Factur-S - Protocole de Sécurisation des Factures X (v2026-06-01)

💡 Factur-S expliqué simplement (en 1 minute)

Imaginez que vous envoyiez une carte postale par la poste. Le facteur (ou l'État) a besoin de voir l'adresse et le montant du timbre pour acheminer le courrier. C'est normal. Mais avec la facturation électronique obligatoire, c'est comme si le facteur lisait aussi toute votre correspondance : la liste précise de vos produits, vos prix d'achat et vos secrets de fabrication.

Factur-S résout ce problème : c'est comme coller une boîte en acier blindée au milieu de votre carte postale. L'administration voit toujours l'essentiel en clair (les taxes et les totaux requis par la loi), mais le détail ultra-confidentiel de votre commerce est enfermé à double tour. Seul votre client possède la clé pour ouvrir la boîte une fois le document reçu.

Le cycle de vie d'une facture verrouillée

📄

1. Minification

Le système extrait le format Factur-X de votre PDF. Il ne conserve en clair que les totaux et la TVA pour l'administration.

🌍

2. Double Résolution DNS

Interrogation du DNS interne de l'entreprise, puis de publiclock.fr en repli pour capter la clé publique.

🔐

3. Chiffrement

Le détail des prix est encrypté de manière asymétrique pour chaque destinataire légitime.

🔓

4. Réception

Le client reçoit la facture valide, sa clé privée s'active, et les détails s'affichent en clair dans son ERP.

💡 Optimisation réseau : Si la facture comporte de très nombreuses lignes, le contenu secret est déposé sur un serveur de stockage. L'URL et le jeton d'accès sont eux-mêmes cryptés et intégrés au fichier. Aucune métadonnée ne fuite.

L'annuaire DNS : Résolution interne et publique

Le protocole Factur-S repose sur un système de résolution de clés à double niveau, garantissant à la fois la souveraineté des données et une continuité de service infaillible :

1. Le DNS Interne (Surcharge et confidentialité absolue)
Le format Factur-S permet aux entreprises de surcharger la résolution publique. Une entreprise peut configurer son propre serveur DNS interne pour y stocker des verrous stricts et confidentiels qui ne seront jamais publiés sur internet. Lors de l'envoi, le système interrogera toujours ce DNS interne en premier. S'il trouve une clé pour le N° de TVA ciblé, il l'utilise immédiatement.

2. Le DNS publiclock.fr (Le filet de sécurité universel)
Si aucune donnée n'est trouvée sur le DNS interne, le système bascule automatiquement sur l'annuaire public publiclock.fr. La grande force de ce système est qu'il renvoie toujours une clé publique pour n'importe quel numéro de TVA existant. Ainsi, l'encryptage n'est jamais bloqué.

Concrètement, lors de l'interrogation de l'annuaire de repli pour le N° de TVA FR123456789, la requête TXT ressemble à ceci :

> nslookup -q=TXT FR123456789.publiclock.fr
"v=facturs1; lock=publk_v1; pubkey=MIIBIjANBgk...; copy=FR999888777"

Détails techniques et spécifications cryptographiques

Pour les architectes système et les développeurs, voici les spécifications techniques de bas niveau du protocole Factur-S :

1. Mécanisme de chiffrement hybride

Pour des raisons de performance et de sécurité multi-destinataires, Factur-S n'utilise pas directement le chiffrement asymétrique sur l'intégralité du fichier. Il utilise un schéma de chiffrement d'enveloppe :

Chiffrement symétrique : Le fichier XML complet (ou l'URL de stockage + jeton) est chiffré localement par CleanFacture via un algorithme AES-256-GCM, générant une clé symétrique unique et éphémère.
Chiffrement asymétrique : Cette clé symétrique éphémère est ensuite copiée et chiffrée individuellement avec la clé publique RSA (minimum 2048-bit) ou ECC (Ed25519) de chaque destinataire récupérée via le processus DNS (Interne ou Publiclock).

2. Injection conforme dans la norme EN 16931

Pour passer les contrôles des plateformes de l'État (PPF/PDP) sans erreur de schéma, Factur-S encapsule les enveloppes chiffrées dans les balises de texte libre <ram:IncludedNote> de l'en-tête du document. Il y a une balise distincte par destinataire autorisé.

<!-- Structure exacte de l'en-tête XML validée par la norme -->
<rsm:ExchangedDocument>
    <ram:ID>FA-2026-0042</ram:ID>
    
    <!-- Bloc Chiffré pour le Client -->
    <ram:IncludedNote>
        <ram:Content>
TVA-TARGET: FR123456789
LOCK-ID: publk_v1
ENCRYPTED-PAYLOAD:
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0M...
        </ram:Content>
        <ram:SubjectCode>FACTUR-S-DEST</ram:SubjectCode>
    </ram:IncludedNote>

    <!-- Bloc Chiffré pour le Comptable -->
    <ram:IncludedNote>
        <ram:Content>
TVA-TARGET: FR999888777
LOCK-ID: comptable_lock_2026
ENCRYPTED-PAYLOAD:
U2FsdGVkX1+AbcD...[DONNÉES COMPTABLES CHIFÉRÉES]...Lx9z
        </ram:Content>
        <ram:SubjectCode>FACTUR-S-COPY</ram:SubjectCode>
    </ram:IncludedNote>
</rsm:ExchangedDocument>

3. Payload après déchiffrement

Une fois que le logiciel du destinataire extrait sa note correspondante, il utilise sa clé privée pour restaurer l'enveloppe. Le résultat est un format JSON structuré indiquant au système comment récupérer ou lire la facture réelle :

// Structure JSON finale décryptée localement :
{
  "version": "2026-06-01",
  "storage_url": "https://storage.factur-s.com/vault/f789a2bc34e",
  "storage_token": "a1b2c3d4e5f6g7h8i9j0",
  "xml_secret_payload": null // Rempli si le XML complet est embarqué directement
}

L'outil CleanFacture

Le logiciel CleanFacture est le moteur open-source de ce processus.

Il est 100% libre, téléchargeable et utilisable localement sans aucune sauvegarde de données sur le cloud. Vous seul gardez la maîtrise totale de vos flux de facturation.

Découvrir CleanFacture Accéder au DNS Publiclock