2D-Doc : le lire, le vérifier, et savoir ce qu'il prouve
Le petit carré noir et blanc des avis d'impôt et des factures est le seul élément d'un document que l'État signe. Encore faut-il savoir ce que cette signature couvre, et ce qu'elle laisse passer.
Le 2D-Doc est un code-barres Data Matrix normalisé par France Titres (ANTS). Il contient les données clés du document et une signature électronique de l'émetteur. Le vérifier demande trois gestes : décoder le code, contrôler la signature avec le certificat de l'émetteur, puis comparer les données scellées avec ce qui est imprimé. Le troisième est celui que l'on oublie, et c'est lui qui attrape la fraude la plus courante.
Un locataire envoie son avis d'imposition. Le revenu fiscal de référence est confortable, la mise en page est parfaite, et le code 2D-Doc en bas de page se scanne sans erreur : signature valide. Le dossier passe.
Le code disait pourtant 18 425 €. La page affichait 48 425 €. La signature était authentique parce que personne n'avait touché au code : seul le chiffre imprimé avait été retouché. C'est le cas que l'on rencontre le plus souvent, et un lecteur qui s'arrête au verdict « signature valide » le laisse passer.
Ce que contient un 2D-Doc
Un 2D-Doc n'est pas un lien vers une base de données. Le code porte lui-même l'information, organisée en trois zones.
- L'en-tête : qui l'a émis, et de quel document il s'agit
- Il commence par la version du format (par exemple
DC04), puis identifie l'autorité de certification, le certificat qui a signé, les dates d'émission et de signature, et le type de document : avis d'impôt sur le revenu, justificatif de domicile, bulletin de salaire, titre d'identité. - Le message : les valeurs certifiées
- Une suite de champs codifiés par la spécification. Sur un avis d'impôt : les déclarants, le revenu fiscal de référence, le nombre de parts, l'année des revenus, la référence de l'avis. Sur une facture d'énergie : le nom et l'adresse du titulaire.
- La signature : la preuve mathématique
- Une signature ECDSA calculée sur l'en-tête et le message. Elle se vérifie avec la clé publique du certificat de l'émetteur, publié dans la liste de confiance tenue par l'ANTS.
Conséquence directe : le code sait ce que le document est censé dire. C'est ce qui permet de confronter la page à son propre cachet, et pas seulement de dire si le cachet est authentique.
Les documents qui portent un 2D-Doc
- Avis d'impôt sur le revenu et avis de situation déclarative (ASDIR), signés par la DGFiP : déclarants, revenu fiscal de référence, nombre de parts.
- Factures d'énergie et de télécommunications des émetteurs équipés, souvent fournies comme justificatif de domicile : nom et adresse facturés.
- Bulletins de salaire émis par des logiciels de paie équipés : salarié, employeur, net à payer.
- Carte nationale d'identité au format 2021, dont le code couvre l'identité du titulaire.
- Documents liés aux véhicules, sur une partie des pièces d'immatriculation.
Ce qu'une signature valide prouve, et ce qu'elle ne prouve pas
La vérification de signature répond à une question précise : les données du code ont-elles été modifiées depuis que l'émetteur les a signées ? Si la réponse est non, c'est une preuve forte, émise par l'État ou par un émetteur certifié. Mais elle laisse quatre questions ouvertes.
La signature ne couvre que les données du code. Le reste de la page peut être retouché sans l'invalider. C'est la fraude la plus fréquente, parce qu'elle conserve un code parfaitement valide.
Un code authentique peut être copié depuis le document d'une autre personne et collé sur une page fabriquée. La signature reste valide ; ce sont le nom et l'adresse scellés qui ne correspondent plus au dossier.
Un avis d'impôt authentique peut avoir été remplacé par un avis rectificatif. Le code ne le dit pas. Pour un avis d'impôt, seul le service de vérification de la DGFiP (SVAIR, sur impots.gouv.fr, avec le numéro fiscal et la référence de l'avis) confirme qu'il est toujours celui en vigueur.
Le cachet authentifie un document, pas celui qui l'envoie. Le rapprochement avec la pièce d'identité et les autres pièces du dossier reste nécessaire.
À l'inverse, un code régénéré avec de fausses valeurs est rejeté : sans la clé privée d'un émetteur reconnu, il est impossible de produire une signature qui se vérifie contre la liste de confiance de l'ANTS.
Comment vérifier un 2D-Doc
Pour un document isolé, quatre étapes suffisent.
- Scannez le code avec une application de lecture 2D-Doc, de préférence sur le PDF d'origine plutôt que sur une photo. Les applications référencées par France Titres, comme 2D-Doc Reader, contrôlent la signature.
- Lisez le verdict de signature, et distinguez « signature invalide » (le code a été fabriqué ou modifié) de « émetteur inconnu » ou « code illisible » (l'outil ne peut pas conclure). Seul le premier est un signal de fraude.
- Comparez chaque valeur scellée avec la page : noms, adresse, montants, dates, référence. Un seul écart suffit.
- Pour un avis d'impôt, consultez aussi le SVAIR pour confirmer que l'avis est bien le dernier émis.
Cette méthode tient pour quelques dossiers par semaine. Elle ne tient plus quand chaque dossier compte une dizaine de pièces, que la moitié arrive en photo, et qu'il faut garder la trace de chaque contrôle pour un audit.
Les pièges de la vérification à l'échelle
- Un code illisible n'est pas une fraude. Une photo floue ou un scan à 150 dpi rend le code indéchiffrable. Le traiter comme un échec bloque des dossiers honnêtes ; le traiter comme une réussite valide des dossiers que personne n'a vérifiés. La seule réponse correcte est « pas de conclusion », suivie d'une demande de pièce.
- Une liste de confiance doit être tenue à jour. Les émetteurs renouvellent leurs certificats. Un vérificateur qui ne suit pas la liste de l'ANTS finit par signaler comme suspects des documents parfaitement authentiques.
- Un même fait peut être scellé de deux façons. La spécification autorise certains émetteurs à encoder une adresse ou une identité en un bloc ou en champs séparés. Une comparaison qui n'attend qu'une forme échoue sur un document conforme.
- Le code ne dit rien du reste du dossier. Un avis authentique au nom d'un tiers, joint au dossier d'un autre emprunteur, ne se détecte qu'en croisant les pièces entre elles.
Questions fréquentes
Qu'est-ce qu'un 2D-Doc ?
Un code-barres Data Matrix normalisé par France Titres (ANTS). Il contient les données clés du document qui le porte, par exemple le nom du déclarant et le revenu fiscal de référence sur un avis d'impôt, ainsi qu'une signature électronique de l'émetteur qui permet de vérifier que ces données n'ont pas été modifiées.
Quelle est la différence entre un 2D-Doc et un QR code ?
Un QR code renvoie le plus souvent vers une adresse web, et n'importe qui peut en générer un. Un 2D-Doc embarque les données elles-mêmes, dans un format défini par France Titres, avec une signature que seul un émetteur détenteur d'un certificat reconnu peut produire. Tout lecteur Data Matrix peut le lire ; seul un vérificateur qui contrôle la signature peut dire s'il est authentique.
Comment vérifier le 2D-Doc d'un avis d'imposition ?
Scannez le code avec une application de lecture 2D-Doc pour contrôler la signature et lire les données scellées, puis comparez-les avec l'avis imprimé. Pour savoir si l'avis est le dernier émis, utilisez en complément le SVAIR sur impots.gouv.fr, avec le numéro fiscal et la référence de l'avis.
Un 2D-Doc valide garantit-il que le document est authentique ?
Non. Une signature valide garantit que les données du code n'ont pas été modifiées. Elle ne dit rien du texte imprimé autour : la fraude la plus courante consiste à retoucher un montant sur la page en laissant le code d'origine intact.
Peut-on falsifier un 2D-Doc ?
On peut générer un Data Matrix au bon format avec de fausses données, mais pas le signer avec un certificat d'émetteur reconnu : la vérification le rejette. Les fraudes qui réussissent contournent le code au lieu de le falsifier, en modifiant la page autour d'un code authentique ou en copiant le code d'une autre personne.
Que faire si le 2D-Doc est illisible ?
Un code illisible sur une photo floue ne prouve rien, dans un sens comme dans l'autre. Demandez le PDF d'origine, où le code est généralement net. Un code absent sur un type de document qui en porte toujours mérite en revanche une vérification approfondie.
Le 2D-Doc chez Holofin
Holofin cherche le code 2D-Doc sur chaque document d'un dossier, le décode, vérifie sa signature contre la liste de confiance de l'ANTS, puis compare chaque valeur scellée avec les données extraites de la page. Un code illisible ou un émetteur inconnu produit « pas de conclusion », jamais un faux positif ni une fausse validation. Les écarts arrivent comme constats, à côté des autres signaux de fraude documentaire, avec la valeur scellée et la valeur imprimée côte à côte.
Holofin est hébergé en Europe (infrastructure OVHcloud, France) et conforme au RGPD.
Pour aller plus loin
Les documents qui portent un 2D-Doc, et les contrôles qui le complètent.