Facturation électronique : l’AIFE a laissé 878 adresses visibles

Le 28 août 2026, l’Agence pour l’informatique financière de l’État a convié les plateformes agréées de facturation électronique à une réunion consacrée à la sécurité. L’invitation est partie avec la liste des destinataires affichée dans les champs « À » et « Copie ». Dans la copie analysée par l0g, 895 entrées sont visibles, soit 878 adresses distinctes après suppression des doublons. C’est une bourde interne, commise avec un outil de messagerie ordinaire, alors qu’un envoi collectif ou le champ « Copie cachée » aurait gardé la liste confidentielle.

À propos du courriel. Le message n’est pas public. Une copie a été transmise anonymement à l0g. Nous ne publions ni le fichier brut, ni les adresses, ni les domaines concernés, ni le lien d’inscription. Nos questions ont été envoyées à l’AIFE le 31 août. Au 4 septembre, l’agence n’avait répondu à aucune d’entre elles.

895 entrées visibles, 878 adresses distinctes

Le champ « À » contient 881 entrées et le champ « Copie » en contient 14. Les 895 occurrences comprennent 17 doublons exacts. Une fois ceux-ci retirés, il reste 878 adresses distinctes, réparties sur 212 domaines de messagerie.

Ce nombre ne correspond pas à 878 personnes ou à 878 plateformes. Une entreprise peut avoir plusieurs contacts, une personne plusieurs adresses, et certaines boîtes sont génériques. Nous ne savons pas non plus combien de messages ont effectivement été délivrés.

L’erreur reste très concrète. La liste n’avait aucune raison d’être montrée aux autres destinataires pour transmettre une invitation. Au vu de leurs libellés, certaines boîtes sont associées au support, à l’administration, à l’interopérabilité ou aux opérations. l0g n’en reproduit aucune.

Les conséquences pour les destinataires

Le courriel ne se contente pas d’afficher des coordonnées. Il les associe à une réunion réelle, une date, un vocabulaire précis, un dossier de suivi et l’annonce d’un second message de confirmation. Un courriel ultérieur reprenant ces éléments pourrait donc sembler familier aux personnes concernées.

Ce risque appelle des gestes assez simples : prévenir les destinataires que la liste a circulé, rappeler les canaux officiels pour les documents et les liens de réunion, puis vérifier les prochains envois. Il ne justifie pas d’imaginer un scénario plus spectaculaire que les faits. L’événement documenté ici est une erreur de diffusion.

Cette erreur se produit dans un écosystème devenu central. Depuis le 1er septembre 2026, les entreprises assujetties doivent pouvoir recevoir leurs factures électroniques par l’intermédiaire d’une plateforme agréée. Pour comprendre l’architecture et ses dépendances, l0g a consacré une enquête en cinq volets à ce nouveau circuit.

Le contrôle des plateformes continue après leur ouverture

L’invitation livre aussi quelques éléments sur le suivi prévu par l’AIFE : une cellule dédiée à la sécurité, un dossier après mise en production, des revues bilatérales et une trajectoire allant jusqu’à l’audit de conformité.

Les plateformes ne démarrent pas sans contrôle. Le dossier d’immatriculation comprend notamment des éléments sur la sécurité des données et une certification ISO/IEC 27001. La DGFiP précise que l’immatriculation définitive n’est accordée qu’après la réussite des tests d’interopérabilité en conditions réelles. L’AIFE indique pour sa part avoir accompagné les opérateurs dans leurs raccordements et leurs tests techniques et fonctionnels.

Le rapport complet d’audit suit un autre calendrier. L’article 242 nonies B de l’annexe II au CGI autorise sa remise jusqu’à un an après la notification de l’immatriculation. L’article 41 septies A de l’annexe IV prévoit que ce premier audit porte sur au moins un mois d’activité postérieur à cette notification. Lorsqu’il relève une non-conformité, le délai annoncé pour la correction ne peut pas dépasser trois mois après la remise du rapport.

Le courriel évoque donc un suivi réel, sans en donner le calendrier détaillé ni les critères. C’est précisément ce que nos questions cherchent à clarifier.

Une réponse opérationnelle et une analyse RGPD

L’AIFE peut corriger l’erreur sans grand discours : informer les personnes concernées, confirmer les canaux de communication, revoir la manière dont les listes sont utilisées et documenter l’analyse menée au titre de la protection des données.

Une adresse professionnelle qui permet d’identifier une personne est une donnée personnelle. La CNIL rappelle qu’une divulgation non autorisée peut résulter d’un acte accidentel. Toutes les violations doivent être consignées dans un registre interne. La notification à la CNIL dépend ensuite du risque pour les droits et libertés, et l’information directe des personnes d’un risque élevé. Ces seuils supposent une analyse que l0g ne peut pas effectuer à la place de l’AIFE. (CNIL, règles applicables aux violations de données)

Nous avons donc demandé à l’agence si cette analyse avait eu lieu, quelles mesures avaient été prises et si les destinataires avaient été avertis.

Huit questions restées sans réponse au 4 septembre

Le 31 août, l0g a adressé huit questions à l’AIFE sur l’erreur de diffusion et le suivi des plateformes après leur mise en production.

Lire les huit questions adressées à l’AIFE

1. Que contiendra précisément le dossier de suivi après production demandé aux plateformes, et à quelle échéance devra-t-il être remis ?
2. Les revues bilatérales concerneront-elles l’ensemble des plateformes agréées ? Selon quel calendrier ou ordre de priorité ?
3. Que recouvre la « trajectoire de sécurisation jusqu’à l’audit » : amélioration continue, réserves déjà identifiées ou non-conformités restant à traiter ?
4. Au 1er septembre 2026, combien de plateformes ont déjà transmis leur rapport complet d’audit de conformité ?
5. Quels incidents de sécurité devront obligatoirement être déclarés à l’AIFE, dans quels délais et selon quelle procédure ?
6. Quels constats ou manquements peuvent conduire l’administration à limiter ou suspendre l’activité d’une plateforme ?
7. L’AIFE publiera-t-elle, même sous forme agrégée, les résultats des audits, tests techniques, tests de restauration et incidents déclarés ?
8. L’exposition des destinataires du 28 août a-t-elle été inscrite au registre des violations et évaluée au regard du RGPD ? Une notification à la CNIL ou aux personnes concernées a-t-elle été jugée nécessaire ?

Au 4 septembre, l’AIFE n’avait apporté aucune réponse. Toute réponse substantielle sera intégrée à l’article.

La bourde tient dans un champ de messagerie. Sa correction devrait être tout aussi concrète : avertir, clarifier les canaux et éviter que la liste ne reparte. Pour une agence qui coordonne un chantier numérique de cette ampleur, c’est aussi une question de méthode quotidienne.

---

Méthode et limites

• Source non publique : copie d’un courriel daté du 28 août 2026, transmise anonymement à l0g.
• Contrôle du message : examen des en-têtes d’authentification et de la chaîne de transport avant publication.
• Comptage : extraction locale des champs To et Cc, passage en minuscules et suppression des doublons exacts. Aucune adresse n’a été testée pour sa validité ou sa délivrabilité.
• Protection : aucune adresse, aucun domaine de destinataire, aucun lien d’inscription et aucun identifiant technique du message ne sont publiés.
• Périmètre : les chiffres décrivent la copie reçue par l0g. Ils ne permettent pas de connaître le nombre de messages réellement délivrés.
• Date de coupe : 4 septembre 2026, 9 h, heure de Paris.

Sources publiques principales

• AIFE, Facturation électronique interentreprises, calendrier et architecture du dispositif.
• AIFE, Accompagnement et formation, accompagnement et tests des plateformes.
• DGFiP, Liste des plateformes agréées, conditions de l’immatriculation définitive.
• Légifrance, article 242 nonies B de l’annexe II au CGI, dossier, délai du rapport d’audit et corrections.
• Légifrance, article 41 septies A de l’annexe IV au CGI, contenu et période de l’audit.
• CNIL, Violations de données personnelles : les règles à suivre, qualification, registre et notifications.