Qu’est-ce qu’un certificat électronique Chorus Pro ? Guide complet

Certificat électronique Chorus Pro : si vous déployez un raccordement technique pour transmettre des factures dématérialisées, vous avez forcément croisé ce terme dans la documentation. Pas question de l’ignorer. Sans lui, votre raccordement EDI reste bloqué, et vos échanges avec les entités publiques aussi.

Ce guide couvre tout ce qu’il faut savoir pour comprendre, obtenir, installer et maintenir un certificat numérique compatible avec Chorus Pro en 2026. Vous verrez aussi pourquoi certaines plateformes agréées, comme MyUnisoft, peuvent vous épargner l’essentiel de cette démarche.

Ce qu’est un certificat électronique dans le contexte de Chorus Pro

Portail, EDI ou API : tous les raccordements ne sont pas égaux

Si vous accédez à Chorus Pro via votre navigateur pour déposer quelques factures manuellement, vous n’avez pas besoin de certificat : un simple identifiant et mot de passe suffisent pour l’accès au portail. Le certificat numérique entre en jeu uniquement pour les raccordements techniques, c’est-à-dire le mode EDI (échange de données informatisé) et, dans certaines configurations, les connexions API. Ces deux modes permettent de connecter un système d’information, un ERP ou un logiciel comptable directement à Chorus Pro pour transmettre des flux de factures en volume.

La distinction est importante : l’obligation de certificat ne concerne pas l’utilisateur humain qui se connecte, mais la machine ou le serveur qui émet les flux. Si vous êtes un utilisateur occasionnel qui passe par le portail web, ce guide ne vous concerne pas directement. En revanche, si vous pilotez une intégration technique ou gérez un cabinet qui transmet des factures B2G en volume, lisez la suite avec attention.

À qui s’applique cette obligation concrètement

Les profils concernés sont les entreprises et cabinets comptables qui transmettent un volume important de factures à destination du secteur public via leur propre système d’information. Cela inclut les structures équipées d’un ERP connecté, les cabinets qui ont développé une interface de transmission automatisée, et les opérateurs de dématérialisation qui raccordent leurs propres flux à la plateforme. Pour ces acteurs, le certificat sert à authentifier le serveur émetteur auprès de Chorus Pro, garantissant ainsi l’intégrité et la traçabilité des échanges.

Quel format et quel niveau de certification choisir

Le standard X.509 et le format PKCS#7 : ce que Chorus Pro attend réellement

X.509 est le standard universel qui définit la structure d’un certificat numérique. C’est la norme sous-jacente, celle que tous les prestataires utilisent pour émettre leurs certificats. Mais Chorus Pro, lui, attend un format d’import précis pour les fiches EDI : le format PKCS#7, avec la chaîne de certification complète incluse.

Si votre prestataire vous délivre un fichier au format .p12 ou .pfx (c’est-à-dire un conteneur PKCS#12), vous devrez l’exporter au format PKCS#7 avant de le déposer dans Chorus Pro. La commande OpenSSL crl2pkcs7 permet de réaliser cette conversion en incluant le certificat serveur, les certificats intermédiaires et le certificat racine. Autre point essentiel : Chorus Pro n’attend que la partie publique du certificat. La clé privée ne doit jamais être transmise à la plateforme.

RGS* ou eIDAS QWAC : quel niveau viser

Chorus Pro reconnaît deux niveaux de certificats. Le premier est le certificat RGS étoile (niveau 1 de la référence générale de sécurité française), dont les autorités émettrices figurent sur la liste publiée par le LSTI. Le second est le certificat eIDAS QWAC (Qualified Website Authentication Certificate), inscrit sur la liste de confiance européenne. Ces deux niveaux sont acceptés pour les raccordements EDI.

Un point non négociable : il faut impérativement un certificat d’authentification serveur. Les certificats de type « personne physique » ne sont pas acceptés par Chorus Pro. Par ailleurs, la validité du certificat au moment du raccordement doit dépasser six mois à compter de la date de dépôt. Un certificat trop proche de son expiration sera rejeté lors de l’import dans la fiche EDI.

Obtenir son certificat auprès d’un prestataire reconnu

Les fournisseurs référencés et ce qu’ils proposent

Parmi les prestataires français dont les certificats sont régulièrement cités comme compatibles avec Chorus Pro, on trouve Certinomis (groupe Docaposte), Certigna et CertEurope (Tinexta InfoCert). D’autres autorités européennes figurant sur la liste TSL eIDAS peuvent également convenir : consultez cette liste officielle pour vérifier la conformité d’une autorité de certification avant tout achat. Le critère décisif n’est pas la marque commerciale, c’est la conformité technique du certificat. Il doit être de type serveur, au niveau RGS* ou QWAC, et exportable en PKCS#7 avec la chaîne complète.

Les tarifs varient selon le type de produit et le prestataire. Certinomis affiche par exemple ses certificats serveurs RGS* logiciel à environ 300 euros HT par an, avec des options pluriannuelles qui abaissent le coût moyen. D’autres offres du marché se situent plutôt entre 50 et 200 euros HT selon le niveau et le support choisi (logiciel, HSM ou clé physique). Avant tout achat, vérifiez explicitement que le certificat est compatible avec le niveau EDI Chorus Pro pour éviter un refus à l’import.

Les étapes de la demande : ce qu’il faut préparer

La logique est commune à l’ensemble des prestataires. Vous commencez par constituer un dossier en ligne sur le site du prestataire choisi, en fournissant les justificatifs de l’entité et les données relatives au serveur. Une fois ce dossier validé, le certificat vous est délivré par voie électronique, ou par courrier selon le prestataire et le niveau de certification. Ce délai de traitement côté prestataire est variable : anticipez cette étape, surtout si vous approchez d’une date limite de mise en conformité.

Une fois le certificat importé dans Chorus Pro, la fiche de raccordement repasse au statut « active » dans un délai généralement observé entre deux et vingt-quatre heures côté plateforme.

Installer et configurer son certificat, étape par étape

Import dans les navigateurs courants : Chrome, Firefox et Edge

Chrome et Edge sous Windows s’appuient sur le magasin de certificats Windows. La procédure est identique pour les deux : ouvrez les Paramètres, puis Confidentialité et sécurité, puis Gérer les certificats. Dans l’onglet Personnel, cliquez sur Importer, sélectionnez votre fichier .p12 ou .pfx, saisissez le mot de passe associé au fichier et validez. Le mot de passe demandé ici est celui du fichier d’export, pas votre mot de passe Windows : c’est une source de confusion fréquente.

Firefox gère son propre magasin de certificats, indépendant du magasin Windows. Allez dans Paramètres, puis Vie privée et sécurité, faites défiler jusqu’à la section Certificats et cliquez sur Afficher les certificats. Dans l’onglet Vos certificats, cliquez sur Importer, sélectionnez le fichier et saisissez le mot de passe. Firefox peut aussi vous demander le mot de passe principal de son magasin de sécurité si vous l’avez activé.

Déposer le certificat dans la fiche de raccordement EDI sur Chorus Pro

Une fois le certificat installé dans votre navigateur ou sur votre serveur, rendez-vous dans l’espace Raccordements de Chorus Pro, puis dans l’application EDI. Recherchez la fiche concernée, cliquez sur l’icône d’édition dans la colonne Actions, puis dans le bloc Certificat sélectionnez « Mettre à jour le certificat ». Importez le fichier au format PKCS#7 et validez. La prise en compte intervient dans le délai habituel de deux à vingt-quatre heures.

Si votre raccordement passe par l’API en mode OAuth2 via la plateforme PISTE, aucun certificat n’est requis. Ce mode simplifie nettement le processus pour les raccordements API modernes et évite entièrement la gestion de fichiers PKCS#7. Si vous avez le choix du mode de raccordement, c’est un facteur à peser sérieusement.

Résoudre les erreurs courantes et renouveler son certificat

Les messages d’erreur les plus fréquents et leur diagnostic

Le code 403 ou le message « certificat non présent ou non reconnu » indique que le certificat client n’est pas détecté par Chorus Pro. Les causes à vérifier en priorité : le certificat est installé dans le mauvais magasin, il n’a pas été correctement importé dans la fiche EDI, ou le fichier PKCS#7 déposé ne contient pas la chaîne de certification complète. Dans ce cas, vérifiez le magasin utilisé, supprimez l’import et recommencez avec un fichier exporté correctement.

Le message « impossible d’authentifier l’utilisateur dans le LDAP » pointe vers un problème d’identifiant ou de mot de passe technique. Vérifiez les identifiants fournis pour le raccordement et ressaisissez-les sans erreur de frappe. Pour les erreurs TLS, deux réflexes s’imposent : vérifier que l’heure système de votre serveur est correcte et synchronisée (un décalage de quelques minutes suffit à faire échouer la validation TLS), et s’assurer que les certificats racine et intermédiaires de votre système sont à jour. Testez toujours en navigation privée ou depuis un autre poste pour isoler une cause locale avant de contacter le support.

Renouvellement : quand agir et comment procéder

La durée de validité standard d’un certificat serveur compatible Chorus Pro est généralement de trois ans. La date d’expiration est consultable directement dans le portail, dans la section « Rechercher fiche EDI » pour un raccordement EDI ou dans « Gérer raccordement API » pour une connexion API. Anticipez le renouvellement bien avant l’échéance : une interruption du raccordement impacte directement la transmission de vos factures.

La procédure de renouvellement suit exactement la même logique que l’installation initiale. Achetez le nouveau certificat auprès de votre prestataire, retournez dans la fiche EDI sur Chorus Pro, cliquez sur « Mettre à jour le certificat », importez le nouveau fichier PKCS#7 et validez. La prise en compte s’effectue dans le même délai. En cas de révocation anticipée, contactez d’abord l’autorité de certification émettrice, puis mettez à jour la fiche Chorus Pro avec un certificat valide selon la même procédure.

Pourquoi certaines structures contournent entièrement cette démarche

Ce que les plateformes agréées prennent en charge à votre place

Les plateformes de dématérialisation partenaires agréées par l’administration fiscale française, comme MyUnisoft, gèrent elles-mêmes les raccordements techniques, les certificats et les flux nécessaires à la transmission des factures électroniques vers Chorus Pro et le réseau B2B. Du côté de l’entreprise ou du cabinet qui utilise la plateforme, il n’y a ni certificat à commander, ni fichier PKCS#7 à générer, ni fiche EDI à configurer : tout se pilote depuis l’interface de la plateforme. Chorus Pro le précise lui-même dans sa documentation : pour les structures qui s’appuient sur un opérateur de dématérialisation raccordé, aucune demande de raccordement n’est à effectuer côté client.

Cette approche est particulièrement cohérente dans le contexte de la réforme de la facturation électronique B2B, dont l’obligation est entrée en vigueur au 1er septembre 2026. MyUnisoft, en tant que plateforme agréée, prend en charge l’ensemble de cette couche technique à la place de ses utilisateurs. Pour les cabinets soucieux de souveraineté des données, il convient de vérifier auprès de la plateforme retenue les engagements d’hébergement et de conformité RGPD applicables.

Quand cette approche vaut vraiment le détour

Passer par une plateforme agréée est plus judicieux que de gérer son propre certificat dans plusieurs situations concrètes. Les entreprises qui émettent un volume important de factures sans ressource informatique dédiée évitent une complexité technique qui ne fait pas partie de leur cœur de métier. Pour les cabinets comptables qui souhaitent offrir à leurs clients TPE/PME une conformité clé en main, la question des formats PKCS#7 et des renouvellements de certificats ne se pose tout simplement pas. Quant aux structures en phase de mise en conformité rapide, le délai de déploiement via une plateforme agréée est incomparablement plus court que celui d’un raccordement EDI direct.

Dans ce modèle, la question du certificat devient un sujet géré en coulisses, invisible pour l’utilisateur final. L’attention se concentre sur ce qui compte vraiment : la fiabilité des échanges, la traçabilité des flux et la conformité réglementaire, sans friction technique supplémentaire.

Ce qu’il faut retenir

Le certificat numérique pour Chorus Pro concerne les raccordements EDI et, dans certains cas, les connexions API directes. Il ne s’applique pas à l’accès portail classique via navigateur. Il doit être de type serveur, au niveau RGS* ou eIDAS QWAC, et déposé dans Chorus Pro au format PKCS#7 avec la chaîne de certification complète. Si votre prestataire vous délivre un fichier .p12 ou .pfx, une étape de conversion s’impose avant l’import.

Des prestataires comme Certinomis ou Certigna permettent d’obtenir ce certificat moyennant une démarche structurée, avec des tarifs qui varient selon le type d’offre et le prestataire, consultez la liste TSL eIDAS pour identifier les autorités de certification conformes à vos besoins. L’installation suit une logique claire selon votre navigateur ou votre configuration serveur, et les erreurs les plus fréquentes ont des solutions documentées et reproductibles. Pour les cabinets et entreprises qui préfèrent ne pas gérer cette couche technique, des plateformes agréées comme MyUnisoft intègrent directement l’ensemble de ces flux et simplifient la conformité sans aucune action supplémentaire de leur part.

Si vous souhaitez évaluer ce que représente concrètement une migration vers une plateforme agréée pour votre structure, l’équipe MyUnisoft est disponible pour répondre à vos questions et vous accompagner dans cette démarche.