2D-Doc : le seul contrôle qui prouve quelque chose

Mis à jour le 2 août 2026

Tous les contrôles décrits dans les autres guides sont des faisceaux d'indices : ils rendent une fraude probable ou improbable, jamais certaine. Le 2D-Doc est différent — il repose sur de la cryptographie, et permet une réponse tranchée.

Sommaire

1. Ce qu'est un 2D-Doc
2. Pourquoi c'est plus fort que tout le reste
3. Où en est TrustyFile
4. Le contrôle officiel en parallèle

Ce qu'est un 2D-Doc

Le 2D-Doc est un code-barres bidimensionnel, au format DataMatrix, défini par l'ANTS (Agence nationale des titres sécurisés). On le trouve sur les avis d'imposition, les bulletins de salaire, les attestations de la Sécurité sociale, les justificatifs de domicile de certains fournisseurs, et divers documents administratifs.

Il contient deux choses : les données clés du document en clair (nom, montant, date, référence), et une signature cryptographique de ces données, produite par la clé privée de l'émetteur.

Pourquoi c'est plus fort que tout le reste

Les métadonnées se réécrivent, les polices se réimitent, un scan efface les traces. Une signature cryptographique, non : sans la clé privée de l'émetteur, on ne peut pas produire une signature valide pour des données modifiées.

Cela donne deux contrôles distincts, et il faut les distinguer :

• Le code est-il lisible et cohérent ? Les données encodées correspondent-elles au texte imprimé sur le document ? Si le PDF affiche un montant et que le code en contient un autre, quelqu'un a retouché le visuel sans pouvoir toucher au code.
• La signature est-elle valide ? Cela demande le certificat de l'émetteur et une vérification ECDSA. C'est le seul contrôle qui permet d'affirmer qu'un document est authentique, et non simplement "sans anomalie détectée".

Où en est TrustyFile

TrustyFile décode aujourd'hui le 2D-Doc et compare les données encodées au texte visible. C'est le premier contrôle, et il attrape déjà les retouches visuelles.

La vérification de la signature elle-même n'est pas encore implémentée. Nous préférons l'écrire ici plutôt que de laisser croire à une garantie qui n'existe pas : aujourd'hui, aucun résultat de TrustyFile ne prouve qu'un document est authentique. L'outil signale des anomalies, il ne délivre pas de certificat.

Le contrôle officiel en parallèle

Pour un avis d'imposition, l'administration fiscale propose un service de vérification en ligne (SVAIR) où saisir le numéro fiscal et la référence de l'avis. La réponse vient de la source elle-même, ce qui est plus fort que n'importe quelle analyse de fichier.

Règle générale : quand l'émetteur offre un moyen de vérifier directement auprès de lui, c'est toujours ce moyen-là qu'il faut privilégier.