Points clés à retenir
- La Direction générale des Finances publiques (DGFiP) a communiqué le 14 août 2026 sur un vol de données faisant suite à des accès illégitimes à son système d’information.
- La sécurité d’une plateforme agréée (PA) ne repose pas uniquement sur son agrément. Elle doit être assurée à chaque étape : accès, transmission, traitement, stockage et supervision.
- La PA Esker est hébergée en France, certifiée ISO 27001 et soumise aux exigences de sécurité de la DGFiP.
- Flowwa complète cette sécurité sur ses propres couches techniques avec notamment des accès sécurisés, des communications chiffrées, des protections contre les attaques, des sauvegardes chiffrées et un archivage à valeur probante pendant 11 ans.
Sommaire :
- Introduction
- Facturation électronique : pourquoi la sécurité ne s’arrête pas à l’agrément ?
- Comment Esker sécurise sa plateforme agréée à chaque niveau ?
- Comment Flowwa complète la sécurité de la PA Esker ?
- FAQ
La récente fuite de données annoncée par la DGFiP rappelle une réalité : la sécurité des systèmes qui manipulent des données sensibles doit être surveillée en permanence. L’incident ne concerne ni la réforme de la facturation électronique (RFE), ni la plateforme agréée Esker. Il remet simplement la protection des données au premier plan.
Avec la généralisation de la facturation électronique, les entreprises font circuler quotidiennement des informations financières, commerciales et comptables entre plusieurs systèmes. La plateforme agréée (PA), c’est-à-dire une plateforme immatriculée par la DGFiP, devient un maillon important de cette chaîne. Être agréé est indispensable. Mais derrière ce statut, il faut aussi regarder comment les accès, les flux, les traitements et les données sont réellement protégés au quotidien
Facturation électronique : pourquoi la sécurité ne s’arrête pas à l’agrément ?
Des données sensibles circulent quotidiennement
Une plateforme agréée ne fait pas que transmettre une facture d’un fournisseur à son client. Elle intervient dans des échanges qui comportent des informations d’identification, des montants, des données fiscales, des références commerciales ou encore des informations liées aux transactions.
Ces échanges deviennent des flux numériques métier quotidiens. Leur confidentialité, leur intégrité et leur disponibilité doivent donc être protégées tout au long du traitement.
Une PA doit sécuriser toute la chaîne
L’immatriculation apporte un cadre réglementaire. Mais la cybersécurité ne peut pas se résumer à une validation obtenue à un instant donné.
La protection doit intervenir à plusieurs niveaux :
- les accès ;
- la transmission des données ;
- le traitement des flux ;
- le stockage et l’archivage ;
- la supervision ;
- la continuité du service.
Il faut donc pouvoir protéger les accès, chiffrer les communications, surveiller les infrastructures, rechercher les vulnérabilités et tester régulièrement les dispositifs en place.
La sécurité d’une PA se construit dans la durée. C’est précisément cette logique que l’on retrouve dans les dispositifs mis en œuvre par Esker.
“La facturation électronique démarre ce 1er septembre pour des millions d’entreprises : c’est un coup d’envoi, et non une date couperet. Au cours des prochains mois, notre priorité sera l’accompagnement : aucune sanction ne sera appliquée en 2026. Il faudra aussi faire la preuve en continu que nos exigences en matière de cybersécurité sont satisfaites effectivement. C’est une question de confiance pour que cette réforme réussisse et simplifie réellement la vie de toutes les entreprises.” David Amiel, ministre de l’Action et des Comptes publics
Comment Esker sécurise sa plateforme agréée à chaque niveau ?
Une infrastructure certifiée et contrôlée
La sécurité de la plateforme agréée Esker repose d’abord sur un cadre structuré. La plateforme est hébergée en France, certifiée ISO 27001 et conforme aux exigences de sécurité imposées par la DGFiP dans le cadre de son immatriculation.
La plateforme Cloud Esker on Demand est plus précisément certifiée ISO 27001:2022. Cette norme encadre le système de management de la sécurité de l’information, avec une logique d’identification des risques, de contrôle et d’amélioration continue.
Des flux, des documents et des accès protégés
La sécurité concerne ensuite la circulation quotidienne des données. Esker indique utiliser des transferts sécurisés via le protocole TLS et proposer une fonctionnalité d’authentification unique, ou SSO pour Single Sign-On.
La plateforme prévoit également des mécanismes de sauvegarde et la possibilité de chiffrer les documents conservés après leur traitement. Son infrastructure fait l’objet d’une surveillance 24h/24 et 7j/7.
La sécurité ne porte donc pas uniquement sur le lieu où se trouvent les données. Elle concerne aussi la manière dont elles entrent dans la plateforme, circulent, sont consultées et restent accessibles.
Une sécurité régulièrement testée
Une infrastructure sécurisée doit aussi être régulièrement mise à l’épreuve. Esker indique réaliser un test d’intrusion une fois par an par un prestataire externe indépendant, complété par des scans de vulnérabilité automatisés mensuels.
Une surveillance technique permet également d’agir sur les anomalies de sécurité. Esker demande par ailleurs à ses fournisseurs liés à sa plateforme Cloud de démontrer leur niveau de maturité en matière de sécurité.
Cette logique est importante : la sécurité n’est pas considérée comme acquise une fois la plateforme mise en production. Elle continue d’être contrôlée et testée.
Le facteur humain fait aussi partie de la sécurité
Les outils techniques ne suffisent pas. Les personnes qui travaillent sur les systèmes et les données constituent également un maillon de la protection.
Esker indique que l’ensemble de ses collaborateurs suit chaque année une formation consacrée à la sécurité et à la protection des données. Cette formation est validée par un test de connaissances.
La sécurité de la PA Esker repose donc sur plusieurs niveaux complémentaires : infrastructure, protection des flux, contrôle des accès, surveillance, tests réguliers et sensibilisation des équipes.
Comment Flowwa complète la sécurité de la PA Esker ?
Avec TEDD & Esker, la protection ne repose pas uniquement sur les dispositifs de la plateforme agréée Esker. Flowwa sécurise également les accès, les échanges et les traitements qui relèvent de ses propres plateformes.
L’objectif est de protéger la chaîne dans son ensemble : depuis l’accès de l’utilisateur jusqu’au traitement de la facture, son échange avec les outils de gestion et son archivage.
Des accès et des infrastructures protégés côté Flowwa
Les plateformes Flowwa disposent d’un accès sécurisé par mot de passe. La stratégie de sécurité des mots de passe peut également être configurée.
Les infrastructures Flowwa bénéficient de plusieurs dispositifs de protection :
- hébergement dans des datacenters TIER III en France ;
- protection contre les attaques par déni de service distribué, ou DDoS ;
- pare-feu avec contrôle des autorisations d’accès ;
- antivirus ;
- supervision de l’infrastructure ;
- sauvegardes chiffrées.
Flowwa présente ces mesures comme les différents niveaux permettant de protéger la disponibilité, l’intégrité et la confidentialité des données sur ses plateformes.
Des communications chiffrées et des protocoles sécurisés
La protection concerne également les communications entre les différents systèmes. Selon la documentation sécurité Flowwa, les échanges peuvent utiliser un canal HTTPS chiffré avec un certificat SSL 2048 bits.
Pour sa plateforme de connecteurs, Flowwa mentionne également des protocoles sécurisés tels que SFTP, FTS et le chiffrement PGP. Des tests d’intrusion réguliers et des dispositifs antivirus complètent cette protection.
L’objectif est simple : les données ne doivent pas seulement être sécurisées une fois arrivées sur une plateforme. Leur circulation entre les différentes briques du système d’information doit également être protégée.
Limiter le stockage des données sur la plateforme de connecteurs
La maîtrise des données passe aussi par la limitation de leur stockage. Sur le périmètre de sa plateforme de connecteurs, la documentation Flowwa précise que les données nécessaires aux traitements ne sont pas conservées durablement sur la plateforme.
Elles restent présentes pendant le chargement, le traitement et le transfert. Une archive du traitement est conservée pendant un mois afin d’assurer la traçabilité.
Sur ce même périmètre, Flowwa indique qu’aucune donnée sensible ou personnelle n’est traitée ni transférée hors de l’Union européenne. Le client reste responsable des traitements réalisés.
Ces règles concernent spécifiquement la plateforme de connecteurs Flowwa. Elles ne doivent pas être confondues avec le fonctionnement de la PA Esker, qui traite les données nécessaires à la facturation électronique.
Sécuriser également les validations
La sécurité ne concerne pas uniquement l’infrastructure. Elle passe aussi par la maîtrise des personnes autorisées à intervenir sur une facture.
Les circuits de validation permettent d’organiser les rôles et les étapes de traitement. Cette logique apporte de la traçabilité : l’entreprise sait qui intervient, à quel moment et à quelle étape du processus.
Les données peuvent ainsi circuler entre TEDD & Esker et les outils de gestion de l’entreprise tout en conservant un processus structuré.
Un archivage haute sécurité pendant 11 ans
La sécurité doit enfin continuer après le traitement de la facture. Avec TEDD & Esker, les factures bénéficient d’un archivage à valeur probante pendant 11 ans, afin de couvrir la durée légale de conservation et les périodes fiscales associées.
L’accès aux documents archivés reste sécurisé. L’objectif est donc de protéger les factures pendant leur circulation, leur validation et leur traitement, mais aussi pendant leur conservation.
Esker et Flowwa interviennent ainsi à des niveaux complémentaires. La PA Esker apporte son infrastructure certifiée, ses dispositifs de contrôle, sa surveillance et ses tests. Flowwa sécurise de son côté les accès, les communications, les connexions, la traçabilité et l’archivage.
La récente fuite de données communiquée par la DGFiP rappelle que la cybersécurité n’est jamais un sujet définitivement acquis. Pour la facturation électronique, il est donc utile de regarder au-delà du seul statut réglementaire de sa plateforme : certifications, protection des flux, sécurisation des accès, surveillance, tests et organisation interne doivent former un ensemble cohérent.
Avec TEDD & Esker, cette sécurité repose sur plusieurs couches complémentaires, depuis la plateforme agréée Esker jusqu’aux dispositifs mis en œuvre par Flowwa. Pour une entreprise comme pour son intégrateur, l’objectif est de disposer d’une chaîne de facturation électronique sécurisée à chaque étape, sans complexifier son utilisation au quotidien.
FAQ
Esker indique réaliser un test d’intrusion annuel par un prestataire externe indépendant. Ces tests sont complétés par des scans automatisés de vulnérabilité réalisés chaque mois et par une surveillance technique des anomalies de sécurité.
0
0
Flowwa ajoute ses propres dispositifs de protection autour des accès, des communications et des échanges avec les systèmes d’information. Cela comprend notamment l’hébergement en France, la protection DDoS, les pare-feu, l’antivirus, les sauvegardes chiffrées, la sécurisation des communications et l’archivage à valeur probante pendant 11 ans.
0
0
La plateforme Cloud Esker on Demand est certifiée ISO 27001:2022. Cette certification encadre son système de management de la sécurité de l’information et les dispositifs mis en place pour identifier, contrôler et réduire les risques.
0
0
Une plateforme agréée doit respecter des exigences techniques, réglementaires et de sécurité pour obtenir son immatriculation auprès de la DGFiP.
Cet agrément apporte un premier niveau de garantie. Il reste néanmoins pertinent de regarder les certifications, les dispositifs de contrôle, la protection des accès et les tests réalisés par chaque plateforme.
0
0
Ces articles pourraient vous intéresser :
- Que garantit vraiment la liste des Plateformes Agréées ?
- Traitement des factures fournisseurs : le processus complet, de la réception à l’archivage
- 10 questions qui départagent vraiment les solutions de dématérialisation de la facture
- Facture électronique : les leçons de l’Italie, de la Belgique et de l’Espagne pour les entreprises françaises
- Archivage des factures fournisseurs : votre plateforme couvre-t-elle vraiment vos obligations ?
- Réussir son passage à la RFE en 8 étapes
- Facture électronique : arrêtez de subir les délais de déploiement
