La France se prépare à la facture électronique : depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir en recevoir, et les PME devront en émettre à partir de septembre 2027. Le Portugal a pris un autre chemin, plus tôt. Plutôt que de faire transiter les factures par des plateformes, il contrôle le logiciel qui les fabrique. Résultat : chaque facture portugaise porte un code unique et un QR code lisible par n'importe qui. Et pourtant, une règle simple résiste depuis 2019 : signer les factures envoyées en PDF.
Comment le fisc portugais contrôle-t-il les factures ?
Par quatre mécanismes, mis en place par couches successives.
Un logiciel certifié. Un arrêté de 2010 a instauré la certification préalable des logiciels de facturation par l'administration fiscale. Chaque facture y est signée électroniquement avec une clé RSA, et cette signature porte notamment sur la date, le numéro, le montant total… et la signature de la facture précédente du même type et de la même série (Portaria n.º 363/2010). Les factures forment ainsi une chaîne : on ne peut pas en supprimer ou en insérer une sans la casser. Le logiciel certifié est aujourd'hui obligatoire pour les entreprises qui remplissent au moins une condition : un chiffre d'affaires supérieur à 50 000 euros l'année précédente, une comptabilité organisée, ou le simple fait de facturer avec un logiciel. Depuis le 1er juillet 2025, elles peuvent aussi utiliser à la place les applications de facturation gratuites de l'Autorité fiscale, l'AT (Autoridade Tributária).
Une transmission mensuelle. Depuis 2013, les données de chaque facture sont communiquées au fisc, qui les rend visibles sur sa plateforme e-Fatura. Pour les factures émises depuis le 1er janvier 2023, la communication doit se faire au plus tard le 5 du mois suivant, en temps réel par un service web, par un fichier fondé sur le format SAF-T (PT) ou par saisie directe sur le Portal das Finanças (Portal das Finanças).
Un code unique, l'ATCUD. Depuis le 1er janvier 2023, chaque série de factures est déclarée à l'AT avant utilisation ; l'AT renvoie un code de validation, et chaque facture porte, sur toutes ses pages, un identifiant de la forme « ATCUD:CodigodeValidação-NumeroSequencial » (Portaria n.º 195/2020, Portal das Finanças).
Un QR code, obligatoire depuis le 1er janvier 2022 sur les factures et autres documents fiscaux émis par un logiciel certifié (OCC, Portal das Finanças).
Que contient le QR code d'une facture portugaise ?
L'essentiel de la facture, sous une forme lisible par une machine. Les spécifications techniques publiées par l'AT énumèrent les champs obligatoires (Autoridade Tributária) :
- le numéro fiscal du vendeur et celui de l'acheteur, avec son pays ;
- le type de document, son état, sa date et son identifiant ;
- l'ATCUD ;
- le total des taxes et le total de la facture ;
- quatre caractères de la signature électronique de la facture ;
- le numéro de certificat du logiciel qui l'a produite.
S'y ajoutent l'espace fiscal et, selon le cas, les bases imposables et la TVA par taux, ainsi qu'un champ libre facultatif où le vendeur peut indiquer des informations de paiement, par exemple un IBAN. Chaque champ prend la forme « code:valeur », séparé du suivant par un astérisque, et le code doit mesurer au moins 30 millimètres de côté.
L'AT lui assigne deux buts : simplifier la communication des factures par les particuliers, qui s'en servent pour leurs dépenses déductibles de l'impôt sur le revenu, et renforcer le contrôle contre l'économie informelle et la fraude (Autoridade Tributária). Le client, ou un contrôleur, peut lire en un instant les données essentielles et les comparer à ce qui est imprimé. Et une facture fabriquée hors d'un logiciel certifié ne correspond à rien de ce que le fisc a reçu : ni série déclarée, ni facture communiquée. Le QR code ne garantit pas à lui seul l'authenticité, puisque n'importe qui peut en générer un, mais il rend la falsification plus laborieuse et plus facile à repérer lors d'un contrôle.
L'Espagne s'engage sur une voie voisine avec son système VeriFactu, que nous présentons dans l'épisode espagnol.
Et la facture envoyée en PDF ?
C'est le paradoxe portugais. Un décret-loi de 2019 exige qu'une facture électronique garantisse l'authenticité de son origine et l'intégrité de son contenu ; il les tient pour garanties en cas de signature électronique qualifiée, de cachet électronique qualifié ou d'échange de données informatisé (OCC). Un simple PDF envoyé par e-mail ne remplit aucune de ces conditions.
Depuis la fin de 2020, l'entrée en vigueur de cette exigence pour les PDF est repoussée d'année en année : d'abord par décisions ministérielles, puis par les lois de budget (OCC, Marcaweb). La loi de budget pour 2026 dispose : « Até 31 de dezembro de 2026 são aceites faturas em ficheiro PDF, sendo consideradas como faturas eletrónicas para todos os efeitos previstos na legislação fiscal », jusqu'au 31 décembre 2026, les factures en fichier PDF sont acceptées et considérées comme des factures électroniques à tous les effets prévus par la législation fiscale (Lei n.º 73-A/2025, article 95.º, n.º 3).
En droit, l'obligation de signature qualifiée s'applique donc au 1er janvier 2027. Mais la proposition de budget pour 2027, déposée au Parlement le 8 octobre 2026, prévoit un nouveau report d'un an, en reprenant la même formule avec la date du 31 décembre 2027 (OCC, Marcaweb). Le vote final global est prévu le 24 novembre 2026, et le texte peut changer d'ici là ; il devra ensuite être promulgué et publié. Un prestataire web portugais résume la méthode : l'État reporte l'exigence « um ano de cada vez », une année à la fois.
Pourquoi tant de résistance ? Les sources consultées ne l'expliquent pas officiellement. On peut en revanche constater la difficulté : signer chaque facture avec un certificat qualifié suppose un équipement et un abonnement que beaucoup de petites entreprises n'ont pas, alors même que le contrôle à la source, par le logiciel certifié et la transmission mensuelle, existe déjà.
Ce dispositif a-t-il fait disparaître les arnaques ?
Non. Elles se sont déplacées vers l'usurpation du fisc lui-même. En 2021, l'AT alertait contre des e-mails portant une pièce jointe nommée « PortaldasFinancas.pdf » ou « Finanças.pdf », qui demandait de cliquer sur un lien : « Em caso algum deverá abrir o ficheiro em anexo e efetuar essa operação », en aucun cas il ne faut ouvrir la pièce jointe ni effectuer cette opération (Portal das Finanças). Les alertes se succèdent depuis, avec la même formule, « Estas mensagens são falsas e devem ser ignoradas », ces messages sont faux et doivent être ignorés ; en juillet 2026, un faux e-mail visait les indépendants au sujet de « reçus verts » non émis (Portal das Finanças, Observador).
L'hameçonnage reste le premier type d'incident traité par l'équipe nationale de réponse aux incidents, CERT.PT : 790 incidents d'hameçonnage par e-mail ou SMS en 2024, soit près de 29 % du total (Tek Sapo). Les factures, elles, restent la cible des fraudes au faux RIB, comme partout. Le QR code peut certes porter un IBAN, dans son champ libre, mais c'est le vendeur qui l'y inscrit : sur une facture falsifiée, il dira ce que le fraudeur a voulu.
Que peut en retenir un entrepreneur français ?
Le contrôle à la source n'a pas tué le PDF. Même dans un pays où chaque facture est chaînée, codée et transmise au fisc, le PDF reste le format d'échange quotidien, faute d'une signature simple à généraliser. En France, la facture électronique au sens de la réforme est un fichier structuré (Factur-X, UBL ou CII) qui transite par une plateforme agréée ; le PDF seul ne suffira plus pour les PME en septembre 2027 (voir Facturer dès le premier client et notre article sur la facture électronique).
Un QR code sur une facture n'est pas une preuve. Au Portugal, il est encadré par l'État ; ailleurs, il peut mener n'importe où. Avant de scanner un QR code sur une facture reçue, regardez où il mène, comme nous l'expliquons dans QR codes piégés dans les PDF.
Une pièce jointe qui imite le fisc s'inspecte avant de s'ouvrir. Analyser un PDF y détecte, dans votre navigateur et sans l'envoyer à un serveur, les mécanismes actifs (JavaScript, actions automatiques à l'ouverture, lancement de programme, fichiers joints) et signale la présence de liens, sans en afficher l'adresse. Il ne lit pas les QR codes et ne vérifie pas les signatures ; un fichier sans indice peut toujours contenir un lien d'hameçonnage.
PDFKami ne produit pas de factures, n'appose ni signature ni cachet et ne lit pas les QR codes fiscaux portugais ; il sert à inspecter et préparer des PDF sans les téléverser.
Lexique
AT (Autoridade Tributária e Aduaneira) : l'administration fiscale et douanière portugaise.
Logiciel certifié : logiciel de facturation agréé par l'AT, qui signe et chaîne chaque facture.
ATCUD : code unique de document, combinant un code de validation de la série délivré par l'AT et le numéro de la facture.
e-Fatura : plateforme du fisc portugais où apparaissent les données des factures communiquées par les entreprises.
Signature électronique qualifiée : niveau le plus élevé de signature électronique au sens du règlement européen eIDAS, équivalent juridique d'une signature manuscrite.
SAF-T (PT) : fichier normalisé d'audit fiscal, que les entreprises portugaises produisent à partir de leur logiciel.
Inspecter une pièce jointe suspecte sans l'envoyer : PDFKami, dans votre navigateur.