Comment mettre en place votre propre point d'accès Peppol : le gérer vous-même ou externaliser son exploitation

Certaines organisations doivent assumer le rôle de prestataire de services Peppol en leur propre nom : un éditeur de logiciels qui pénètre un marché soumis à des obligations réglementaires, un prestataire de services qui sollicite une accréditation nationale, ou encore un groupe souhaitant exercer un contrôle total sur son infrastructure « e-facturation ». Elles comparent généralement deux options. La première consiste à mettre en place et à exploiter soi-même le point d’accès, par exemple à l’aide d’un logiciel open source tel qu’Oxalis ou phase4. La seconde consiste à externaliser l’exploitation via un point d’accès hébergé, dans le cadre duquel votre organisation détient le rôle et les certificats tandis qu’un autre prestataire assure l’exploitation de l’infrastructure.

Si vous avez besoin d'utiliser Peppol pour un grand nombre de clients au sein de votre propre produit, il se peut que vous n'ayez pas du tout besoin du rôle de prestataire de services. Avec « Embedded Peppol », c'est Qvalia qui assume ce rôle et gère le point d'accès ; vous enregistrez et connectez vos clients via une seule API, chacun disposant de sa propre adresse Peppol ID si nécessaire.

Ce guide compare les différentes options disponibles à compter d'octobre 2026 : ce qui relève de votre responsabilité dans chaque cas, ce que couvre le logiciel open source pour points d'accès et ce qu'il vous laisse à gérer, les exigences réseau qui entreront en vigueur en 2027, ainsi que les conditions supplémentaires imposées par l'accréditation nationale.

Assumer ce rôle implique de signer un contrat de prestataire de services, de respecter les exigences d’OpenPeppol en matière de sécurité et de reporting, et de rendre compte à l’autorité Peppol compétente du trafic que vous acheminez. Si votre objectif est de permettre à vos clients d’envoyer et de recevoir des factures électroniques via votre produit, vous pouvez le faire sans devenir prestataire de services. Avec la solution « Embedded Peppol » ou une solution en marque blanche plateforme, c’est Qvalia qui assume ce rôle et les obligations liées à la certification.

Il peut être intéressant d'assumer ce rôle lorsqu'une autorité de régulation, un contrat ou votre modèle économique l'exige. Citons par exemple les réglementations nationales, comme celle des Émirats arabes unis, où le prestataire accrédité doit être la partie officiellement enregistrée, ainsi que les organisations qui commercialisent l'accès à Peppol comme un service à part entière. La présentation des partenaires compare les trois modèles de prestation.

La question déterminante est souvent celle du marché. Lorsque Qvalia dispose de l'accréditation dont vos clients ont besoin, Embedded Peppol prend le relais. Lorsque la réglementation nationale exige que vous soyez vous-même l'entité accréditée, ou lorsque vous vendez un accès Peppol sous votre propre identité, vous devez endosser ce rôle.

Que vous gériez vous-même le point d'accès ou que vous utilisiez un point d'accès hébergé, ces obligations incombent à votre entité juridique :

Les frais d'OpenPeppol sont identiques dans les deux cas. Pour une entreprise comptant entre 11 et 50 salariés et relevant des catégories « Access Point » et « SMP », OpenPeppol prévoit des frais d'adhésion de 2 100 euros, une cotisation annuelle de 3 700 euros, ainsi que des frais de certification de 2 500 euros facturés lors de la première certification, puis ajoutés à la cotisation annuelle (frais OpenPeppol).

Plusieurs projets open source implémentent le profil Peppol AS4, le protocole utilisé par les points d'accès pour échanger des documents. Ils se distinguent par l'étendue de leurs fonctionnalités au-delà du simple transport et par la manière dont ils s'intègrent à vos systèmes.

Oxalis est largement utilisé au sein du réseau Peppol. Il a été initialement développé par SendRegning, puis maintenu par l’agence norvégienne Difi jusqu’en mars 2020. La branche classique Oxalis-AS4 est gelée à la version 7.2.0, et le projet oriente les utilisateurs vers Oxalis-NG, qui a atteint la version 1.5.0 en septembre 2026. Les notes de mise à jour de l'release e indiquent ce qu'implique la mise à jour d'un point d'accès : la prise en charge du MLS, la suppression de l'infrastructure PKI Peppol G2 après la révocation de ces certificats par OpenPeppol le 20 avril 2026, et de nouveaux domaines par défaut, OpenPeppol prenant le relais de la Commission européenne pour la gestion du SML.

Sources : les dépôts des projets eux-mêmes et l’étude comparative des solutions AS4 pour Peppol réalisée par KoSIT (août 2023). Vérifiez l’ release actuelle de chaque projet avant de faire votre choix.

Un point d'accès en production nécessite davantage qu'un simple transport AS4. Selon le logiciel que vous choisissez, certains de ces éléments sont inclus, tandis que d'autres vous incombent de les mettre en place et de les exploiter :

Pour une équipe qui exploite déjà des services Java et une infrastructure PKI en production, tout cela n'a rien d'inhabituel. Il s'agit d'un engagement opérationnel permanent plutôt que d'un projet ponctuel.

Sources : le plan de mise en œuvre progressive du MLS d'OpenPeppol (juillet 2026), le calendrier relatif à la norme ISO/IEC 27001 publié par Peppol Authority Italy et la spécification relative aux rapports statistiques des utilisateurs finaux. Vérifiez les plans actuels d'OpenPeppol avant de vous engager sur un calendrier.

OpenPeppol définit les normes de base. De nombreux marchés y ajoutent leurs propres exigences, qui s'appliquent quel que soit le logiciel utilisé pour faire fonctionner le point d'accès.

e-facturation aux Émirats arabes unis s'effectue par l'intermédiaire de prestataires de services agréés par le ministère des Finances en vertu de la décision ministérielle n° 64 de 2025, telle que modifiée par la décision ministérielle n° 56 de 2026. Les candidats doivent notamment disposer d’une société aux Émirats arabes unis dotée d’un capital libéré d’au moins 50 000 AED, être titulaires des certifications ISO 22301 et ISO/IEC 27001 pour le produit qu’ils fournissent, souscrire une assurance responsabilité civile professionnelle, une assurance contre la criminalité et la cyberfraude, et avoir mené à bien les procédures d’intégration et les tests de production auprès de l’Autorité fiscale fédérale. L’utilisation d’un produit tiers est autorisée, mais le candidat assume l’entière responsabilité du service. Consultez le guide « e-facturation » des Émirats arabes unis.

La réforme française est entrée en vigueur le 1er septembre 2026 : toute entreprise assujettie à la TVA doit être en mesure de recevoir des factures électroniques, tandis que les petites et micro-entreprises devront commencer à en émettre à compter du 1er septembre 2027. Les factures sont échangées via des « plateformes agréées », que l’administration fiscale (DGFiP) enregistre dès lors qu’elles satisfont aux exigences réglementaires et ont passé avec succès les tests techniques et d’interopérabilité. La DGFiP publie la liste des plateformes enregistrées (ministère de l’Économie, janvier 2026). Elle fait également office d’autorité Peppol pour la France et définit ses propres exigences pour les prestataires de services opérant sur son territoire. Une « plateforme » enregistrée ou en cours d’enregistrement en tant que «plateforme agréée» peut exploiter son point d’accès sur l’infrastructure de Qvalia en tant que prestataire de services. Pour en savoir plus, consultez notre page consacrée à la France : e-facturation .

À compter du 1er janvier 2027, l’ e-facturation s nationales transiteront par des prestataires de services de remise certifiés figurant sur la liste de l’Administration financière. Une « plateforme » qui ne souhaite pas obtenir sa propre certification peut s’enregistrer en tant qu’intermédiaire de services de remise auprès d’un prestataire certifié, lequel assumera alors la responsabilité du respect des obligations de cet intermédiaire.

L'Autorité norvégienne Peppol exige des prestataires qu'ils vérifient l'identité des utilisateurs finaux par rapport au Registre central de coordination des entités juridiques, qu'ils s'assurent que la personne signant au nom d'un utilisateur final est habilitée à le faire, et qu'ils communiquent des données statistiques. Les destinataires du secteur public doivent être enregistrés dans ELMA, la plateforme centrale SMP gérée par Digdir. Pour en savoir plus, consultez notre article sur ELMA.

Oman gère son propre système d'accréditation pour les prestataires du service Fawtara, décrit sur notre page « Oman » e-facturation .

L'Administration fiscale australienne (ATO) est l'autorité Peppol en Australie et est chargée d'accréditer les points d'accès et les prestataires de services de messagerie (SMP). Les candidats signent le contrat de prestataire de services Peppol et se soumettent à un processus de diligence raisonnable, comprenant notamment une vérification du casier judiciaire et la souscription d'une assurance responsabilité civile professionnelle d'au moins 1 million de dollars australiens par sinistre. Ils doivent remplir le questionnaire de sécurité relatif à la facturation électronique A-NZ, soit sous forme d’auto-évaluation, soit dans le cadre d’un audit indépendant conforme à la norme ISO/IEC 27001 ou au Manuel de sécurité de l’information (ISM) australien ou néo-zélandais, et réussir le banc d’essai Peppol, y compris les tests d’interopérabilité PINT A-NZ. L’accréditation fait l’objet d’un réexamen annuel (processus d’accréditation de l’ATO). En savoir plus sur PINT A-NZ.

L'Autorité Peppol de Nouvelle-Zélande relève du ministère des Entreprises, de l'Innovation et de l'Emploi (MBIE). L'Australie et la Nouvelle-Zélande ont harmonisé leurs processus d'accréditation : un prestataire accrédité en Australie peut demander une accréditation réciproque auprès de l'Autorité Peppol de Nouvelle-Zélande. Les deux pays utilisent la norme PINT A-NZ.

À Singapour, seuls les fournisseurs de points d’accès agréés par l’IMDA sont autorisés à opérer sur le réseau InvoiceNow, et ils sont soumis aux exigences Peppol définies par l’IMDA. L'administration fiscale IRAS met progressivement en place l'obligation « GST InvoiceNow » pour les entreprises assujetties à la GST : les nouvelles entreprises s'enregistrant volontairement à partir du 1er avril 2026, puis les entreprises existantes en fonction de leur chiffre d'affaires à partir du 1er avril 2028, jusqu'à ce que toutes soient concernées le 1er avril 2031. Une copie des données de facturation est transmise à l'IRAS via le réseau (FAQ de l'IRAS, septembre 2026). En savoir plus sur PINT SG.

Le monter soi-même est une bonne option lorsque :

Un point d'accès hébergé est indiqué dans les cas suivants :

Peppol intégré est adapté dans les cas suivants :