Le piratage de l’ANTS tombe au pire moment. Alors que l’État demande aux entreprises de basculer vers la facturation électronique, cette fuite de données rappelle à tout l’écosystème que numériser un flux critique ne le rend pas sûr par magie. La vraie question pour les entreprises, comme pour la DGFiP, étant maintenant de savoir si l’architecture prévue est à la hauteur de la promesse de confiance.
Mi-avril, France Titres a signalé un incident de sécurité sur le portail ants.gouv.fr. 11,7 millions de comptes seraient concernés. Les données potentiellement exposées comprennent notamment l’identifiant de connexion, l’état civil, l’adresse électronique, la date de naissance et, pour certains comptes, l’adresse postale, le lieu de naissance ou le téléphone. Les pièces jointes et les données biométriques ne seraient, en revanche, pas concernées. C’est donc bien la preuve qu’un service public traitant des données massives, sensibles et structurantes peut lui aussi connaître un incident sérieux.
Dans ce contexte, maintenir la réforme de la facturation électronique sans poser la question de la sécurité semble irresponsable. Mais le piratage de l’ANTS ne suffit évidemment pas à invalider toute la réforme. En revanche, quand on y ajoute les intrusions et fuites de données concernant FICOBA, Compas, EduConnect, e-campus et d’autres, on peut se poser la question. D’autant que beaucoup d’entreprises imaginent encore qu’un “portail public” protégera mécaniquement l’ensemble des échanges. Ce n’est pourtant pas ce que prévoit l’architecture française.
Le PPF ne sécurisera pas “tous les flux”
À partir du 1er septembre 2026, les entreprises devront recourir à une plateforme agréée pour émettre, transmettre et recevoir leurs factures électroniques, ainsi que pour transmettre les données attendues par l’administration. Le schéma officiel montre que les flux de factures circulent entre plateformes agréées, tandis que le PPF joue surtout un rôle d’annuaire des entreprises et de concentrateur de données vers l’administration fiscale. Autrement dit, le PPF n’est pas un coffre-fort unique placé au milieu de tous les échanges. C’est une brique centrale, pas un bouclier universel.
Et ça change tout. Le PPF ne peut donc pas sécuriser à lui seul un écosystème composé de logiciels internes, ERP, API, annuaire central, plateformes privées, hébergeurs cloud, comptes utilisateurs, sous-traitants et procédures d’administration. La sécurité réelle dépendra, comme toujours, de la solidité de son maillon le plus faible. C’est précisément ce que les fuites de données récentes nous rappellent.
Un cadre sérieux sur le papier, pas une garantie absolue dans la vraie vie
Pour être immatriculée, une plateforme agréée doit notamment documenter ses mesures de protection des données personnelles, fournir une certification ISO/IEC 27001, s’engager à exploiter son système d’information depuis l’Union européenne, empêcher les transferts de données hors UE, décrire ses dispositifs d’authentification et de sécurisation des échanges, et, en cas d’hébergement cloud, produire la référence ou la copie d’une qualification SecNumCloud valide, ou à défaut la démontrer lors de l’audit ultérieur. Des tests d’interopérabilité avec le PPF et avec d’autres plateformes sont également prévus. Sur le papier, le socle est donc sérieux. Mais ne confondons pas “exigence réglementaire” et “sécurité prouvée en exploitation”.
Maintenir la réforme, oui. Vendre une sécurité totale, non.
Le PPF sera-t-il suffisamment sécurisé ? Mystère. Nous le verrons à l’usage lors de la montée en charge. En revanche, ce qui est sûr c’est que le PPF ne pourra pas, à lui seul, sécuriser tous les flux de facturation des entreprises. Il peut contribuer à sécuriser un annuaire central, un concentrateur de données, des interfaces et des règles d’échange. Il ne pourra ni empêcher une compromission de compte chez un opérateur, ni corriger un mauvais paramétrage chez un client, ni neutraliser une authentification faible, ni compenser une gouvernance défaillante chez un intermédiaire privé.
La réforme reste donc raisonnable à une condition : cesser de la présenter comme un simple chantier de conformité. C’est un chantier de confiance opérationnelle. Il convient donc d’auditer réellement les plateformes, de durcir les exigences d’authentification, de surveiller les interconnexions, d’imposer une transparence sur les incidents, de tester les chaînes de responsabilité et de préparer les entreprises à l’idée que, dans la facture électronique comme ailleurs, la sécurité n’est jamais acquise.
Après l’ANTS, continuer de faire comme si de rien n’était serait une faute. Continuer en regardant enfin le risque en face serait, cette fois, une décision sage.
