2D-Doc : le code de votre avis d'imposition n'est pas un QR code
Le petit carré marqué « 2D-DOC » sur un avis d'imposition ou une facture d'énergie n'est pas un QR code : c'est un code Datamatrix signé électroniquement, selon une norme de l'Agence nationale des titres sécurisés (ANTS). Il reprend les données clés du document et une signature. Un lecteur adapté vérifie que ces données n'ont pas changé depuis l'émission, ce qu'aucun QR code ordinaire ne permet.
On l'appelle souvent « QR code » parce qu'il en a l'air. La différence n'est pas un détail de vocabulaire : elle explique pourquoi l'appareil photo du téléphone ne suffit pas pour vérifier un justificatif, et pourquoi personne ne peut en fabriquer un convaincant avec un générateur.
Qu'est-ce que le 2D-Doc, exactement ?
Le 2D-Doc est un format de cachet électronique visible, publié par l'ANTS, qui se présente aujourd'hui sous le nom France Titres. Il encode dans un Datamatrix une partie des données du document, leur date d'émission et la signature électronique de ces données par l'émetteur.
La version 3.3.1 des spécifications techniques du 2D-Doc, datée du 10 avril 2024, en fixe chaque octet. La première version remonte à février 2012. Le contenu suit toujours le même ordre :
- Un en-tête qui commence par les lettres « DC », suivies de la version de la norme, de l'identifiant de l'autorité de certification, de l'identifiant du certificat utilisé, de la date d'émission du document, de la date de signature et du type de document. Les dates sont codées en nombre de jours écoulés depuis le 1er janvier 2000.
- Un message composé de champs précédés d'un identifiant à deux caractères : nom, adresse, montant, selon le type de document.
- Une signature calculée sur l'en-tête et le message, avec des courbes elliptiques de type NIST P-256 ou P-384.
Le symbole graphique est imposé : un Datamatrix carré conforme à la norme ISO/IEC 16022, niveau de correction ECC 200, accompagné de la mention lisible « 2D-DOC » sur l'un de ses côtés.
Le besoin est ancien. Les spécifications rappellent qu'en 2008, près de la moitié des dossiers d'usurpation d'identité traités par le service de la fraude documentaire contenaient une fausse facture d'énergie ou de téléphone.
Quels documents portent un 2D-Doc ?
Principalement les justificatifs utilisés pour les démarches : avis d'impôt sur le revenu, factures servant de justificatif de domicile, et de plus en plus d'autres documents privés.
Dans une réponse publiée au Journal officiel le 30 janvier 2024, le ministère de l'Intérieur indique dans sa réponse à la question écrite n° 9741 que le 2D-Doc est intégré aux avis d'imposition et à la nouvelle carte nationale d'identité, et qu'il est ouvert aux acteurs privés pour les bulletins de salaire et les justificatifs de domicile. Il peut contenir le type de document, les nom et prénom de l'usager, l'adresse, le revenu fiscal de référence pour un avis d'imposition, le salaire net pour un bulletin de paie, et la date d'émission.
Côté émetteurs, les spécifications citent les fournisseurs d'énergie, les opérateurs de téléphonie et les distributeurs d'eau pour les factures, la DGFiP pour les avis d'impôt et les banques pour les relevés d'identité bancaire. Côté utilisateurs : mairies, préfectures, organismes de protection sociale, banques.
Un épisode de 2026 montre que le code peut manquer temporairement. Fin juillet 2026, un usager a signalé sur la plateforme Services Publics+ l'absence du 2D-Doc sur son avis d'imposition 2026 téléchargé en ligne, dont il avait besoin pour une carte d'identité. La DGFiP a répondu que le code devait apparaître sur les avis en ligne début août 2026, après une mise à jour. Un avis téléchargé avant cette date mérite donc d'être téléchargé à nouveau.
Comment vérifier un 2D-Doc ?
Avec un lecteur de 2D-Doc, pas avec un simple lecteur de codes. La réponse ministérielle de 2024 mentionne une application smartphone gratuite, qui contrôle l'authenticité auprès d'un tiers de confiance référencé par l'ANTS.
Les spécifications décrivent l'algorithme suivi par ces lecteurs, en sept étapes que l'on peut résumer ainsi :
- Reconnaître l'en-tête et en déduire le type de document et la liste des champs attendus.
- Valider la structure du message par rapport à cette définition.
- Comparer les données décodées avec celles imprimées en clair sur le document. C'est l'étape qui vous revient.
- Récupérer le certificat de l'émetteur grâce aux identifiants de l'en-tête, en interrogeant la liste de confiance qui recense les autorités de certification habilitées.
- Vérifier que le certificat n'est pas révoqué.
- Contrôler que la date de signature tombe dans la période de validité du certificat.
- Vérifier la signature avec la clé publique du certificat.
Si tout passe, vous savez deux choses : les données du code ont été signées par un émetteur référencé, et elles correspondent à ce qui est imprimé. Vous ne savez pas que la personne en face de vous est celle qui figure sur le document.
Pourquoi l'appareil photo du téléphone ne suffit-il pas ?
Parce que décoder n'est pas vérifier. Selon l'application, l'appareil photo ignorera le Datamatrix ou affichera une longue chaîne de caractères commençant par « DC ». Dans les deux cas, rien ne contrôle la signature.
La partie lisible ressemble à du texte en majuscules, parce que la norme utilise l'encodage C40, compact pour les lettres capitales et les chiffres. La signature, elle, apparaît comme une suite de caractères sans signification. Pour qu'elle prouve quoi que ce soit, il faut le certificat de l'émetteur, que le code ne contient pas : les spécifications précisent qu'il serait bien trop volumineux. Seul un lecteur relié à la liste de confiance va le chercher.
Les différences entre symbologies sont détaillées dans notre comparatif QR, Data Matrix, PDF417 et Aztec. Le Datamatrix ECC 200 repose, comme le QR code, sur une correction d'erreurs de Reed-Solomon, dont nous expliquons le principe dans notre article sur le décodage.
Peut-on fabriquer un 2D-Doc soi-même ?
On peut dessiner un Datamatrix qui contient le même texte, mais pas un 2D-Doc valide. La signature exige une clé privée liée à un certificat délivré par une autorité de certification inscrite sur la liste de confiance, et un faux échoue à l'étape 7.
Les spécifications réservent même des identifiants aux essais, comme les certificats « 0000 », et interdisent de les utiliser en production. Un générateur de QR codes, le nôtre compris, ne produit donc pas de 2D-Doc et ne doit pas être présenté comme tel.
La leçon vaut pour toute entreprise qui voudrait rendre ses documents vérifiables. Un QR code qui renvoie vers une page « vérifiez ce document » sur votre site ne prouve rien à un destinataire qui ne peut pas être certain que la page est la vôtre, et c'est exactement le scénario que les fraudeurs imitent, comme le montre notre page sur les faux QR codes. Si vos factures ou attestations servent de justificatifs, la voie est un prestataire de 2D-Doc référencé. Pour une facture électronique au sens de la réforme de 2026, le sujet est encore différent, et nous le traitons dans notre article sur la facture électronique.
Que prouve le code, document par document ?
Un bailleur, une agence immobilière ou un service des ressources humaines peut s'appuyer sur ce tableau pour savoir ce que la vérification établit, et ce qu'elle laisse ouvert.
| Document | Ce que la vérification établit | Ce qu'elle n'établit pas |
|---|---|---|
| Avis d'impôt sur le revenu | Nom et revenu fiscal de référence tels qu'émis par la DGFiP | Que la personne qui le présente est le contribuable |
| Facture d'énergie ou de téléphone | Nom et adresse à la date d'émission | Que la personne habite encore à cette adresse |
| Bulletin de salaire (si l'employeur signe en 2D-Doc) | Salaire net tel qu'émis par l'émetteur signataire | Que le contrat de travail est toujours en cours |
| Carte nationale d'identité au format carte bancaire | Données d'identité telles qu'inscrites à la délivrance | Que la carte n'a pas été déclarée perdue ou volée depuis |
Comment imprimer un justificatif sans abîmer le code ?
Imprimez à 100 %, sans l'option « ajuster à la page ». Les spécifications recommandent un module d'au moins 0,4 mm lorsque l'imprimante n'est pas connue, et indiquent qu'un code au format « 02 » qui contient les champs obligatoires d'une facture mesure alors 19,2 mm de côté, 20 mm avec sa marge.
Une réduction à l'impression fait passer les modules sous ce seuil, et un code abîmé ne se vérifie plus, même si le document est authentique. Deux autres règles de la norme concernent l'impression : une zone blanche d'au moins un module autour du code, sur laquelle notre article sur la zone de silence s'attarde, et un code placé sur la même page que les données qu'il reprend.
Questions fréquentes
Une photocopie d'un document authentique passe-t-elle la vérification ?
Oui, si le code reste lisible, car la vérification porte sur les données signées et non sur le papier. C'est pour cela qu'un 2D-Doc valide ne prouve pas que la personne qui le présente en est le titulaire.
Un 2D-Doc peut-il cesser d'être vérifiable ?
Oui. Si le certificat de l'émetteur est révoqué, les spécifications prévoient que la vérification n'est plus praticable, quelle que soit la date de signature du document.
Le code de la nouvelle carte d'identité est-il un 2D-Doc ?
Selon la réponse ministérielle de janvier 2024, oui : le 2D-Doc est intégré à la nouvelle carte nationale d'identité au format carte bancaire, à côté des autres éléments de sécurité de la carte.