Authenticité des codes QR pour les passeports numériques de produit en 2026

*** > EN BREF : > > - Un code QR apposé sur un produit n’est authentique que s’il renvoie vers un passeport numérique de produit complet, signé numériquement et enregistré auprès du registre central de l’UE. > - Le respect des normes de l’UE, les signatures cryptographiques et la gestion continue du cycle de vie sont essentiels pour vérifier l’authenticité d’un code QR au-delà du simple scan. ***

Un code QR apposé sur l’étiquette d’un produit est authentique lorsqu’il renvoie de manière fiable vers un passeport numérique de produit qui respecte les exigences juridiques et techniques de l’UE, et non simplement lorsqu’il peut être scanné. Cette distinction est plus importante que ne le pensent la plupart des marques. Un code peut être parfaitement lisible au scan tout en échouant aux contrôles d’authenticité si les données sous-jacentes ne comportent pas de signature électronique qualifiée, si des champs obligatoires sont absents ou si le code n’a pas été enregistré auprès du registre central de l’UE. Dans le cadre de l’UE, l’authenticité comporte plusieurs niveaux : - Conformité physique : Le code QR lui-même doit respecter les spécifications techniques relatives à la taille, à la correction d’erreurs, à la durabilité et à la symbologie prévues par EN 18220:2026, la norme harmonisée applicable aux supports de données, adoptée par la [Commission Implementing Decision (EU) 2026/1736]. - Intégrité des données : L’enregistrement du passeport vers lequel renvoie le code doit être complet, signé cryptographiquement et vérifiable, soit par l’intermédiaire du registre central de l’UE, soit au moyen de la technologie des justificatifs vérifiables. - Reconnaissance par le registre : Seuls les passeports enregistrés auprès du registre central de l’UE, confirmés comme complets et portant une signature électronique qualifiée valide, reçoivent un identifiant persistant unique que les systèmes de surveillance du marché peuvent contrôler. - Interopérabilité : Le code QR doit encoder une URL GS1 Digital Link afin que les infrastructures de l’UE, les systèmes douaniers et les outils de vérification tiers puissent la résoudre de manière cohérente. - Validité continue : L’authenticité n’est pas un état définitif. Elle doit être maintenue pendant tout le cycle de vie du produit, notamment lors des mises à jour, des transferts de propriété et de la revente. La présence d’un code QR sur un produit ne garantit pas automatiquement la conformité réglementaire. L’authenticité réside dans l’intégrité des données liées et dans la vérification par le registre, et non dans le seul marquage physique.

La Commission Implementing Decision (EU) 2026/1736, publiée le 14 juillet 2026, a officiellement adopté six normes harmonisées pour les passeports numériques de produit au titre du Regulation (EU) 2024/1781. EN 18220:2026 concerne spécifiquement les supports de données et établit la base technique applicable aux codes QR utilisés dans les passeports numériques de produit. Les marques dont les codes sont conformes à ces normes bénéficient d’une présomption légale de conformité aux articles 10 et 11 de l’ESPR, ce qui constitue la voie la plus directe pour démontrer la conformité sans effectuer de tests supplémentaires. L’ensemble complet des normes adoptées comprend : - EN 18216:2026 — Protocoles d’échange de données - EN 18219:2026 — Identifiants uniques - EN 18220:2026 — Supports de données (codes QR et équivalents) - EN 18221:2026 — Stockage, archivage et persistance des données - EN 18222:2026 — API pour la gestion du cycle de vie des passeports - EN 18223:2026 — Interopérabilité des systèmes L’article 11 de l’ESPR impose également que les supports de données restent lisibles au scan pendant toute la durée de vie prévue du produit, ce qui a une incidence directe sur la qualité d’impression, le choix des matériaux et le niveau de correction d’erreurs. > Point de contrôle réglementaire : Le registre central de l’UE vérifie automatiquement chaque passeport soumis, en confirmant sa complétude sémantique, son niveau de granularité correct (modèle, lot ou article) et la présence d’une signature électronique qualifiée valide au titre du Regulation (EU) No 910/2014. Une vérification réussie déclenche la génération d’un identifiant d’enregistrement persistant unique. Sans cet identifiant, un passeport ne dispose d’aucune valeur juridique au regard des règles de surveillance du marché de l’UE. Les marques de la mode et des biens de consommation doivent traiter cette étape de vérification comme une étape bloquante, et non comme une formalité. Les opérateurs économiques sont juridiquement responsables de l’exactitude des données qu’ils enregistrent, et l’horodatage du registre devient un élément du justificatif d’enregistrement.

L’aspect technique de l’authentification des codes QR va bien au-delà de la simple possibilité de scanner un code. Plusieurs spécifications interdépendantes déterminent si les données liées peuvent être considérées comme fiables. Exigences physiques applicables aux codes QR au titre de l’article 11 de l’ESPR et des bonnes pratiques GS1 : - Symbologie : QR Code (ISO/IEC 18004) ou Data Matrix (ISO/IEC 16022) - Taille minimale recommandée pour garantir un scan fiable sur les surfaces des produits - Correction d’erreurs à un niveau suffisant pour maintenir la lisibilité pendant tout le cycle de vie du produit - Contenu : une URL GS1 Digital Link encodant le GTIN du produit et, lorsque cela est requis, le numéro de série - Durabilité : le code doit rester lisible au scan dans les conditions environnementales prévues pendant toute la durée de vie du produit La vérification cryptographique s’effectue au niveau des données. La [technologie des justificatifs vérifiables] permet de créer des déclarations d’authenticité des produits décentralisées et sécurisées par cryptographie, qui peuvent être vérifiées indépendamment au-delà des frontières et dans les chaînes d’approvisionnement, sans dépendre d’une base de données centrale unique. En 2025, le W3C a publié Verifiable Credentials 2.0 en tant que norme web complète, établissant le format de justificatif permettant des déclarations infalsifiables et vérifiables par machine au sujet des produits circulant dans une chaîne d’approvisionnement. Grâce à JSON-LD et aux normes du W3C, les données du passeport peuvent être structurées de manière à ce qu’un inspecteur des douanes à Rotterdam puisse vérifier un justificatif émis par un fabricant au Vietnam, sans qu’aucune des deux parties n’ait besoin de partager une plateforme. La vérification est mathématique et non fondée sur la confiance. Vulnérabilités courantes et mesures d’atténuation : - Clonage : Un code QR contrefait peut copier l’URL, mais il ne peut pas reproduire la signature cryptographique de l’enregistrement de passeport sous-jacent. Les signatures électroniques qualifiées permettent de détecter les codes clonés. - Altération : Toute modification des données du passeport invalide la signature et signale que l’enregistrement a été modifié. - Données obsolètes : Les marques doivent maintenir le DPP actif à jour. Une version mise en cache ou obsolète peut entraîner des échecs de vérification, même lorsque le code lui-même est valide. Conseil pratique : Testez chaque code QR sur au moins trois modèles différents de smartphone avant l’impression et effectuez un test du résolveur GS1 pour confirmer que l’URL Digital Link redirige correctement les demandes provenant à la fois d’un navigateur et d’un système lisible par machine. La vérification côté utilisateur est simple : l’appareil photo de tout smartphone standard résout l’URL GS1 Digital Link vers une page de passeport lisible par un humain. Les autorités de surveillance du marché envoient des requêtes HTTP lisibles par machine à la même URL et reçoivent des données JSON-LD structurées, en utilisant la négociation de contenu HTTP pour servir les deux publics depuis un même point d’accès.

L’authenticité ne se met pas en place une seule fois au lancement. Pour les marques de la mode et des biens de consommation, elle nécessite une gouvernance intégrée à chaque étape du cycle de vie du produit. Priorités opérationnelles : - Intégrer des flux de travail de signature électronique qualifiée à la création du passeport et à chacune de ses mises à jour ultérieures, afin que chaque version comporte un horodatage vérifiable. - Tenir un historique complet des versions du passeport, en indiquant qui a approuvé les modifications et à quel moment, afin de répondre aux demandes de surveillance du marché. - Enregistrer chaque passeport auprès du registre central de l’UE avant la mise du produit sur le marché de l’UE et conserver le justificatif d’enregistrement comme preuve juridique. - Choisir des partenaires technologiques dont les plateformes génèrent des URL conformes à GS1 Digital Link et prennent en charge la diffusion de données JSON-LD, car les codes non conformes ne peuvent pas être reconnus par l’infrastructure de surveillance de l’UE. - Élaborer des protocoles de réémission pour les codes QR apposés sur des produits exposés à la chaleur, à l’humidité, à l’abrasion ou aux UV, en particulier pour les textiles, pour lesquels des étiquettes tissées ou une impression très résistante peuvent être nécessaires. Conseil pratique : Planifiez des audits périodiques de la possibilité de lecture des codes QR pour les produits déjà présents sur le marché, en particulier pour les collections de mode saisonnières stockées dans des entrepôts. Un code qui se scannait parfaitement au moment de la production peut se dégrader avant que le produit n’atteigne le consommateur. Des plateformes comme DPP Grid combinent l’extraction de données assistée par l’IA, des flux de travail de validation manuelle et une publication prête pour les exigences de conformité afin d’aider les marques à maintenir une infrastructure d’authenticité des produits et de revente pendant tout le cycle de vie du produit. La plateforme prend en charge les mises à jour des passeports, la gestion des éléments probants et des fonctionnalités destinées aux consommateurs, notamment le transfert de propriété et la revente, le tout associé au même code QR authentifié. Les marques peuvent également utiliser des données de passeport vérifiées pour soutenir les programmes de reprise et les obligations d’économie circulaire au titre de l’ESPR et du GPSR. La vérification automatisée par le registre réduit le risque pour la marque en détectant les lacunes dans les données avant la mise en ligne d’un passeport. Il s’agit d’un avantage opérationnel important : un rejet par le registre coûte bien moins cher qu’une constatation de la surveillance du marché une fois le produit déjà distribué.

L’authenticité des codes QR au titre de la réglementation de l’UE de 2026 repose sur l’application conjointe de critères juridiques, techniques et cryptographiques. Un code lisible au scan constitue le point de départ, et non le point d’arrivée. - L’authenticité est déterminée par la conformité à EN 18220:2026, les signatures électroniques qualifiées et l’enregistrement auprès du registre central de l’UE, et non par la conception visuelle du code QR. - Les justificatifs vérifiables et les normes JSON-LD permettent une vérification décentralisée que les douanes, les consommateurs et les autorités de surveillance du marché peuvent utiliser indépendamment. - Les marques portent la responsabilité juridique de l’exactitude des données et doivent maintenir l’authenticité lors de chaque mise à jour du passeport et à chaque étape du cycle de vie du produit. - Les codes QR non conformes ou clonés exposent les marques à un échec de la surveillance du marché, au retrait des produits et à une perte de confiance des consommateurs sur les marchés de la revente. - La plateforme de DPP Grid aide les marques à créer des passeports numériques de produit étayés par des éléments probants et dotés de codes QR sécurisés, en soutenant la préparation à l’enregistrement et la gestion continue du cycle de vie, sans prétendre garantir automatiquement la conformité.

Les marques de la mode et des biens de consommation qui se préparent aux exigences de l’UE relatives aux passeports numériques de produit sont confrontées à un véritable défi opérationnel : le niveau technique requis pour créer des passeports authentiques et prêts pour le registre est élevé, et les données concernées sont fragmentées entre les fournisseurs, les usines et les équipes internes. DDP Grid est conçu précisément pour cette situation. La plateforme permet aux marques d’importer des produits depuis Shopify, un fichier CSV ou une API, de recueillir les données des fournisseurs, de téléverser les éléments probants à l’appui et de publier des pages de passeport permanentes dotées de codes QR qui respectent les exigences techniques de l’UE. L’extraction assistée par l’IA accélère la collecte des données ; la revue humaine contribue à maintenir l’exactitude de l’enregistrement. Les marques bénéficient d’un historique d’audit complet, d’un historique des versions et de l’infrastructure nécessaire pour rester connectées aux produits lors de la revente, de la reprise et du transfert de propriété. Commencez dès aujourd’hui à créer vos passeports numériques de produit prêts pour l’UE et découvrez comment DDP Grid organise les éléments probants dont votre équipe chargée de la conformité a besoin.

Un code QR de DPP est authentique lorsqu’il encode une URL GS1 Digital Link, respecte les spécifications techniques de EN 18220:2026 et renvoie vers un enregistrement de passeport portant une signature électronique qualifiée valide et enregistré auprès du registre central de l’UE.

Non. Un code peut être scanné tout en ne respectant pas les exigences d’authenticité si le passeport auquel il renvoie ne contient pas les champs de données obligatoires, une signature électronique qualifiée ou un enregistrement auprès du registre central de l’UE.

EN 18220:2026 est la norme harmonisée applicable aux supports de données des DPP, adoptée au titre de la Commission Implementing Decision (EU) 2026/1736. Sa conformité fournit une présomption légale de conformité aux articles 10 et 11 de l’ESPR.

Les justificatifs vérifiables intègrent directement des signatures cryptographiques dans l’enregistrement du passeport, ce qui rend toute altération détectable et permet aux services douaniers ou aux consommateurs de vérifier l’authenticité sans accéder à la propre base de données de la marque.

Testez les codes sur plusieurs modèles de smartphone, effectuez un test du résolveur GS1 pour confirmer le comportement correct de l’URL Digital Link, validez la sortie JSON-LD avec un validateur de schéma et confirmez que le passeport est enregistré auprès du registre central de l’UE avant sa mise sur le marché.

L’authenticité des codes QR au titre de la réglementation de l’UE de 2026 exige une conformité physique à EN 18220:2026, l’intégrité cryptographique des données au moyen de signatures électroniques qualifiées et la confirmation de l’enregistrement auprès du registre central de l’UE. | Point | Détails | | --- | --- | | L’authenticité repose sur les données | Un code QR lisible au scan ne suffit pas ; le passeport auquel il renvoie doit porter une signature électronique qualifiée et passer la vérification du registre central de l’UE. | | EN 18220:2026 fixe le niveau d’exigence | Cette norme harmonisée, adoptée le 14 juillet 2026, définit les exigences techniques applicables aux supports de données des DPP et accorde une présomption de conformité à l’ESPR. | | Les justificatifs vérifiables permettent une confiance transfrontalière | Les justificatifs cryptographiques permettent aux services douaniers, aux consommateurs et aux autorités de vérifier les données du passeport de manière indépendante, sans accéder aux systèmes de la marque. | | La gestion du cycle de vie est obligatoire | Les marques doivent maintenir la lisibilité au scan, mettre à jour les enregistrements des passeports avec des signatures valides et réémettre les codes qui se dégradent pendant la durée de vie du produit. | | DDP Grid prend en charge les passeports prêts pour le registre | DDP Grid aide les marques à organiser les éléments probants, à gérer les données des fournisseurs et à publier des passeports munis de codes QR conçus pour être soumis au registre central de l’UE. |

• Codes QR de passeport produit - DPP Grid – Chaque produit. Un passeport de confiance. - DPP Grid – Chaque produit. Un passeport de confiance. - Infrastructure d’authenticité des produits et de revente