Comment vérifier une attestation de vigilance Urssaf

Mis à jour le 3 septembre 2026

L'attestation de vigilance est le document par lequel l'Urssaf certifie qu'une entreprise déclare et paie ses cotisations sociales. Tout donneur d'ordre doit l'exiger de ses sous-traitants au-delà d'un certain montant, et la faire renouveler : c'est sa protection contre la solidarité financière en cas de travail dissimulé. C'est aussi, pour cette raison même, un document que l'on falsifie — et l'un des plus simples à vérifier, grâce au code de sécurité que l'Urssaf imprime dessus.

Sommaire

1. Ce que l'attestation certifie, et ce qu'elle contient
2. Ce que la loi impose au donneur d'ordre
3. Le code de sécurité : le contrôle qui compte
4. Les indices d'un faux dans le document lui-même
5. Recouper avec le reste du dossier
6. Ce qu'une attestation valide ne prouve pas

Ce que l'attestation certifie, et ce qu'elle contient

L'Urssaf délivre l'attestation de vigilance à une entreprise ou à un travailleur indépendant qui a payé ses cotisations et contributions aux échéances, ou qui a souscrit un plan d'apurement qu'il respecte, ou qui en conteste le montant dans les formes. Elle se télécharge depuis l'espace en ligne de l'entreprise — urssaf.fr, ou autoentrepreneur.urssaf.fr pour un micro-entrepreneur — et vaut six mois.

Le document identifie l'entreprise (dénomination, SIRET, adresse), indique sa date de délivrance et sa période de validité et, pour un employeur, le nombre de salariés et le montant total des rémunérations déclarées. Il porte enfin un code de sécurité de quinze caractères : c'est lui qui rend la vérification possible.

Ce que la loi impose au donneur d'ordre

Pour tout contrat d'au moins 5 000 € hors taxes, le donneur d'ordre doit se faire remettre l'attestation de vigilance à la signature, puis tous les six mois jusqu'à la fin de l'exécution (code du travail, articles L8222-1 et suivants, D8222-5). S'y ajoute un justificatif d'immatriculation : extrait K ou Kbis, justificatif d'inscription au Registre national des entreprises, ou un devis, un document publicitaire ou un courrier professionnel portant le nom, l'adresse et le numéro d'immatriculation.

L'enjeu n'est pas administratif. Si le sous-traitant est condamné pour travail dissimulé et que ces vérifications n'ont pas été faites, le donneur d'ordre est tenu solidairement au paiement de ses impôts, taxes, cotisations et rémunérations dues. Une attestation fausse acceptée sans contrôle ne protège de rien.

Le code de sécurité : le contrôle qui compte

L'Urssaf met à disposition un outil public de vérification des attestations. Saisissez le code de sécurité tel qu'il figure sur le document — quinze caractères, sans espace. Si l'Urssaf ne reconnaît pas le code, elle répond qu'il ne correspond à aucune attestation en cours de validité : le code est mal recopié, l'attestation est périmée, ou elle a été modifiée ou fabriquée.

Si le code est reconnu, l'Urssaf affiche les éléments de l'attestation qu'elle a réellement émise : le nom de l'entreprise (« identification du diffuseur »), le SIRET de chaque établissement, la date de certification du document et la dernière période analysée. Comparez-les ligne à ligne au document reçu : un fraudeur peut coller le code authentique d'une autre entreprise sur une attestation fabriquée à son nom — le code passe, la comparaison ne passe pas.

Les indices d'un faux dans le document lui-même

• Une période de validité qui n'est pas de six mois, une date de délivrance postérieure à celle du courrier qui l'accompagne, ou une attestation « à jour » vieille de huit mois.
• Un effectif incohérent : le sous-traitant annonce trente personnes sur le chantier, l'attestation déclare deux salariés.
• Un SIRET dont la clé est fausse, ou qui ne correspond pas au Kbis et aux factures.
• Un code de sécurité qui n'a pas quinze caractères, contient des espaces, ou se retrouve à l'identique sur deux attestations de dates différentes.
• Des traces de retouche PDF : police différente sur une date ou un chiffre, rectangle blanc, révision ajoutée après la création, métadonnées d'éditeur — voir le guide sur les PDF modifiés.

Recouper avec le reste du dossier

L'attestation n'arrive jamais seule. Le SIRET doit être celui de l'extrait Kbis et des factures ; le RIB doit être au nom de la même dénomination — la fraude au faux fournisseur commence souvent par un dossier de référencement impeccable. Et ne confondez pas l'attestation de vigilance avec l'attestation de régularité fiscale, délivrée par l'administration fiscale : deux documents, deux émetteurs, deux vérifications.

Ce qu'une attestation valide ne prouve pas

Qu'une entreprise soit à jour de ses cotisations aujourd'hui ne dit rien de sa solvabilité demain, ni de l'identité de la personne qui vous écrit en son nom. L'attestation se périme en six mois : inscrivez le renouvellement dans le suivi du contrat plutôt que de compter sur le sous-traitant pour y penser. TrustyFile examine le fichier — révisions, retouches, clés SIRET et TVA ; le code de sécurité, lui, se vérifie sur urssaf.fr, et rien ne remplace ce geste.

Outils gratuits

Autres guides