Conformité des implémentations open source de Verifactu

Le régime espagnol Verifactu (RD 1007/2023, Orden HAC/1177/2024) impose aux logiciels de facturation d'émettre des enregistrements XML chaînés par empreinte (hash). Nous avons fouillé GitHub de manière systématique au moyen de ses API de recherche de code et de dépôts (1 008 dépôts, 29 491 fichiers XML), classé chaque fichier contenant un marqueur d'enregistrement Verifactu avant de le passer au linter, puis audité le corpus avec verifactu-lint 0.4.0, maintenu par les auteurs. Seuls 63 dépôts tiers publient de tels fichiers XML, et la plupart ne prétendent pas constituer un enregistrement valide : 81 des 191 fichiers uniques sont des modèles, pour la plupart des copies des exemples de la documentation de l'AEAT elle-même, dont les champs d'empreinte indiquent littéralement Huella ou AAAA. Sur les 35 fichiers qui se présentent bien comme des enregistrements valides, 10 (28,6 %, IC à 95 % 16,3–45,1) contiennent au moins un constat ERROR ; 6 dépôts sur 19 (31,6 %, IC à 95 % 15,4–54,0) en publient au moins un. Le défaut le plus fréquent, dans 5 des 19 dépôts, est une empreinte déclarée qui ne correspond pas à celle calculée à partir des champs de l'enregistrement. Les 22 constats ERROR ont été examinés un par un par l'agent de l'étude, fondé sur un LLM, les empreintes étant recalculées par une implémentation indépendante : aucun faux positif n'a été trouvé (0/22 ; les constats ne sont pas indépendants et, sur les 12 situations distinctes dépôt–règle, la borne supérieure à 95 % est de 24,3 %). 34 des 35 fichiers ne contiennent qu'un seul enregistrement : les exemples XML publics ne peuvent donc pas servir de référence pour la chaîne d'empreintes, et en dehors du dépôt de l'instrument lui-même, personne ne publie d'enregistrement délibérément invalide.