Un QR code est seulement une manière compacte d’imprimer des données. Il peut recopier le numéro et le total, ouvrir une page de vérification ou transporter un jeton signé, mais le carré noir ne dit pas lequel. Sa valeur vient du payload, de l’émetteur, de la vérification et de la réponse obtenue. Au 29 août 2026, nous ne présentons aucun payload BelloPOS comme un QR officiel DGI marocain.
Les règles d’un QR utile
- Scannez d’abord hors de toute session sensible et lisez la destination avant d’ouvrir.
- Un QR statique peut contenir numéro, date, total, devise et identifiants.
- Un lien de vérification doit utiliser un domaine connu et une connexion protégée.
- Les données recopiées accélèrent le contrôle, mais peuvent être copiées ou remplacées.
- Une signature ou un jeton vérifiable ajoute une preuve seulement si son mécanisme est documenté.
- Le QR BelloPOS résume localement la facture ; il n’est pas un accusé ni une validation DGI.
1. Quatre familles de QR sur une facture
Deux QR identiques visuellement peuvent avoir des fonctions totalement différentes. Testez-les avec un lecteur qui affiche le contenu avant navigation.
| Type | Contenu | Utilité et limite |
|---|---|---|
| Texte brut | Numéro, date, total, ICE | Comparaison rapide ; données copiables |
| Lien | URL vers une page | Informations à jour ; dépend du domaine et du réseau |
| Référence | Identifiant court | Recherche dans un système ; inutile sans accès |
| Jeton signé | Données et preuve cryptographique | Vérifiable si schéma, clé et règles sont publiés |
| Paiement | Coordonnées ou demande de paiement | Action financière ; risque de substitution élevé |
Le QR ne doit pas remplacer les mentions lisibles. Une personne, un archiviste ou un contrôleur doit pouvoir identifier le document même si la caméra, le site ou le format disparaît. Gardez le numéro et les données essentielles sur la page.
2. Que mettre dans le payload
Mettez le minimum utile au but annoncé. Les données personnelles et bancaires voyagent en clair dans de nombreux QR : toute personne qui voit la page peut les scanner.
- Version : Permet de faire évoluer l’ordre et les champs sans casser les lecteurs.
- Émetteur : Nom ou identifiant contrôlable, sans prétendre à une certification.
- Document : Type, numéro et date pour retrouver la pièce.
- Montant : Total et devise pour comparer rapidement.
- Parties : Identifiants strictement nécessaires, par exemple ICE selon le cas.
- Preuve : Hash, signature ou référence seulement si le lecteur sait réellement les valider.
Évitez mots de passe, clé API, numéro complet de carte, lien d’administration ou données non nécessaires. Si le QR ouvre une URL, n’utilisez pas un raccourcisseur opaque. Le lecteur doit voir le domaine officiel avant d’envoyer une donnée ou effectuer un paiement.
Si le QR transporte seulement une copie du numéro et du total, dites résumé et non vérification authentique. La vérification forte demande une source indépendante ou un mécanisme cryptographique. Le guide signature et sceau explique ce supplément.
3. Vérifier une facture avec le QR
Le contrôle se fait toujours dans les deux sens : contenu scanné vers page, puis page vers document source.
- Regardez le document : émetteur, numéro, date, total et devise.
- Scannez avec une application qui affiche texte ou URL avant action.
- Comparez chaque valeur visible au payload.
- Pour un lien, vérifiez domaine, HTTPS et absence de faute de frappe.
- Ne saisissez aucun secret si la page n’est pas attendue.
- Si une preuve est annoncée, utilisez le validateur et les clés publiés par son émetteur.
- Comparez le statut obtenu à la facture exacte, pas seulement au montant.
- Conservez la référence de contrôle ou une preuve si le processus l’exige.
| Signal | Risque | Réaction |
|---|---|---|
| Domaine inconnu | Hameçonnage | Ne pas ouvrir ; contacter l’émetteur autrement |
| Montant QR différent | Substitution ou erreur | Suspendre paiement et rapprocher |
| QR illisible | Impression, taille ou contraste | Utiliser numéro lisible |
| Page sans référence facture | Résultat générique | Ne pas conclure à l’authenticité |
| Demande de mot de passe | Collecte de secret | Fermer et signaler |
| Statut DGI dans le PDF seulement | Mention non vérifiée | Exiger retour du canal officiel |
Testez l’impression en noir et blanc, la réduction, la photocopie et un écran de téléphone ordinaire. Gardez une zone blanche autour du code et un contraste sombre sur fond clair. Un QR décoratif énorme gaspille la page ; un QR trop petit échoue au moment utile.
Un QR n’est jamais officiel par sa forme
N’importe quel logiciel peut dessiner un QR. Seul un texte administratif, un domaine contrôlé, une clé ou une réponse officielle peut établir son rôle dans un dispositif DGI. N’inventez ni ordre de champs, ni jeton, ni statut national à partir d’exemples étrangers.
4. Le QR actuel de BelloPOS
BelloPOS imprime sur les factures et avoirs un résumé statique avec l’identifiant BELLOPOS, le numéro du document, la date, le total à deux décimales, MAD, l’ICE du vendeur et l’ICE du client disponible. Les séparateurs verticaux rendent le contenu simple à lire par un outil interne ou à comparer manuellement.
Ce payload ne contient actuellement ni URL, ni référence DGI, ni accusé, ni hash SHA-256. Il ne lance donc pas de paiement et ne prétend pas prouver l’acceptation administrative. L’empreinte du fichier électronique reste dans la file et le manifeste décrits par le guide SHA-256.
La page A4 garde les données lisibles, le cachet et la signature visuelle éventuels. Pro ajoute le flux complet des documents ; Go couvre les factures issues de la vente et la préparation électronique. Le QR sert de raccourci de lecture, pas de substitut au PDF, à l’XML ou au dépôt.
5. Checklist avant de déployer un QR
Écrivez sa spécification sur une page et faites-la relire par sécurité, comptabilité et utilisateurs.
- But unique et compréhensible pour le lecteur.
- Version et ordre des champs documentés.
- Aucune donnée secrète ou excessive.
- Numéro, date, total et devise restent lisibles à côté.
- Domaine complet et contrôlé si URL.
- Validation cryptographique réelle si le mot signé est utilisé.
- Taille, contraste et zone calme testés sur imprimantes réelles.
- Comportement prévu sans Internet ou si le domaine disparaît.
- Journal des changements de payload.
- Aucune mention DGI sans spécification et réponse officielles.
Versionnez le payload avant d’ajouter un champ. Sinon, une application ancienne peut lire le vendeur comme un montant ou ignorer une devise. Gardez des exemples de test anonymisés et vérifiez le lecteur après chaque changement.
Les erreurs à éviter
- Mettre une URL raccourcie opaque.
- Encoder des secrets ou informations inutiles.
- Retirer le numéro lisible de la page.
- Présenter un résumé comme preuve d’authenticité.
- Copier un payload fiscal étranger.
- Écrire validé DGI dans le QR sans retour.
- Imprimer sans zone blanche ni test réel.
- Changer l’ordre des champs sans version.
Questions fréquentes
Le QR code est-il obligatoire sur toutes les factures marocaines ?
Nous ne généralisons pas cette obligation sans texte officiel applicable au document et au contribuable. Vérifiez le CGI, votre secteur et toute spécification publiée.
Un QR prouve-t-il qu’une facture est authentique ?
Pas seul. Un texte brut se copie. Il faut une source de vérification, un mécanisme signé ou une réponse fiable correctement contrôlée.
Peut-il fonctionner sans Internet ?
Oui pour lire un texte embarqué. Un lien ou une recherche distante attend une connexion et un service disponible.
Que contient le QR BelloPOS ?
BELLOPOS, numéro, date, total, MAD, ICE vendeur et ICE client disponible. Il s’agit d’un résumé local.
Contient-il le hash SHA-256 ?
Pas dans le payload actuel. Le hash appartient à l’XML scellé et au manifeste d’export, pas au QR imprimé.
Le QR BelloPOS renvoie-t-il vers la DGI ?
Non. Il ne contient ni URL ni référence DGI et ne constitue pas un accusé. Le dépôt est une étape séparée.
À retenir
Un QR est un contenant, pas une preuve. Il devient utile quand son objectif, ses champs, sa version et son validateur sont explicites. Le QR BelloPOS accélère la comparaison du numéro, du total et des parties ; le PDF, l’XML, le hash et l’accusé conservent leurs rôles séparés.
Sources
Les chiffres et les règles cités ci-dessus viennent de ces pages, consultées à la date indiquée dans l’article.
- Code général des impôts 2026, DGI, consulté le 29 août 2026
- Note officielle de présentation de la loi 43-20 sur les services de confiance, DGSSI
- BelloPOS, facturation électronique et export UBL, consulté le 29 août 2026
- BelloPOS, documents commerciaux, cachet et signature, consulté le 29 août 2026
Testez le QR sur une vraie impression
Générez une facture BelloPOS, scannez-la avec deux téléphones, comparez le payload à la page et vérifiez que votre équipe ne le confond pas avec une validation DGI.
Pour aller plus loin
D’autres guides pratiques sur le même sujet :