril, le groupe LunarisSec signale à l’ANSSI une faille critique sur Mentor, plateforme de formation en ligne des agents publics. Quelques jours plus tard, le même groupe annonce la découverte d’une vulnérabilité « potentiellement critique » sur le site des impôts permettant la récupération de données utilisateurs. Pas de confirmation officielle à ce jour, mais l’avertissement est public.

Cinquième acte programmé : le 1er septembre 2026, la facture électronique devient obligatoire pour toutes les entreprises françaises assujetties à la TVA. Plus de dix millions d’acteurs économiques. Deux milliards de factures B2B annuelles. Et un point d’entrée unique : 115 plateformes agréées privées (PA, anciennement « plateformes de dématérialisation partenaires » ou PDP — l’État a discrètement remplacé le mot « partenaire » par « agréée » début 2025), par lesquelles tout devra transiter, par construction.

Quatre mois entre le dernier scandale documenté et l’extension à toute l’économie privée d’un schéma centralisateur.

Ce qu’on vous vend, ce qu’on vous construit

Le pitch officiel a la cohérence d’une présentation interministérielle : lutte contre la fraude à la TVA, simplification administrative, meilleure connaissance de l’activité des entreprises en temps réel. Trois objectifs légitimes en façade.

Ce qui est construit en pratique a une autre signature. Chaque facture B2B, à compter du 1er septembre, sera structurée au format Factur-X, UBL ou CII — XML lisible par machine. Émise par une plateforme agréée, transmise à une autre plateforme agréée, archivée chez l’une et chez l’autre, et dont les données — identité du fournisseur, identité du client, montant HT, TVA due, taux appliqué — seront extraites et transmises à l’administration fiscale via le portail public de facturation. Quatre copies par facture au minimum. Aucune confidentialité forte entre l’émetteur et le destinataire : la plateforme voit tout, par conception.

Ce que ce schéma produit n’est pas une lutte anti-fraude. C’est un graphe complet des relations interentreprises françaises, par montant, par date, par client, mis à jour en quasi temps réel, et hébergé chez une centaine d’opérateurs privés. Pour la première fois dans l’histoire fiscale française, l’État peut décrire l’activité économique privée à la facture près. Et il a sous-traité l’opération.

Le terme PDP — plateforme de dématérialisation partenaire — a d’ailleurs été abandonné début 2025 au profit de PA — plateforme agréée. Le glissement sémantique est intéressant : on ne « partenarie » plus, on « agrée ». L’État ne s’allie pas, il certifie. Mais le risque opérationnel, lui, reste intégralement chez les agréés.

Et c’est là que le dispositif révèle son vrai design. En agréant des opérateurs privés plutôt qu’en opérant lui-même, l’État construit un mécanisme inédit dans l’histoire fiscale française : la responsabilité sans culpabilité. La réforme — son architecture, son calendrier, son périmètre de données, son obligation légale — est intégralement une décision politique. Mais l’incident, quand il viendra, sera intégralement un événement privé. Le ministre dira, communiqué officiel à l’appui, qu’« un acteur privé a manqué à ses obligations », que « l’État a saisi la CNIL et l’ANSSI », que « les sanctions prévues seront appliquées ». Il aura juridiquement raison, et politiquement intact.

Le risque politique a été transféré vers le risque opérationnel privé sans transfert de la décision. C’est l’inverse du modèle régalien classique — où l’État qui décide est l’État qui répond. C’est aussi l’inverse du modèle libéral classique — où l’opérateur qui décide est l’opérateur qui répond. Ici, l’État décide et l’opérateur répond. La position est confortable pour le décideur, intenable pour l’agréé, et opaque pour l’entreprise utilisatrice qui ne sait, le 1er septembre, ni à qui elle sous-traite ni qui assumera la fuite.

Le calcul de surface d’attaque

Les chiffres officiels permettent de poser proprement la question.

Selon l’Agence pour l’informatique financière de l’État, environ deux milliards de factures B2B circulent chaque année en France. Soit, à la louche, six millions de factures par jour ouvré. Avec dix millions d’entreprises concernées, le nombre moyen de factures émises par entreprise et par mois se situe autour de 17 — moyenne tirée vers le bas par les microentreprises, vers le haut par les grandes structures.

Au 26 mars 2026, 112 plateformes étaient immatriculées définitivement. La liste publiée mi-avril en compte 115. Ce nombre paraît élevé jusqu’à ce qu’on regarde la distribution réelle du marché : Pennylane, Cegid, Docaposte/SERES, Qonto, Sage, et une poignée d’autres acteurs concentreront mécaniquement la majorité du flux. Une dizaine de plateformes capteront probablement quatre-vingts pour cent des factures, par effet réseau interentreprises. Le risque n’est pas réparti sur 115 cibles : il est concentré sur dix.

Pour mesurer l’ordre de grandeur, il suffit d’empiler ce qui a déjà fui en France. Korben en faisait le bilan en avril : depuis début 2024, plus de 91 millions de lignes ont été exfiltrées des organismes publics français — France Travail, Viamedis et Almerys, Pajemploi, CAF, ANTS — pour un pays de 68 millions d’habitants. La France a déjà fui plus que sa population. Et il s’agit là exclusivement de fuites publiques. Les opérateurs privés agréés à manipuler les factures B2B représenteront, à eux seuls, plusieurs ordres de grandeur supplémentaires en volume de données structurées.

La phrase à retenir n’est pas « 115 cibles fraîches ». Elle est plus dérangeante : on n’a pas démultiplié les cibles, on les a fusionnées.

Quatre vols par effraction sur des coffres régaliens en quatre-vingt-dix jours

Au moment où l’État oblige les entreprises à confier leurs flux à un dispositif centralisé, son propre périmètre prend l’eau de tous les côtés.

FICOBA, fin janvier 2026. Un acteur malveillant utilise les identifiants d’un fonctionnaire pour consulter 1,2 million de comptes bancaires. Pas une faille technique : une faille humaine, dans le cadre des échanges interministériels. La détection a pris plusieurs semaines. Le communiqué de Bercy date du 18 février — l’incident était en cours depuis fin janvier. Latence : trois semaines minimum entre exploitation et alerte publique.

ANTS, 15 avril 2026. L’API du portail moncompte.ants.gouv.fr ne vérifie pas les autorisations côté serveur. N’importe quel utilisateur authentifié peut accéder aux données de n’importe quel autre en modifiant un identifiant numérique dans la requête. C’est l’erreur la plus enseignée de l’OWASP, le top 10 mondial des vulnérabilités web. Elle figure dans ces classements depuis plus de dix ans. La trouver en avril 2026 sur le portail qui centralise les demandes de cartes d’identité, passeports, permis de conduire et certificats d’immatriculation de dizaines de millions de Français devrait, à elle seule, déclencher une commission d’enquête. Le chiffre officiel — 11,7 millions de comptes — résulte d’une analyse a posteriori des journaux d’accès. Les bases mises en vente par l’attaquant en revendiquent dix-neuf millions. La vérité se situe dans cette fourchette.

Plateforme Mentor, fin avril 2026. Le service de formation en ligne des agents publics — précisément les personnes qui manipulent les SI régaliens — présentait une faille critique permettant des accès non autorisés. Signalée à l’ANSSI par LunarisSec, qui avait au préalable revendiqué des attaques contre les universités de Toulouse, Bourgogne et Aix-Marseille. Acteur ambigu, signalement crédible : la combinaison est inhabituelle, et témoigne d’un écosystème institutionnel où les white hats officiels ne suffisent pas à couvrir le périmètre.

impots.gouv.fr, début mai 2026. Le même groupe annonce une vulnérabilité « potentiellement critique » sur le portail des impôts permettant la récupération de données utilisateurs — signalement public relayé par le chercheur Seblatombe. Aucune confirmation officielle de la DGFiP, de l’ANSSI ou de la CNIL au moment où ces lignes sont rédigées. Le signalement reste à qualifier. Mais le contexte — après FICOBA, ANTS et Mentor — rend toute réponse hâtive imprudente.

À cela s’ajoute, dans la sphère publique élargie depuis 2024, France Travail, Viamedis, Almerys, Pajemploi, CAF. Cinq de plus, plusieurs dizaines de millions de lignes additionnelles. La cadence d’incidents majeurs sur des SI publics français a franchi un seuil quantitatif : on est passé d’événements rares à événements ordinaires. Le code pénal qualifie d’habitude une infraction commise au moins trois fois en cinq ans. L’État a dépassé ce seuil sur ses propres systèmes en moins d’un trimestre.

Concernant la rumeur virale qui prétend qu’« impots.gouv.fr tournerait encore sur Microsoft Access en 2026 » : elle est fausse, et il faut le dire. La DGFiP est précisément, depuis vingt ans, l’exception française en matière de souveraineté logicielle. Son DSI Tomasz Blanc revendique publiquement, dans un entretien à IT for Business en mars dernier, un système d’information opéré sans une seule licence Microsoft, en briques libres, sur un cloud interne baptisé Nubo. C’est précisément cette exception qui rend la suite du présent papier pertinente : si même la DGFiP, qui fait tout bien en matière d’architecture, peut perdre 1,2 million de RIB en janvier, alors l’argument selon lequel les 115 plateformes agréées seront « plus sécurisées que les serveurs publics » s’effondre par construction. Bercy n’est pas Bercy parce qu’il utilise Access. Il est Bercy malgré tout, et il fuit quand même.

Ce qu’on aurait pu choisir, et qu’on n’a pas choisi

Le débat technique est tranché depuis quinze ans. La cryptographie à divulgation nulle de connaissance, le chiffrement homomorphe partiel, la séparation entre métadonnées de transaction et données métier — toutes ces briques existent, sont déployées en production chez plusieurs acteurs financiers, et permettraient de calculer des agrégats fiscaux sans exposer les transactions individuelles à l’opérateur de plateforme. Comme je l’écrivais début mai à propos des fuites françaises à répétition, la cryptographie zero-knowledge existe — la France n’en veut pas.

Pas par incompétence : par préférence. Le contrôle fiscal en quasi temps réel, qui est l’objectif politique réel de la réforme comme je le détaillais en avril, est strictement incompatible avec la confidentialité forte entre les parties à une transaction. Si le fisc veut voir, le tiers privé doit voir aussi. Si le tiers privé voit, l’attaquant qui prend la main sur le tiers privé voit également. Il n’existe pas de demi-mesure dans cet espace.

L’architecture choisie est donc la conséquence logique d’une volonté politique assumée, qu’on a ensuite vendue au tissu économique sous l’étiquette « sécurisée ». Les deux énoncés ne sont pas équivalents, et la conjugaison « architecture centralisée + sécurité » relève au mieux de l’optimisme commercial, au pire du mensonge par omission.

Le RGPD impose à tout responsable de traitement de mettre en œuvre des « mesures techniques et organisationnelles appropriées ». L’article 32 sera, à l’évidence, la prochaine arme contentieuse contre les PA défaillantes. Mais il intervient ex post — après la fuite. La régulation française et européenne n’a, à ce stade, pas produit de mécanisme ex ante qui interdise structurellement ce que l’architecture rend mécaniquement possible.

Le scénario réaliste à dix-huit mois

Pas « si », mais « quand ». L’enchaînement probable, en s’appuyant sur le pattern observé sur l’ANTS :

D’abord, une PA majeure subit une intrusion, par voie d’API mal conçue ou de credentials dérobés. La plateforme tarde à détecter — comme la DGFiP a tardé sur FICOBA, comme l’ANTS avait nié en septembre 2025 avant de découvrir l’ampleur en avril 2026. Latence typique : six à huit semaines entre exploitation et notification.

Ensuite, l’effet domino sur les TPE clientes, qui n’auront ni redondance ni back-up de leurs flux. La PA sert d’unique point de contact entre l’entreprise et l’administration. Si elle tombe, l’entreprise ne peut ni émettre, ni recevoir, ni se prouver à jour. Le régime de sanctions — 15 € par facture non émise dans les délais, 250 € par e-reporting omis, plafond 15 000 €/an — s’applique sans considération de la cause. Une PME dont la PA est en panne pendant un mois aura, par construction, une amende. La régularisation administrative prendra trimestre.

Puis la DGFiP découvre que son temps réel est devenu un trou noir : les données qu’elle attendait pour calculer la TVA collectée et croiser avec les déclarations cessent d’arriver. Communication ministérielle calibrée — un acteur privé, des sanctions appliquées, l’État vigilant — l’architecture politique de la responsabilité sans culpabilité fait alors son office. Audit post mortem commandé à l’IGF. Plus tard : enquête parlementaire de quatre ans, rapport au titre d’un titre élégant comme « La résilience du dispositif de facturation électronique : un retour d’expérience », et, comme à chaque fois, la réponse politique consistera à ajouter une couche de contrôle plutôt qu’à corriger l’architecture.

Ce n’est pas un scénario noir : c’est l’extrapolation directe de ce qui s’est produit sur l’ANTS, avec un facteur cinquante en volume et un facteur dix en criticité économique.

Ce que peut faire un dirigeant à quatre mois de l’échéance

L’utile, sans prêchi-prêcha.

Choisir sa plateforme agréée comme on choisit son hébergeur de production, pas comme on choisit son éditeur de logiciel comptable. Trois critères techniques et un critère juridique :

Hébergement en France, pas seulement « siège social français ». Plusieurs PA immatriculées appartiennent à des groupes étrangers ou hébergent en réalité chez AWS, GCP ou Azure. Demander l’extrait Kbis du sous-traitant d’hébergement, exiger une mention contractuelle, refuser les réponses évasives.
Certification ISO/IEC 27001 vérifiée et à jour. L’immatriculation PA exige la 27001. Demander le rapport d’audit récent, pas seulement le logo. Une certification de 2022 sur un périmètre restreint ne dit rien de la sécurité du flux de facturation 2026.
Couverture cyber de la PA elle-même. En cas de fuite, le RGPD permet d’attaquer la PA pour manquement à l’article 32. Encore faut-il qu’elle ait une assurance qui réponde. Demander le montant et les exclusions.
Clauses contractuelles de notification d’incident. SLA de notification sous 24 ou 48 heures avec pénalités opposables. Pas la mention vague « notification dans les meilleurs délais ».

Garder un backup hors plateforme. La PA archive, mais l’entreprise reste responsable de ses obligations comptables même si la PA disparaît, est sanctionnée, ou se fait éventrer. Conserver une chaîne de facturation parallèle exportable au format PDF + XML brut, hors PA, sur stockage maîtrisé, devrait être un réflexe d’hygiène — comme l’export comptable mensuel hors logiciel SaaS.

Vérifier la liste des PA immatriculées avant signature, sur le site officiel de la DGFiP, et non sur les pages commerciales des plateformes. La liste a déjà été modifiée plusieurs fois depuis janvier, par retrait ou suspension d’opérateurs.

Et comme on l’écrivait à propos de Wero, garder en tête que la souveraineté revendiquée d’un opérateur français cache souvent une dépendance d’infrastructure étrangère qui rend la garantie cosmétique. Un comptable qui choisit sa PA en mai 2026 prend une décision dont il payera les conséquences en septembre 2027 — quand il sera trop tard pour migrer sans rupture de service.

Le 1er septembre 2026 n’est pas une date de mise en conformité administrative. C’est la date à laquelle dix millions d’entreprises perdent simultanément leur autonomie sur le canal le plus sensible de leur activité, au profit d’une centaine d’opérateurs privés certifiés par un État qui ne tient plus ses propres systèmes. Le risque n’est pas dans le calendrier. Le risque est dans l’architecture.

Et l’architecture, elle, ne se débogue pas.