Cloud de confiance et Peppol : l'infrastructure visible en France

Ce qu'il faut retenir

• 40,6 % des identifiants résolus aboutissent sur des réseaux attribués à S3NS, Cloud Temple ou Outscale. Cela décrit la façade réseau publique, pas l'offre cloud effectivement souscrite.
• Le point d'accès de Pennylane, qui pèse 33,3 %, passe par le proxy Cloudflare. Le DNS public montre le bord Cloudflare, mais pas le serveur d'origine. Il serait donc incorrect de le ranger automatiquement chez AWS, Google Cloud ou un hébergeur français.
• Les hyperscalers directement visibles représentent au moins 19,2 % : Google Cloud derrière jefacture, AWS Francfort derrière Sovos Saphety et AWS Paris derrière Hubtimize. Ce n'est pas leur exposition totale.
• Ces parts mesurent des identifiants Peppol. Elles ne mesurent ni les volumes de factures, ni le chiffre d'affaires des plateformes, ni le nombre exact d'entreprises.

La souveraineté occupe une place visible dans le réseau Peppol français, sans autoriser le slogan facile selon lequel « tout tourne en France ». La photographie publique montre des endpoints reliés à des fournisseurs français, des hyperscalers bien présents et un tiers des identifiants résolus derrière un proxy qui masque l'origine.

Comment nous avons mesuré l'infrastructure

Le 24 août 2026, l'API PeppolStatus comptait 2 270 773 identifiants rattachés à la France. Parmi eux, 2 207 095 avaient un point d'accès attribuable dans l'agrégat par opérateur. C'est ce second nombre qui sert de dénominateur aux graphiques. Les 63 678 autres, soit 2,8 %, restent hors de ces répartitions.

La méthode suit quatre étapes :

1. extraire les parts par point d'accès avec l'API PeppolStatus ;
2. résoudre un endpoint AS4 actuel pour chaque siège de certificat en suivant le mécanisme de découverte SML/SMP documenté par OpenPeppol ;
3. observer le DNS, le PTR et le préfixe IP de cet endpoint ;
4. attribuer le signal réseau seulement lorsque le nom inverse ou le registre de préfixes RIPE NCC fournit une preuve directe.

Cette méthode voit la façade réseau publique. Elle ne prouve ni l'offre cloud souscrite, ni une qualification SecNumCloud, ni le lieu de stockage, ni l'architecture interne ou le plan de reprise d'un opérateur.

Pour rendre les calculs vérifiables, le snapshot agrégé et la table d'attribution utilisés ici sont publiés avec l'article.

Cinq opérateurs portent quatre identifiants sur cinq

Pennylane reste le premier point d'accès français avec 735 445 identifiants, soit 33,3 % du dénominateur résolu. Qonto suit à 14,2 %, puis Serensia à 12,3 %, jefacture à 12,2 % et Indy à 7,9 %. Ensemble, ces cinq opérateurs atteignent 79,9 %.

Cette concentration compte pour l'analyse de l'infrastructure visible. Le choix technique de quelques opérateurs suffit à déplacer une grande part des identifiants observés d'un réseau à l'autre. Une migration d'un seul des cinq premiers peut modifier le portrait national de plusieurs points.

Trois réseaux associés à des offres françaises se détachent

S3NS apparaît derrière 27,15 % des identifiants résolus à travers Qonto, Serensia et Digipharmacie. L'adresse de Qonto possède un PTR s3nsusercontent.fr ; les préfixes de Serensia et Digipharmacie sont enregistrés au nom de S3NS dans RIPE.

Cloud Temple apparaît derrière 10,44 %, principalement via Indy, puis Yooz, IOPOLE et Betao/Solo. Ces opérateurs convergent vers le même endpoint Peppolint sur un préfixe maintenu par Cloud Temple. Outscale ajoute 3,01 % avec Abby et MyUnisoft, dont les PTR et préfixes portent explicitement le nom Outscale.

Ces attributions réseau totalisent 40,6 % du dénominateur résolu. Elles ne démontrent pas que chaque service bénéficie d'une offre qualifiée SecNumCloud. En ajoutant SUPER PDP sur FBW Networks (2,84 %) et Septeo sur Jaguar Network (0,69 %), 44,1 % des identifiants résolus aboutissent dans de l'espace IP attribué à des opérateurs français. Cela ne prouve ni l'emplacement physique ni la juridiction de toutes les données : RIPE NCC ne vérifie pas les données de géolocalisation déclarées par les détenteurs.

Ce que cache Cloudflare

Le cas Pennylane impose la principale réserve de cette étude. Son endpoint pdp.pennylane.com retourne des adresses Cloudflare. Comme l'explique la documentation technique du proxy DNS Cloudflare, cela établit l'usage du réseau de bord Cloudflare, mais masque l'origine. Les 33,3 % de Pennylane restent donc dans une catégorie séparée.

Des indices observés sur d'autres sous-domaines Pennylane peuvent révéler des services AWS en Irlande, mais ils ne prouvent pas que le point d'accès Peppol utilise la même origine. Les agréger reviendrait à transformer une corrélation en fait. Nous ne le faisons pas.

Les hyperscalers restent bien présents

Parmi les endpoints directement visibles, jefacture pointe vers Google Cloud et pèse 12,2 %. Sovos Saphety utilise des adresses AWS en eu-central-1, soit Francfort, pour 5,3 %. Hubtimize expose AWS eu-west-3, la région parisienne, pour 1,6 %. Ces noms de régions sont définis dans la documentation de l'infrastructure mondiale AWS. Le minimum directement observable chez ces deux hyperscalers atteint 19,2 % ; l'exposition réelle peut être supérieure lorsque l'origine est masquée.

Le lieu de la région et la nationalité du fournisseur sont deux dimensions différentes. AWS Paris reste un hyperscaler américain opéré depuis une région française. À l'inverse, une offre dite souveraine implique des engagements juridiques, opérationnels et de contrôle qui ne se déduisent pas d'une simple géolocalisation IP.

La carte des principaux opérateurs

Ce que les acheteurs doivent demander

La souveraineté ne remplace pas une analyse de résilience. Une entreprise qui choisit une plateforme agréée devrait demander :

• quel fournisseur héberge le point d'accès, le SMP et les données métier ;
• dans quelles régions fonctionnent la production, les sauvegardes et le plan de reprise ;
• si plusieurs zones de disponibilité et plusieurs fournisseurs sont réellement utilisés ;
• quelle qualification couvre précisément le service acheté, et non seulement le groupe qui le commercialise ;
• comment une panne du cloud, du DNS, du CDN ou du certificat Peppol est isolée ;
• si les métriques de disponibilité et les incidents historiques sont accessibles.

La carte publique permet de poser de meilleures questions. Elle ne remplace ni un audit contractuel ni une preuve de conformité.

Sources, limites et reproduction

• PeppolStatus API : agrégats par pays, opérateurs, sièges de certificat, participants et hôtes ; relevé du 24 août 2026.
• RIPEstat Prefix Overview : préfixes IP, ASN d'origine et détenteurs de ressources réseau.
• Peppol Directory : présence publique des participants et métadonnées de service.
• Snapshot de calcul : dénominateurs, parts par opérateur, endpoints et regroupements utilisés dans les graphiques.

Les nombres évoluent avec les inscriptions, migrations et corrections d'identité. Les graphiques sont une photographie, pas une mesure de trafic. Visualisations © PeppolCheck.fr 2026. Données PeppolStatus et registres réseau : consulter leurs conditions de réutilisation respectives.