SÉCURITÉ & PREUVE
Un livre de police n’a de valeur que si l’on peut se fier à ce qu’il contient. C’est pourquoi chaque écriture validée est chaînée par empreinte cryptographique SHA-256, scellée chaque jour, puis ancrée hors de nos serveurs auprès de services d’horodatage indépendants. Chaque mécanisme laisse une trace datée que vous pouvez contrôler — y compris sans nous.
VOS DONNÉES
Ces mécanismes contribuent à la chaîne de preuve ; ils ne constituent ni une certification officielle, ni une garantie automatique de conformité. Chaque protection a un périmètre et un état — une date, un résultat — qui se lisent et se vérifient. C’est précisément ce qui rend l’ensemble crédible face à un contrôle.
LE CALCUL, EN CLAIR
« Chaîné en SHA-256 » ne veut rien dire tant qu’on n’a pas montré le calcul. Le voici, dans l’ordre où il se produit, avec les mots de tous les jours à côté des mots techniques. Rien n’y est secret : c’est même la condition pour qu’un tiers puisse le refaire.
Les informations de l’écriture sont d’abord triées par ordre alphabétique puis écrites dans un format texte unique. Ce rangement s’appelle une forme canonique : il garantit que deux ordinateurs qui partent du même contenu obtiennent exactement le même texte, donc exactement la même empreinte. Sans lui, un simple changement d’ordre suffirait à faire échouer un contrôle honnête.
Le numéro suivant est attribué sous verrou : une seule écriture à la fois peut le prendre, même si dix personnes enregistrent en même temps. Si le compteur et la dernière écriture ne concordent pas, l’enregistrement est refusé plutôt que corrigé en silence. Le numéro d’ordre est ce que l’article R. 321-4 du code pénal demande de porter au registre.
L’empreinte de l’écriture est le résultat d’un calcul SHA-256 portant sur six éléments assemblés : l’empreinte de l’écriture précédente, le contenu rangé à l’étape 1, le numéro d’ordre, l’identifiant de l’établissement, le type d’événement et la date-heure. Changer un seul caractère de l’un de ces six éléments produit une empreinte totalement différente : c’est ce qui rend la falsification visible.
Puisque l’empreinte précédente entre dans le calcul, chaque écriture tient la suivante. La toute première écriture d’un livre part d’une empreinte conventionnelle composée de soixante-quatre zéros, appelée genèse. Chaque livre — le registre des objets et le livre de caisse — a sa propre suite de numéros et sa propre genèse : on ne mélange jamais deux livres dans une même chaîne.
Le scellement quotidien construit une racine de Merkle : on apparie les empreintes deux à deux, on calcule l’empreinte de chaque paire, et on recommence sur le résultat jusqu’à ce qu’il n’en reste qu’une. Quand le nombre est impair, la dernière est appariée avec elle-même. Cette unique empreinte résume tout le registre jusqu’au dernier numéro scellé : la modifier supposerait de refaire tout l’arbre.
Chaque sceau porte l’empreinte du sceau précédent. Retirer une journée du milieu casserait donc deux choses à la fois : la racine de Merkle recalculée et la continuité des sceaux. Les deux contrôles sont indépendants, et chacun suffit à révéler la manipulation.
Le sceau du jour est déposé auprès de tiers : une preuve OpenTimestamps, ancrée dans la chaîne Bitcoin, et des jetons d’horodatage RFC 3161 demandés à des autorités indépendantes. À partir de là, la date ne repose plus sur notre parole : elle repose sur des registres que nous ne contrôlons pas.
La vérification complète refait les calculs des étapes 1 à 7 pour tous les livres, tous les sceaux et tous les journaux, puis écrit un rapport qui porte l’empreinte du rapport précédent. Remplacer discrètement un ancien rapport casserait la suite : le contrôle est lui-même sous contrôle.
Le chaînage rend une modification détectable ; il ne la rend pas impossible. C’est pour cela que seize déclencheurs installés dans la base elle-même — deux sur chacune des huit tables du registre — refusent qu’on supprime une écriture ou qu’on la réécrive, y compris en dehors de l’application. Et parce qu’un réglage peut être retiré sans qu’on s’en aperçoive, le contrôle ne se contente pas de lire la liste des protections : il tente réellement une modification interdite et vérifie qu’elle est refusée. Une sonde qui essaie vaut mieux qu’une case cochée.
Toutes les anomalies ne se valent pas, et les confondre serait malhonnête. Une anomalie critique — chaîne rompue, racine de Merkle qui ne correspond plus, protection de base retirée — signifie qu’une falsification est prouvée : le registre se verrouille et une alerte part. Un avertissement — par exemple un scellement de plus d’un jour dont l’ancrage externe manque encore — signale un retard de preuve, pas une altération : il est écrit tel quel, sans verrouillage et sans dramatisation.
LE DISPOSITIF
De la validation à la preuve externe, une écriture traverse cinq protections successives. Aucune ne dépend de la bonne foi de quiconque — pas même de la nôtre.
Une écriture validée n’est jamais réécrite. Des protections placées dans la base de données elle-même rejettent toute commande de modification ou de suppression directe. Une erreur se corrige par une nouvelle écriture datée, reliée à la première : l’original, la rectification, sa date et son auteur restent lisibles.
Chaque écriture est numérotée sans trou possible et porte une empreinte cryptographique calculée sur son contenu et sur l’empreinte de l’écriture précédente. Modifier une ligne du passé ferait diverger tout le recalcul à partir de ce point : la falsification devient détectable, pas seulement interdite.
Un scellement quotidien regroupe les empreintes du jour dans une racine de Merkle — une empreinte unique qui résume toutes les autres — et relie ce sceau au sceau précédent. Les scellements forment ainsi leur propre chaîne, contrôlable indépendamment du registre.
Le sceau du jour est déposé auprès de racines de confiance indépendantes : une preuve OpenTimestamps (ancrée dans la chaîne Bitcoin) et des horodatages RFC 3161 demandés à plusieurs autorités tierces, dont celle du gouvernement belge. Chaque dépôt garde son propre état — en attente, confirmé, vérifié.
Une vérification complète recalcule les chaînes, les scellements et la présence des protections, puis écrit un rapport lui-même chaîné au précédent : un rapport ne peut donc pas être remplacé après coup sans que la suite de la chaîne le montre. En cas d’anomalie critique, le registre se verrouille automatiquement et une alerte part : plus aucune écriture officielle n’est acceptée tant qu’un administrateur n’a pas examiné la situation.
AU-DELÀ DES ÉCRITURES
Un registre inaltérable ne suffit pas si ce qui l’entoure — consultations, extraits, preuves — reste invérifiable. Chaque brique laisse donc sa propre trace.
L’article 3 de l’arrêté du 15 mai 2020 prévoit un journal des consultations du registre : identifiant du consultant, date, heure et objet, conservé un an. Chez nous, ce journal — comme le journal d’audit — est lui-même chaîné en SHA-256 : même une simple consultation laisse une trace qu’on ne peut pas retirer discrètement.
Un extrait du registre peut être remis avec un jeton de vérification : la page publique livredepolice.com/verifier permet à un tiers — un agent de contrôle, un confrère, un client — de contrôler l’extrait sur un autre ordinateur que le vôtre, sans compte et sans rien installer.
Ouvrir le vérificateurVos preuves ne restent pas prisonnières du site : un dossier exportable regroupe les écritures, les scellements, les dépôts d’ancrage et leurs fichiers (.ots, .tsr), accompagnés d’un programme de contrôle exécutable hors de nos serveurs. Le rapport détaille ce qui a été vérifié, ce qui a réussi et ce qui manque.
Les ancrages RFC 3161 sont demandés à plusieurs autorités d’horodatage distinctes — dont celle du gouvernement belge et un prestataire qualifié eIDAS — : antidater ou réécrire une journée supposerait de compromettre ces racines de confiance en même temps : c’est hors de portée en pratique, y compris pour nous.
Si la vérification détecte une falsification prouvée ou le retrait d’une protection, le registre passe en verrouillage : les écritures officielles sont refusées et une alerte est envoyée. La levée du verrou exige une revue humaine — le système ne « répare » jamais en silence.
Les mots de passe ne sont jamais stockés en clair : ils sont transformés par Argon2id, l’algorithme de hachage recommandé aujourd’hui, conçu pour résister aux attaques par essais massifs. Nous ne pouvons pas lire votre mot de passe : il n’est stocké nulle part en clair, et le retrouver à partir de son empreinte demanderait des moyens de calcul hors d’atteinte.
LA PREUVE QUI NE DEMANDE AUCUNE CONFIANCE
Toutes les protections décrites plus haut tournent chez nous. C’est utile, mais cela suppose encore de nous croire. Le dossier de preuve renverse ce rapport : votre registre s’exporte en une archive autonome qui embarque son propre programme de vérification. Vous le lancez sur votre machine, avec vos outils, et vous lisez le résultat — celui de votre calcul, pas de notre affirmation.
Toutes les données nécessaires pour recalculer la chaîne d’empreintes de bout en bout : numéro d’ordre, contenu, empreinte précédente, empreinte de l’écriture, date. De quoi refaire le calcul entier hors de nos serveurs.
Les sceaux quotidiens avec leur contenu exact, pour recalculer chaque empreinte de sceau et contrôler que la chaîne des sceaux ne comporte ni trou ni substitution.
Pour chaque dépôt externe : son type, sa référence et son état réel — en attente ou confirmé. Un ancrage en attente reste écrit comme tel ; il n’est jamais présenté comme acquis.
Les documents scellés, les preuves d’ancrage public et les jetons d’horodatage RFC 3161, plus les certificats des autorités qui les ont émis : l’horodatage se vérifie hors ligne, sans nous interroger.
Un programme exécutable et un mode d’emploi lisible. Le rapport qu’il produit dit ce qui a été testé, ce qui a réussi et ce qui manque — un contrôle qui ne sait pas échouer ne prouve rien.
L’archive est bornée à votre établissement : la chaîne commune n’y figure qu’à partir de votre premier scellement. Aucun compte ne reçoit l’historique de la plateforme antérieur à sa propre preuve.
Il établit que les écritures n’ont pas été modifiées depuis leur inscription et que les sceaux se tiennent. Il n’établit pas que les informations saisies étaient exactes le jour de l’opération, ni que toutes les formalités propres à votre activité ont été accomplies : ces deux responsabilités restent celles du professionnel, et aucune technique ne peut les reprendre à sa place.
VOS DONNÉES
Votre registre contient des données personnelles — les vôtres et celles de vos vendeurs. Elles sont traitées dans un cadre écrit et publié.
DÉFENSE EN PROFONDEUR
Aucune protection unique n’est infaillible ; c’est leur empilement qui compte. Chaque niveau produit sa propre information, contrôlable séparément.
Validation des écritures, rectification séparée et datée : la règle du livre de police, appliquée à l’écran.
Des protections internes rejettent les modifications et suppressions directes, même hors de l’application.
Toute altération du passé fait diverger le recalcul des empreintes à partir du point touché.
La racine de Merkle du jour fige l’état du registre ; les sceaux se chaînent entre eux.
OpenTimestamps (Bitcoin) et horodatages RFC 3161 auprès d’autorités indépendantes, chacun avec son état.
Un contrôle reproductible hors de nos serveurs, dont le rapport dit ce qui a été testé — et ce qui ne l’a pas été.
TRANSPARENCE
Tout ce que cette page affirme peut être contrôlé, dans cet ordre, en quelques minutes.
Un document public de 42 pages cite les textes applicables mot pour mot et décrit le dispositif en regard, avec les contrôles à exécuter soi-même. Il se télécharge librement, sans compte et sans adresse e-mail.
Depuis un extrait muni de son jeton, la page /verifier rejoue la vérification sur nos serveurs — et le dossier de preuve permet de la rejouer hors de nos serveurs, ce qui est la seule vérification qui ne demande aucune confiance.
Pour chaque scellement et chaque dépôt d’ancrage, regardez la date, le résultat et le périmètre. Une preuve OpenTimestamps peut être en attente avant d’être confirmée ; une réponse RFC 3161 se vérifie cryptographiquement, hors ligne, avec des outils standards.
Pour un registre tenu par traitement automatisé, l’article R. 321-6-1 du code pénal exige de garantir « l’intégrité, l’intangibilité et la sécurité des données » et de les conserver dix ans à compter de leur enregistrement. Le dispositif décrit sur cette page est notre réponse technique à cette exigence — le dossier de conformité la met en regard des textes, article par article.
CÔTÉ CONTRÔLEUR
Un dispositif de preuve ne vaut que s’il tient face à quelqu’un qui n’a aucune raison de nous faire confiance. Voici, dans l’ordre, ce qu’un agent habilité peut contrôler pendant une visite — sans compte, sans installer quoi que ce soit, et sans jamais dépendre de l’écran que le commerçant lui présente.
Le mode contrôle affiche les écritures dans l’ordre chronologique, avec leur numéro d’ordre, leur date et leurs mentions. C’est un écran sans bouton d’écriture : le professionnel ne peut rien modifier pendant que l’agent lit, et la consultation est inscrite au journal.
Chaque extrait porte une référence et un QR code. L’agent l’ouvre sur son téléphone ou sur le poste de son service, à l’adresse publique livredepolice.com/verifier. Le contrôle se fait sur le registre scellé, jamais sur le PDF qu’on lui a tendu : un document retouché ne peut donc pas se faire passer pour authentique.
La page publique de vérification confirme l’existence et la cohérence de l’écriture sans afficher de donnée personnelle et sans donner accès au compte du professionnel. La référence est un jeton non devinable : on ne peut ni la fabriquer, ni la faire défiler pour explorer les extraits d’un autre commerçant.
Le professionnel exporte l’archive complète — écritures, sceaux, dépôts d’ancrage, fichiers d’horodatage — avec son programme de vérification. L’agent, ou l’expert qui l’assiste, la rejoue sur une autre machine que la nôtre et que celle du commerçant. C’est la seule vérification qui ne demande aucune confiance à personne.
Les jetons d’horodatage RFC 3161 et les certificats des autorités qui les ont émis sont dans l’archive. Ils se contrôlent avec des outils standards du marché, sans connexion et sans nous interroger : ni le commerçant ni l’éditeur n’ont la main sur le résultat.
Le dossier public met chaque exigence du code pénal et de l’arrêté du 15 mai 2020 en regard de la réponse technique, et propose les contrôles à exécuter soi-même. Il se télécharge sans compte et sans laisser d’adresse.
L’article 3 de l’arrêté du 15 mai 2020 demande de journaliser les consultations du registre : qui, quand, pour quel objet, conservé un an. Ce journal est chaîné comme le registre : il protège le professionnel autant que l’administration, puisqu’il permet de démontrer après coup ce qui a réellement été consulté.
HONNÊTETÉ
Tout ce qui précède décrit des protections réelles. Voici maintenant, avec la même précision, ce qu’elles ne font pas. Un éditeur qui n’écrit que ses forces vous laisse découvrir ses limites au pire moment : le jour du contrôle.
Le sceau prouve qu’une écriture n’a pas bougé depuis son inscription. Il ne dit rien de la véracité de ce qui y a été écrit : si une provenance a été mal notée ou une identité mal recopiée, la chaîne scellera fidèlement l’erreur. Vérifier la pièce d’identité et décrire l’objet correctement reste votre travail, et il n’existe aucune technique qui puisse le faire à votre place.
Un ancrage externe établit qu’une donnée existait au plus tard à cette date. Il n’établit pas que l’opération commerciale s’est déroulée ce jour-là. Saisir le jour même est donc la seule façon de faire coïncider la date de l’acte et la date de la preuve — c’est aussi ce que la bonne tenue du registre suppose.
Le scellement d’une journée est déposé auprès des tiers après sa clôture, et une preuve OpenTimestamps reste « en attente » jusqu’à sa confirmation dans la chaîne Bitcoin. Nos écrans affichent cet état tel quel. Les écritures du jour sont déjà chaînées et protégées ; leur preuve externe, elle, arrive ensuite.
Si quelqu’un se connecte avec vos codes, ses écritures seront régulières du point de vue de la chaîne : la cryptographie ne sait pas qui tenait le clavier. Ce sont les comptes nominatifs, le journal d’audit et le journal des consultations qui permettent de reconstituer qui a fait quoi. Un mot de passe unique et solide reste une protection irremplaçable.
En cas d’anomalie critique, le registre refuse toute nouvelle écriture officielle jusqu’à ce qu’un administrateur ait examiné la situation. C’est un choix assumé : mieux vaut un registre momentanément fermé qu’un registre dont on ne sait plus s’il dit vrai. Mais il faut le savoir avant, pas le découvrir ce jour-là.
Nous ne revendiquons aucune certification, aucun agrément, aucune homologation. Une certification volontaire existe pourtant pour les logiciels de livre de police (la marque NF 203) : nous ne l’avons pas, et nous ne laissons pas croire le contraire. Si un logiciel se dit « certifié », demandez le nom de la certification et le numéro du certificat. Ce que nous publions, ce sont des mécanismes décrits, leurs états réels et un dossier que chacun peut contrôler. Un « certifié » sans document vérifiable ne vaut rien ; nous préférons ne pas l’écrire.
Les sauvegardes relèvent d’une obligation de moyens, écrite telle quelle à l’article 14 des conditions générales. C’est précisément pourquoi l’export est en libre-service et non sur demande : rien ne remplace une copie que vous détenez vous-même, sur votre propre disque.
La déclaration préalable en préfecture prévue par l’article R. 321-1 du code pénal, la présentation du récépissé et les obligations propres à votre activité restent les vôtres. Le logiciel tient le registre ; il ne se substitue à aucune démarche auprès de l’administration.
Nous indiquons ce que disent les textes, avec leur référence et leur date de vérification, dans les sources officielles et le centre d’aide juridique. Nous ne donnons pas de conseil individuel et nous ne remplaçons ni un avocat, ni un expert-comptable, ni l’autorité de contrôle.
QUESTIONS FRÉQUENTES
Vous pouvez la rectifier, jamais la réécrire. Une rectification est une nouvelle écriture, datée, signée par son auteur et rattachée à l’écriture d’origine : les deux restent lisibles côte à côte. C’est exactement l’esprit du registre papier, où l’article R. 321-6 du code pénal proscrit blancs, ratures et abréviations. Un logiciel qui vous laisserait effacer une ligne validée vous rendrait un très mauvais service le jour d’un contrôle : c’est la trace de la correction, et non son absence, qui vous protège.
C’est une question légitime, et la réponse tient en un mot : l’export. Le dossier de preuve est une archive autonome — écritures, sceaux, dépôts d’ancrage, fichiers d’horodatage, programme de vérification et sa notice — qui se contrôle sur n’importe quelle machine, sans nous. Les jetons RFC 3161 se vérifient hors ligne avec des outils standards, et la preuve OpenTimestamps est inscrite dans la chaîne Bitcoin, que personne ne peut retirer. Téléchargez votre dossier régulièrement : c’est le seul geste qui vous rend totalement indépendant de nous.
Nous ne le pouvons pas sans laisser de trace, et c’est le point important. Une modification directe dans la base est refusée par les protections installées ; si elles étaient retirées, le contrôle qui tente réellement une modification interdite le détecterait et le registre se verrouillerait. Et même en supposant une réécriture complète de la chaîne, il resterait les sceaux déjà déposés chez des tiers : nous ne pouvons pas remonter le temps dans la chaîne Bitcoin ni chez une autorité d’horodatage. Côté organisation, l’article 14 ter des CGV encadre l’accès de notre assistance à votre compte, et nous n’inscrivons jamais une écriture au registre à votre place sans votre demande écrite.
Non, et rien ne vous demande de l’activer. Le chaînage, le scellement quotidien, les ancrages et les journaux fonctionnent dès la première écriture, pour tous les comptes, sans option ni réglage. Cette page existe pour ceux qui veulent savoir comment ; le professionnel qui enregistre une commode un samedi matin n’a rien d’autre à faire que de la décrire correctement.
Il ne s’agit ni d’acheter, ni de détenir, ni de payer en monnaie numérique. OpenTimestamps utilise la chaîne Bitcoin comme un registre public de dates : on y inscrit une empreinte, pas des données. L’intérêt est qu’aucune organisation, pas même nous, ne peut réécrire ce registre après coup. Nous ne nous en contentons pas pour autant : des horodatages RFC 3161, la norme classique reconnue en Europe, sont demandés en parallèle à des autorités indépendantes. Deux familles de preuve valent mieux qu’une, et elles ne tombent pas ensemble.
Non. Le site et vos données sont hébergés en Allemagne, et les courriels sont acheminés par Brevo, également dans l’Union. Ce qui est déposé chez les tiers d’horodatage n’est pas votre registre mais une empreinte — une suite de caractères d’où l’on ne peut rien reconstituer. La politique de confidentialité liste chaque sous-traitant, chaque finalité et chaque durée.
Dix ans à compter de l’enregistrement de chaque donnée, comme l’exige l’article R. 321-6-1 du code pénal pour un registre tenu par traitement automatisé — y compris après la fin de votre abonnement. Attention à la mécanique du délai : il court écriture par écriture, à partir de son enregistrement, et non à partir de la clôture d’un exercice ou de la fin d’un contrat. Le journal des consultations, lui, relève d’une durée distincte : un an, en application de l’article 3 de l’arrêté du 15 mai 2020.
Non. C’est un écran en lecture seule, limité aux écritures du registre : pas de stock, pas de facturation, pas de réglages, aucun bouton d’écriture. Vous pouvez tourner l’écran vers l’agent sans craindre une fausse manœuvre, et sans lui montrer ce qui ne relève pas de son contrôle. La consultation est inscrite au journal, comme le prévoit l’arrêté du 15 mai 2020.
POUR ALLER PLUS LOIN
Cette page décrit les mécanismes. Selon ce que vous cherchez à établir, trois autres pages publiques prennent le relais — chacune avec son périmètre, aucune ne prétendant remplacer les autres.
Ce que les textes demandent, ce que le logiciel prévoit et le contrôle correspondant, ligne par ligne. C’est la lecture à emporter dans une comparaison entre plusieurs éditeurs.
Lire la matrice exigence, réponse et contrôleLes démonstrations produites par le vrai moteur, un scénario de recette complet et la méthode pour classer chaque affirmation selon son niveau de preuve.
Ouvrir le centre de preuvesChaque texte cité avec sa référence exacte, un résumé fidèle, sa date de vérification et son lien vers Légifrance, Service-Public, la CNIL ou le BOFiP.
Consulter les sources officiellesLes obligations expliquées en français courant, module par module, avec le texte cité, un cas pratique et les réserves d’usage. Entièrement public, sans compte.
Ouvrir le centre d’aide juridiqueLe chaînage, les scellements et les journaux tracés sont là dès la première écriture, pour tous, sans option à activer : 250 objets ou 60 véhicules offerts à vie, puis 8,50 € HT par mois (10,20 € TTC), sans engagement. Aucune carte bancaire n’est demandée pour commencer.
Toutes les entreprises doivent pouvoir recevoir des factures électroniques au 1er septembre 2026. Livre de Police met le parcours d’activation, la réception, l’émission, les statuts et l’e-reporting à disposition dans chaque compte, sans abonnement séparé.
Savoir si nos annonces servent à quelque chose
Nous achetons quelques annonces sur Google, Facebook et Instagram et nous aimerions savoir lesquelles amènent réellement une inscription. Le mesurer suppose de déposer un cookie publicitaire sur votre appareil et d'en informer Google et Meta (la société de Facebook et d'Instagram). Si vous refusez, rien n'est déposé et rien n'est envoyé : le site fonctionne exactement pareil. Le détail, cookie par cookie.
