La DGFiP durcit la sécurité de l'espace pro et le mandat SEPA

La Direction Générale des Finances Publiques (DGFiP) a mis à jour ses deux guides de création d'un espace professionnel sur impots.gouv.frImpots, le guide mode expert et le guide mode simplifié, tous deux datés d'une dernière mise à jour du 11 septembre 2026Impots.

Les deux guides indiquent désormais que le mot de passe de connexion doit comporter au moins vingt caractèresImpots, avec une jauge de complexité affichée lors de la saisie. Les guides renvoient à l'outil de génération de mot de passe proposé par la Commission Nationale de l'Informatique et des Libertés (CNIL) à l'adresse cnil.fr/fr/generer-un-mot-de-passe-solide, et donnent une technique de mémorisation fondée sur une phrase, avec l'exemple « mon espace professionnel est davantage sécurisé si je choisis un mot de passe personnalisé de plus de 20 caractères ! » produisant mepedssjcumdppdpd20c!. Les recommandations sont d'utiliser un mot de passe différent par site, de ne jamais l'envoyer par courriel ni l'écrire, de le renouveler régulièrement, et de configurer le navigateur pour qu'il ne mémorise pas les mots de passe saisis.

Pour les utilisateurs du mode de paiement EDI, le guide expert indique désormais qu'en application des règles SEPA, les comptes bancaires de paiement utilisés en EDI doivent être présents et valides B2B dans l'espace professionnel de l'entrepriseImpots, et que le mandat B2B mentionnant la Référence Unique de Mandat (RUM) doit être enregistré par l'établissement teneur du compte avant tout premier paiementImpots. Ces utilisateurs doivent, si ce n'est déjà fait, créer un espace professionnel et adhérer à au moins un service « Payer ».

En mode simplifié, la déclaration d'un compte bancaire distingue deux cas. Lorsque la banque n'est éligible qu'à la norme de prélèvement SEPA CORE, les informations du titulaire sont saisies et les conditions acceptées avant validation. Lorsque la banque est éligible au SEPA B2B, la case de signature électronique est également cochée. Le guide présente ensuite l'écran du mandat SEPA : le mandat doit être transmis à l'établissement teneur du compte avant toute utilisation pour un paiementImpots, et le mandat interentreprises est édité via le lien « Editer le mandat interentreprises », qui affiche le mandat en français et en anglais. L'utilisateur doit l'adresser à la banque directement et sans délai, le compléter et le signer, et s'assurer que la banque a enregistré la RUM qui y figure avant tout premier paiement d'impôts auto-liquidés (TVA, PAS, IS, TS, CVAE et autres) au moyen de ce compteImpots. Pour des raisons de sécurité, seule une partie des références bancaires est pré-remplie sur le mandat édité.

Les guides rappellent le cadre procédural. En mode expert, un cabinet de gestion agissant pour plusieurs entreprises ne crée qu'un seul espace, depuis lequel il peut gérer jusqu'à 100 entreprises, et un même espace est généralement plafonné à 100 dossiers ou SIREN, au-delà desquels des ralentissements ou blocages peuvent survenir en période d'affluence. Le code d'activation du mode expert est envoyé par courriel et l'espace doit être activé sous 48 heures ; passé ce délai, le code est inopérant et toute la procédure doit être reprise. En mode simplifié, l'adresse électronique de l'entreprise est vérifiée au moyen d'un lien utilisable 72 heures au plus, puis l'espace est activé avec un code à usage unique envoyé par voie postale, valable 60 jours au plus ; à défaut de l'une ou l'autre étape, une nouvelle demande doit être formée. Les guides distinguent l'adresse de l'entreprise, choisie par le représentant légal pour la correspondance avec la DGFiP, de l'adresse personnelle de connexion du titulaire de l'espace ; une adresse ne sert qu'à un seul espace. Les collectivités territoriales et autres administrations doivent utiliser le mode expert, et la réponse à la question de confiance utilisée en cas d'oubli du mot de passe doit reproduire exactement les majuscules, accents et espaces saisis.

Fondement juridique : le règlement (UE) n° 260/2012 sur les virements et prélèvements SEPA, qui définit le mandat et exige des informations relatives au mandat pour chaque prélèvement ; les règles opérationnelles relatives aux comptes, mandats et délais sont celles énoncées dans les deux guides FOCUS de la DGFiP.