Comment vérifier la signature d'une facture électronique avant de la payer

Un fournisseur milanais vous envoie un fichier nommé Fattura_2026_0187.xml.p7m. Votre lecteur PDF refuse de l'ouvrir, votre ERP le rejette, et quelqu'un suggère de simplement redemander un PDF normal. Ce que vous tenez, c'est une facture signée électroniquement, et la jeter est précisément le geste qui vous coûtera plus tard.

Alors ne le faites pas. Cette enveloppe .p7m porte les deux choses sur lesquelles un contrôleur fiscal finira par vous interroger.

La première est l'authenticité de l'origine : l'assurance que la facture vient bien du fournisseur qui y est nommé. La seconde est l'intégrité du contenu : la preuve que les montants, le numéro de TVA et les coordonnées bancaires sont ceux que le fournisseur y a mis. L'article 233 de la directive TVA nomme les deux, dans ces termes, et exige qu'ils tiennent de l'émission de la facture jusqu'à la fin de sa durée de conservation.

Venons-en à ce qui piège les services comptables bien plus souvent que la cryptographie.

Une signature ne dit pas que la facture est correcte. Un fournisseur peut signer un montant faux à la perfection. Elle ne dit pas que la marchandise est arrivée, que le bon de commande correspond, ni que les coordonnées bancaires sont celles convenues il y a des mois. Et elle ne dit rien de la solvabilité ni de l'honnêteté de l'expéditeur.

La signature d'une facture répond à une seule question : ce fichier précis vient-il du détenteur de ce certificat, sans modification ? C'est étroit. C'est aussi la seule question dont la réponse devient plus difficile à obtenir avec le temps, ce qui constitue tout l'argument en faveur d'un contrôle à la réception plutôt qu'au moment du contrôle fiscal.

La plupart des gens supposent que le droit européen exige des factures signées. Ce n'est plus le cas depuis 2013.

La directive 2010/45/UE a réécrit les règles de facturation et fait passer la signature électronique du statut d'obligation à celui d'option. L'article 233 vous laisse désormais trois façons de garantir l'authenticité de l'origine et l'intégrité du contenu :

• Des contrôles de gestion établissant une piste d'audit fiable entre une facture et la livraison à laquelle elle se rapporte. Rapprocher une facture d'un bon de commande et d'un bon de réception compte.
• Une signature électronique avancée, fondée le cas échéant sur un certificat qualifié.
• L'EDI, où l'accord d'échange fournit lui-même les garanties.

Alors pourquoi votre boîte de réception se remplit-elle de fichiers .p7m ?

Les obligations nationales. Bruxelles a rendu la signature facultative, puis plusieurs États membres l'ont rendue obligatoire pour facturer le secteur public, et aucun fournisseur n'a envie d'exploiter deux chaînes en parallèle. L'Italie impose que chaque fichier FatturaPA envoyé à un organisme public soit signé avec un certificat qualifié. L'Espagne exige la même chose pour les factures Facturae passant par FACe. Une fois qu'un fournisseur a construit son étape de signature pour ses clients publics, ses factures B2B ordinaires ressortent généralement signées aussi.

Il existe une seconde raison, moins juridique et plus intéressée. Les contrôles de gestion sont un argument de processus. Quand un vérificateur conteste une facture d'il y a quatre ans, « nous avions une politique de rapprochement à trois niveaux » est une affirmation sur la façon dont votre équipe travaillait à l'époque. Une signature valide, elle, est une preuve portant sur ce fichier précis. L'un des deux se défend nettement mieux.

La signature d'une facture ne se présente pas de la même façon dans chaque pays. Quatre combinaisons de format et de signature couvrent presque tout ce qui arrive de fournisseurs européens, et celle que vous tenez décide du validateur qu'il vous faut. Deviner vous coûtera un après-midi.

Deux profils ETSI font l'essentiel du travail. XAdES, pour XML Advanced Electronic Signatures, signe le XML lui-même. CAdES, pour CMS Advanced Electronic Signatures, enveloppe dans une structure binaire ce qu'il signe.

FatturaPA (Italie). Du XML. Le Sistema di Interscambio accepte deux formats de signature, et deux seulement : CAdES-BES Baseline B, qui produit un fichier .xml.p7m, et XAdES-BES Baseline B, qui laisse l'extension .xml. Les règles techniques italiennes de signature sont strictes sur la variante XML : enveloppée uniquement, avec une référence de signature pointant vers URI="" ou URI="#iddoc". Les XAdES détachés et enveloppants sont refusés à l'entrée.

Facturae (Espagne). Du XML en version 3.2.x, avec une signature XAdES enveloppée intégrée au document. Les factures destinées aux organismes publics espagnols transitent par FACe et doivent être signées avec un certificat qualifié au sens d'eIDAS. Les fichiers signés arrivent souvent avec l'extension .xsig.

Factur-X et ZUGFeRD (France, Allemagne). Un hybride : du PDF/A-3 avec du XML structuré intégré dedans. Quand ces fichiers portent une signature, c'est du PAdES, posé sur le PDF et non sur le XML. Beaucoup arrivent sans signature, et c'est normal.

Peppol BIS Billing 3.0. Du XML UBL circulant sur le réseau Peppol. Il vaut la peine de savoir ce que celui-ci n'est pas. Peppol sécurise le transport, avec de la messagerie AS4 entre points d'accès accrédités, et le document de facture lui-même ne porte en général aucune signature. Une facture Peppol peut arriver sans rien à valider. C'est ainsi que le réseau est conçu, et ce n'est pas un signal d'alerte.

Contrôler la signature d'une facture prend cinq minutes, une fois qu'on sait à quelle porte frapper.

Déterminez ce que vous tenez réellement

L'extension d'abord, parce qu'elle vous donne le format de signature. Les fichiers en .p7m ou .p7s sont du CMS, donc du CAdES. Les fichiers en .xml ou .xsig sont du XAdES. Un .pdf signé est du PAdES. Les conteneurs en .asice ou .asics regroupent la facture et sa signature et apparaissent dans les dépôts baltes et nordiques.

Vous ne savez pas ce que vous avez ? Ne renommez rien pour le découvrir. La vérification de signature Chaindoc prend les quatre formats dans un seul formulaire et détermine le format toute seule.

Téléversez la signature, plus la facture si la signature est détachée

La plupart des signatures de facture sont autonomes. Une XAdES enveloppée se trouve dans le XML qu'elle a signé, et un .p7m porte la facture à l'intérieur de l'enveloppe : un seul fichier suffit donc.

Les signatures détachées font exception, et c'est à cause d'elles que les gens abandonnent à mi-chemin. Un .p7s, ou un .xml détaché, ne contient que la signature. Le validateur a besoin de la facture à côté pour recalculer l'empreinte, et il lui faut les octets exacts que le fournisseur a signés, pas une copie passée par votre GED. Si vous vous trompez là-dessus, vous obtiendrez un résultat indéterminé qui ressemble à un échec sans en être un.

Lisez le rapport, pas seulement le verdict

Tout ce qui mérite le nom de rapport de validation énonce quatre constats distincts : l'empreinte du contenu correspond-elle toujours aux octets signés, la chaîne de certificats atteint-elle une racine de confiance, le certificat était-il révoqué ou expiré au moment de son usage, et un horodatage de confiance fixe-t-il la date de signature ?

Chaindoc exécute ces contrôles avec la bibliothèque EU DSS, le code de validation open source de la Commission européenne, et prend la liste de confiance de l'UE comme ancre principale. Les grandes autorités de certification commerciales sont couvertes également, et une PKI interne peut être prise en charge avec des ancres de confiance personnalisées. Le contrôle est gratuit. Vous confirmez votre adresse e-mail avec un code à usage unique avant que le rapport ne soit produit, et le fichier lui-même n'est jamais conservé.

Valide, c'est là que le travail intéressant commence, pas là qu'il s'arrête.

À qui appartient ce certificat ?

C'est le contrôle que presque personne n'effectue, et c'est celui qui attrape la fraude à la facture. Une signature peut être cryptographiquement irréprochable et appartenir à la mauvaise société.

Ouvrez le sujet du certificat. Lisez le nom de l'organisation et l'identifiant fiscal ou de TVA qui s'y trouvent, puis comparez les deux au fournisseur imprimé sur la facture et au fournisseur enregistré dans votre référentiel. Celui qui monte une escroquerie au changement de RIB doit malgré tout signer sous une identité, et cette identité est écrite noir sur blanc dans le certificat. La fraude au paiement a bien plus de chances de vous atteindre par un expéditeur crédible que par des mathématiques cassées.

Le certificat était-il valide au moment de la signature ?

Pas aujourd'hui. Les certificats durent en général un à trois ans et sont révoqués quand une clé fuit ou qu'un salarié part.

Une facture de 2023 signée avec un certificat expiré en 2024 va parfaitement bien. La même facture signée avec un certificat révoqué deux semaines avant sa date, non. Les validateurs qui comparent au statut du jour au lieu du statut à la signature se trompent dans les deux cas, en sens inverse, et c'est un horodatage de confiance qui fixe la date en premier lieu.

Signature ou cachet ?

Les personnes signent, les entreprises cachettent. Un cachet électronique lie un document à une personne morale plutôt qu'à un humain nommé, et c'est ce que la plupart des systèmes de facturation apposent réellement, parce qu'aucun comptable n'a envie de voir son certificat personnel sur 4 000 factures par mois.

Aucun des deux n'est plus faible que l'autre. La différence compte quand vous devez savoir qui a autorisé quelque chose, puisqu'un cachet nomme l'entreprise et s'arrête là. Notre guide sur le cachet électronique selon eIDAS détaille où passe la frontière.

Votre politique exige-t-elle une signature qualifiée ?

Valide et qualifiée sont deux verdicts séparés. Qualifiée signifie que le service émetteur figure sur une liste nationale de confiance avec le statut qualifié, ce qui relève d'une consultation et non d'une propriété de la cryptographie. L'Italie exige un certificat qualifié pour les FatturaPA destinées au secteur public. Votre propre politique fournisseurs ne l'exigera peut-être pas du tout. Décidez ce qu'il vous faut avant que les factures n'arrivent, pas après le premier échec. eIDAS et la liste de confiance de l'UE explique comment cette consultation fonctionne.

La plupart des échecs ne sont pas des fraudes. Ce sont des problèmes de manipulation.

Le plus fréquent de loin : le fichier a changé en route. Une passerelle de messagerie a réécrit la pièce jointe, un système d'archivage a réenregistré le XML avec des espaces différents, ou un collègue bien intentionné a ouvert la facture et l'a enregistrée à nouveau. Le XML est particulièrement fragile ici, parce que la canonisation fixe précisément quels octets ont été signés, et qu'une passe de reformatage casse l'empreinte sans modifier un seul caractère visible.

Ensuite : la chaîne n'atteint aucune racine de confiance. Souvent, le fournisseur a utilisé une autorité de certification nationale ou interne absente de la liste de confiance de l'UE. La signature peut être parfaitement saine. Ce qui a échoué, c'est la confiance, pas la cryptographie, et la solution est une décision de politique interne sur cet émetteur plutôt qu'un correctif technique.

Vient enfin le cas de la signature détachée, qui remonte en indéterminé et non en invalide. Le validateur a une signature et rien à quoi la comparer. Joignez la facture d'origine et relancez.

Alors, que faire ? Demandez au fournisseur de renvoyer le fichier exactement tel qu'il est sorti de son système de signature, en pièce jointe directe plutôt que via un portail susceptible de le régénérer au passage. Si la seconde copie se valide, vous aviez un problème de transport, rien de plus. Si elle échoue exactement de la même manière, vous avez maintenant une conversation qui mérite d'être menée, et vous la menez avant le règlement plutôt qu'après.

Validez à la réception. Chaque aspect du contrôle d'une signature de facture se complique avec le temps.

L'endroit pratique, c'est la porte d'entrée du flux, avant que la facture n'atteigne votre ERP, là où le contrôle de signature tourne à côté de la détection des doublons et du rapprochement avec le bon de commande. Le résultat doit atterrir sur la fiche de la facture comme un artefact conservé, pas comme un écran que quelqu'un a regardé une fois. Les équipes qui traitent quelques factures signées par mois peuvent très bien le faire à la main. Au-delà, cela demande une API, pour que la validation ait lieu que quelqu'un y pense ou non.

La conservation est la partie qu'on sous-estime. Les règles de TVA des États membres imposent de garder les factures entre six et onze ans selon les pays, et en France comptez six ans au titre fiscal et dix ans au titre commercial. La signature doit rester vérifiable sur toute cette fenêtre. Elle n'y arrivera pas seule. Les certificats expirent, les autorités de certification disparaissent, les répondeurs de révocation cessent de répondre, et les algorithmes d'empreinte partent à la retraite.

C'est toute la raison d'être des profils long terme. XAdES-BASELINE-LT embarque les certificats et les données de révocation dans le fichier, pour qu'il reste contrôlable après la disparition de l'autorité émettrice. XAdES-BASELINE-LTA ajoute un horodatage d'archivage par-dessus. Si un fournisseur vous envoie une facture en BASELINE-B et qu'elle doit tenir devant un contrôle en 2033, c'est à vous de combler l'écart, soit en conservant le rapport de validation produit à la réception, soit en rehaussant vous-même la signature.

Une règle vaut dans tous les cas : conservez le fichier d'origine. Pas le XML extrait, pas un rendu PDF, pas une capture d'écran d'une coche verte. Ce sont les octets signés qui constituent la preuve.

Voici la confusion la plus répandue en ce moment dans les services comptables français, et elle vaut d'être levée nettement.

La réforme française vous impose un format et un canal, pas une signature. À partir du 1er septembre 2026, toutes les entreprises doivent être en capacité de recevoir des factures électroniques, et les grandes entreprises et ETI doivent en émettre ; les TPE et PME suivent au 1er septembre 2027. Ce qui est exigé, c'est un format structuré, Factur-X, UBL ou CII, transmis par une plateforme de dématérialisation partenaire. Les factures destinées au secteur public passent, elles, par Chorus Pro. Nulle part il n'est écrit que vous devez signer ou cacheter vos factures.

Donc vous n'êtes pas dans ce sujet à cause de votre propre administration. Vous y êtes parce que vos fournisseurs italiens, espagnols et portugais le sont, et que leurs factures arrivent avec des signatures que vos systèmes n'ont jamais rencontrées.

Deux conséquences en découlent, et la seconde est la plus utile.

D'abord, ne rejetez pas ce que vous ne savez pas lire. Demander « juste un PDF » à un fournisseur italien revient souvent à lui demander de rompre sa propre conformité, et la copie de confort qu'il vous renverra n'est peut-être pas le fichier qu'il a réellement déclaré à son administration fiscale. Gardez l'original signé même si votre ERP n'ingère que les données extraites.

Ensuite, recevoir une facture signée ne vous transmet aucune obligation juridique, mais vous transmet le fichier, et avec lui un contrôle que vous n'avez pas eu à construire. Valider à la réception prend une minute et vous dit si les coordonnées bancaires portées sur cette facture sont bien celles que votre fournisseur y a mises. La fraude à la facture ne respecte pas les frontières. Une signature qui remonte au vrai certificat de votre fournisseur vaut mieux que n'importe quel temps passé à scruter l'adresse e-mail de l'expéditeur.

Quatre schémas, tous peu coûteux à corriger.

Prendre la signature pour une approbation

Ce n'en est pas une. Une facture signée est une facture authentifiée, et l'authentification ne dit rien sur le fait que vous deviez l'argent. Votre rapprochement à trois niveaux doit toujours avoir lieu, et la signature ne le raccourcit pas d'une seule étape.

Retirer l'enveloppe pour faire entrer la facture dans l'ERP

Compréhensible, et cela détruit la preuve. Extrayez le contenu pour le traitement s'il le faut, puis archivez le .p7m ou le .xml signé d'origine exactement tel qu'il est arrivé.

Contrôler la signature sans jamais regarder le sujet du certificat

L'erreur coûteuse. La fraude au changement de coordonnées bancaires fonctionne parce qu'elle a l'air légitime, et une signature valide émanant d'une entité qui n'est pas tout à fait votre fournisseur a l'air extrêmement légitime. Lisez le sujet du certificat à chaque fois.

Valider une fois et supposer que cela tient

Ce n'est pas le cas, du moins pas sans aide. Une signature BASELINE-B qui se vérifie proprement aujourd'hui peut devenir invérifiable dans cinq ans sans que personne n'ait rien fait de mal. Conservez le rapport produit à la réception.

Voici le résumé qui mérite d'être gardé. La signature d'une facture répond à une question étroite pour un coût faible, et cette réponse devient plus chère à obtenir chaque mois où vous attendez. Lancez le contrôle à l'entrée, stockez ensemble le fichier d'origine et le rapport de validation, puis retournez discuter du montant, qui était depuis le début la seule partie nécessitant un humain.