La traçabilité est devenue un mot d'ordre.
Chaque filière s'en réclame, chaque fournisseur de solution la promet, chaque réglementation nouvelle l'impose un peu plus.
Et pourtant, quand j'examine une chaîne de traçabilité qui a failli — un rappel qui déborde, un détournement de circuit non détecté, un lot que personne ne sait rattacher à son origine —, la cause n'est presque jamais le logiciel.
Elle se trouve dans les quelques millimètres carrés imprimés sur l'emballage, ou dans un maillon de capture que personne n'a jamais vérifié.
Ce billet décrit comment une traçabilité se construit réellement, et où elle casse.
La confusion à lever d'abord : tracer n'est pas authentifier
C'est la distinction la plus importante de ce sujet, et la plus souvent escamotée.
Un système de traçabilité enregistre ce qu'on lui déclare. Il dit qu'un identifiant a été vu à tel endroit, à telle heure, par tel acteur.
Il ne dit pas que l'objet portant cet identifiant est authentique.
La conséquence est brutale : une chaîne de traçabilité trace parfaitement des contrefaçons, dès lors qu'elles portent des codes valides. Un identifiant se recopie ; un code 2D se photographie et se réimprime.
Un contrefacteur qui duplique un code authentique produit un objet parfaitement traçable — et parfaitement faux.
Cela ne disqualifie pas la traçabilité, cela en définit le périmètre. Elle répond à où est passé cet objet, et d'où vient-il ?
Elle ne répond pas à cet objet est-il ce qu'il prétend être ?
Pour cette seconde question, il faut un dispositif d'authentification, physiquement lié au porteur de données.
Un système qui ne distingue pas ces deux fonctions donne une fausse assurance — et c'est la plus dangereuse de toutes.
Il existe une réponse à ce problème précis, et elle est physique plutôt que logicielle.
J'y reviens plus bas, une fois passés en revue les autres points de rupture.
Les trois niveaux de granularité
Tout commence par une décision : jusqu'où descend-on ?
Elle détermine le coût, la complexité, et ce que le système pourra faire le jour où l'on en aura besoin.
Le niveau référence. Un identifiant unique par produit, identique sur tous les exemplaires.
C'est le code-barres du commerce. Il identifie quoi, jamais lequel. Il ne permet ni rappel ciblé, ni détection de doublon, ni preuve d'origine.
Le niveau lot. Un identifiant commun à tous les exemplaires d'une même fabrication. C'est le socle minimal de la traçabilité industrielle : il permet de circonscrire un rappel à un lot plutôt qu'à une référence entière — ce qui change l'ordre de grandeur du coût. Il ne permet toujours pas de distinguer deux exemplaires d'un même lot.
Le niveau unitaire sérialisé. Un identifiant propre à chaque exemplaire. C'est ce qui ouvre tout le reste : détection des doublons, suivi individuel, preuve d'origine exemplaire par exemplaire, rappel au plus juste. C'est aussi ce qui coûte le plus cher à imprimer, à gérer et à contrôler — impression de données variables, base d'identifiants, contrôle unitaire en ligne.
La bonne décision n'est pas « le plus fin possible », mais le niveau qui correspond au risque.
Un rappel qui coûterait un million d'euros justifie la sérialisation ; une référence à faible enjeu ne la justifie pas.
L'agrégation : le maillon qui casse
Sérialiser les unités ne suffit pas. En logistique, on ne manipule pas des unités : on manipule des caisses et des palettes.
L'agrégation est le lien déclaré entre un contenant et son contenu : cette caisse contient ces vingt-quatre unités, cette palette contient ces quarante caisses. Le contenant reçoit son propre identifiant — un identifiant d'unité logistique, distinct de celui des produits.
C'est ce lien qui permet de suivre un flux sans ouvrir les cartons. C'est aussi le point de rupture le plus fréquent de tout le système.
Les causes sont ordinaires : une caisse reconditionnée en fin de ligne sans mise à jour du lien, un prélèvement d'échantillons qualité non déclaré, une palette recomposée en entrepôt, un rebut retiré manuellement, un code non lu que l'opérateur contourne. À partir de là, la base affirme qu'une caisse contient des unités qui n'y sont plus, et la traçabilité est fausse sans que rien ne le signale.
Une chaîne dont les liens d'agrégation ne sont pas vérifiés périodiquement par sondage physique n'est pas une chaîne fiable.
C'est le premier contrôle que je pratique en audit, et c'est celui qui produit le plus souvent des écarts.
Les événements : ce qui n'est pas capté n'a pas eu lieu
Les standards internationaux de partage de données de traçabilité décrivent chaque mouvement comme un événement, caractérisé par un petit nombre de dimensions : quoi — les identifiants concernés ; quand — l'horodatage ; où — le lieu, identifié lui aussi ; pourquoi — le contexte : expédition, réception, transformation, agrégation ; et qui — l'acteur responsable.
Une chaîne de traçabilité n'est rien d'autre que la suite de ces événements.
D'où une règle simple et impitoyable : un événement qui n'est pas capté n'a jamais eu lieu, du point de vue du système.
Les trous de capture sont la seconde cause d'échec. Ils se logent toujours aux mêmes endroits : les transferts entre deux systèmes d'information, les opérations manuelles de fin de ligne, les prestataires logistiques qui ne transmettent pas au même format, les retours et les reconditionnements, les frontières entre entreprises.
Cartographier les points de capture, et surtout les zones où rien n'est capté, vaut mieux que d'ajouter une fonctionnalité au logiciel.
La couche physique : tout repose sur quelques millimètres carrés
Voici où l'affaire devient un problème d'impression, et c'est le point que les projets de traçabilité traitent en dernier alors qu'il conditionne tout le reste.
Un identifiant, aussi bien conçu soit-il, doit être imprimé sur un objet physique et relu en conditions réelles. Entre les deux, une dizaine de facteurs peuvent le rendre illisible :
- le contraste — un code sur kraft, sur carton recyclé, sur support coloré ou sur film transparent n'offre pas le contraste d'un code sur couché blanc ;
- l'engraissement — en flexographie et en héliogravure, le gain de trame boucle progressivement les modules ; un code conforme au calage peut se dégrader au fil du tirage ;
- la finition — vernis brillant, pelliculage, dorure et contrecollage modifient le contraste et créent des réflexions spéculaires ;
- le format et le procédé — un code trop réduit pour la résolution du procédé est condamné dès la conception ;
- le support déformable — sur emballage souple ou surface cintrée, le code se déforme ;
- les conditions de lecture — lecture industrielle à cadence, sous éclairage fixe et à angle imposé, n'a rien à voir avec un scan au téléphone à dix centimètres.
Deux règles en découlent, et elles ne coûtent presque rien.
Écrire le référentiel de lisibilité dans la commande : méthode de notation, grade minimal exigé, conditions de mesure, plan d'échantillonnage sur toute la durée du tirage, et stade auquel la conformité s'apprécie — avant ou après finition.
Sans cela, il n'existe aucun référentiel contractuel, et le litige sur un lot de codes illisibles se plaide sans terme de comparaison.
Traiter l'emplacement du code comme une contrainte de conception, pas comme une finition : zone de silence, surface d'appui, comportement sur emballage cintré, cohabitation avec les autres marquages désormais nombreux sur un même emballage.
Ce que la traçabilité rend vraiment
Une fois l'infrastructure en place, elle sert bien au-delà de la conformité qui l'a souvent financée.
Le rappel circonscrit. Rappeler un lot plutôt qu'une référence, ou une série de numéros plutôt qu'un lot.
L'écart de coût est d'un ou deux ordres de grandeur.
La détection des détournements de circuit. Un identifiant unique lu dans deux pays différents, ou hors de son marché de destination, est un signal. C'est le moyen le plus efficace de détecter un marché parallèle, et il ne demande aucune impression supplémentaire dès lors que la sérialisation existe.
La détection des doublons. Le même identifiant vu deux fois là où il ne devrait apparaître qu'une seule : c'est l'un des rares indices qu'un système de traçabilité peut donner sur une contrefaçon.
La preuve d'origine datée. Dans un litige de contrefaçon, de responsabilité produit ou de garantie, pouvoir rattacher un exemplaire à son lot, sa date et son site de production change la nature du débat.
Le litige fournisseur. Un défaut circonscrit à un lot de support, à une période de production ou à une ligne donnée s'établit par les données de traçabilité — et il départage.
Les cinq points où les systèmes échouent
Par ordre de fréquence dans les chaînes que j'ai auditées :
- La qualité d'impression des codes, non spécifiée contractuellement et non contrôlée sur la durée du tirage.
- Les liens d'agrégation faux, faute de vérification physique périodique.
- Les trous de capture, aux interfaces entre systèmes et chez les prestataires.
- La qualité des données : identifiants réutilisés, formats hétérogènes, horodatages non fiables, lieux mal identifiés.
- La confusion traçabilité / authentification, qui fait croire à une protection contre la contrefaçon là où il n'y en a aucune.
Aucun de ces cinq points ne se corrige par le logiciel. Tous se constatent sur le terrain.
Refermer le cinquième point :
imprimer le code sur un support qui s'authentifie
Revenons au problème posé en ouverture : un identifiant recopié produit un objet parfaitement traçable et parfaitement faux. Aucune base de données ne peut le détecter au moment du contrôle, puisque le code qu'on lui présente est valide.
La réponse ne se trouve pas dans le système d'information. Elle se trouve dans le support.
Le code de traçabilité peut être imprimé sur une étiquette en matière micro-optique. Ce support n'est pas un papier ordinaire : il superpose un réseau de microlentilles et un réseau de micro-images, dont l'interaction produit à l'œil une image en relief véritable, avec profondeur et mouvement lorsqu'on incline l'étiquette. Une photocopie, un scan ou une photographie n'en restituent qu'une surface plane — la copie n'échoue pas à reproduire l'effet, elle en est physiquement incapable, parce que celui-ci naît de la parallaxe entre deux réseaux superposés et non d'un motif à copier.
Le point décisif est que le code est imprimé sur cette matière, et non à côté d'elle.
Porteur de données et support de sécurité ne forment qu'un seul objet. On ne peut pas prendre l'un sans l'autre.
Le contrefacteur qui duplique un identifiant obtient alors un code qui se lit correctement, qui interroge la base sans erreur, et qui figure sur un support plat, sans relief ni mouvement. Il obtient un objet dont la donnée est authentique et dont le support ne l'est pas. Et cela se constate en une seconde, en inclinant l'étiquette, sans outil, sans application et sans réseau.
Ce que cela change à chaque niveau de contrôle
Au point de contrôle terrain — douane, distributeur, réceptionnaire, service qualité — la vérification devient possible là où elle ne l'était pas. Jusque-là, un contrôleur ne pouvait que lire le code et constater qu'il était valide. Il peut désormais, avant même de sortir un lecteur, écarter les reproductions par photocopie, impression, scan ou photographie, c'est-à-dire l'immense majorité des faux en circulation.
À la détection des doublons. Un identifiant vu deux fois là où il ne devrait apparaître qu'une seule fois est le seul indice qu'une traçabilité classique donne sur une contrefaçon — et c'est un indice tardif, qui suppose une analyse centralisée après coup.
Avec un support auto-vérifiable, le doublon se détecte en main, immédiatement, sur celui des deux exemplaires qui n'a pas le bon support.
Au transfert d'étiquette. Une étiquette conçue pour se détruire au décollement ne peut pas être retirée d'un produit authentique pour être reposée sur un autre. Cela protège accessoirement le lien d'agrégation au niveau unitaire.
Et si l'on veut aller plus loin : le contrôle sans réseau
L'architecture peut être poussée d'un cran. Plutôt qu'un identifiant renvoyant à une base de données, le code peut porter un cachet électronique visible : quelques dizaines d'octets contenant les données essentielles et leur signature cryptographique, vérifiable hors connexion par une application détenant les clés publiques des autorités de confiance.
On obtient alors trois niveaux indépendants, à trois horizons différents :
Ce qu'on vérifieCe que cela établitCe qu'il fautIncliner l'étiquetteLe support est authentiqueRien — un œilLire le code signéLa donnée est intacte et émise par une autorité identifiéeUn téléphone, hors connexionInterroger le systèmeLa position de l'objet dans la chaîne, les doublons, le circuitUn réseau
Le troisième niveau est celui de la traçabilité classique.
Les deux premiers sont ceux qui manquent à presque toutes les chaînes que j'audite — et ce sont les seuls disponibles là où l'on contrôle réellement : en réserve, en entrepôt sous douane, en zone logistique, sur un quai.
Ce que cela ne résout pas — et il faut le dire
Ce serait malhonnête de laisser croire que le support répond à tout. Sur les cinq points d'échec listés plus haut, il en referme un seul : le cinquième, la confusion entre traçabilité et authentification. Il ne fait rien pour les quatre autres.
Les liens d'agrégation faux restent faux. Les trous de capture restent béants. La qualité des données ne s'améliore pas d'un iota.
Et sur le premier point — la qualité d'impression des codes — il ajoute même une difficulté. Un film micro-optique est une surface optiquement active : elle réfléchit, elle diffuse, et son relief structurel peut interférer avec la lecture d'un code 2D. Imprimer un code variable sur ce support suppose d'y réserver une zone de rendu neutre, de vérifier le contraste et le comportement en lumière rasante, de contrôler l'adhérence de l'encre sur le film, et de mesurer la qualité de lecture dans les conditions réelles d'exploitation —
à cadence, sous éclairage fixe, à angle imposé.
Ce n'est pas un obstacle rédhibitoire, c'est une contrainte de conception.
Mais elle doit être traitée à la spécification, pas découverte au premier lot bloqué.
Où l'appliquer
Ce support coûte plus cher qu'une étiquette ordinaire, et il suppose de dépendre d'un fournisseur disposant d'une capacité industrielle restreinte — ce qui fait sa force en sécurité et constitue un risque d'approvisionnement à considérer.
La bonne approche n'est donc pas de l'appliquer partout, mais là où le risque le justifie : références à forte valeur, marchés exposés au parallèle, produits sensibles pour la sécurité des personnes, séries dont un rappel serait ruineux.
Ailleurs, une étiquette ordinaire portant un code correctement spécifié fait le travail.
C'est un arbitrage, et il se pose référence par référence.
Les porteurs sans contact : ce que RFID et NFC referment
Le code imprimé, si bien conçu soit-il, exige une opération : quelqu'un doit le présenter à un lecteur, dans le bon sens, à la bonne distance. C'est cette contrainte qui crée les trous de capture et les erreurs d'agrégation.
Les porteurs sans contact suppriment cette opération.
Et il faut bien voir ce qu'ils apportent :
ils referment précisément les deux points d'échec que l'étiquette micro-optique ne touche pas.
Deux familles distinctes, souvent confondues
La RFID en ultra-haute fréquence. Elle travaille dans la bande 860–960 MHz, se lit à plusieurs mètres — couramment quatre à dix — et surtout en masse : une centaine d'étiquettes par seconde, sans visibilité directe.
C'est la technologie retenue pour l'identification des cartons et des palettes.
La HF, dont relève la NFC. Elle travaille à 13,56 MHz, se lit à quelques centimètres jusqu'à environ un mètre, et une étiquette à la fois. Sa particularité décisive : elle se lit avec n'importe quel téléphone récent, sans matériel dédié.
Ce ne sont pas deux niveaux d'une même technologie, mais deux outils pour deux problèmes différents.
Ce que l'UHF change à l'agrégation
C'est le point le plus important de cette section.
J'ai écrit plus haut que les liens d'agrégation faux sont la deuxième cause d'échec, et qu'ils supposent une vérification physique périodique par sondage. Avec un marquage sans contact, cette vérification cesse d'être un sondage pour devenir une lecture.
Une palette qui franchit un portail est lue en quelques secondes : on obtient le contenu réel, sans ouvrir un seul carton. L'agrégation n'est plus une donnée déclarée puis supposée exacte — elle est constatée à chaque passage. Un écart entre le contenu déclaré et le contenu lu se signale immédiatement, au lieu de se découvrir six mois plus tard dans un rappel qui déborde.
Le même mécanisme referme les trous de capture. La lecture ne demandant plus d'action de l'opérateur, les événements se captent aux points de passage naturels — réception, expédition, franchissement de zone — sans dépendre de la discipline d'exécution ni de la charge de travail du moment.
Ce que la NFC apporte, qui est autre chose
La NFC ne sert pas la logistique de masse : elle sert le contrôle unitaire, au plus près du produit.
Son intérêt tient à un fait simple : le vérificateur n'a besoin de rien d'autre que son téléphone. Un distributeur, un réceptionnaire, un service qualité, un client final peuvent vérifier sans matériel ni formation.
Second intérêt, moins connu : contrairement à un identifiant imprimé ou à une étiquette RFID basique, une puce NFC peut embarquer une fonction cryptographique — un secret qui ne sort jamais de la puce et qui produit, à chaque lecture, une réponse différente et vérifiable. Une puce de ce type ne se duplique pas en copiant son identifiant, ce qui la fait basculer du côté de l'authentification.
La physique, qui décide de tout
C'est ici que le sujet redevient un problème d'emballage, et c'est ce que les projets découvrent trop tard.
L'UHF supporte mal le métal et les liquides. Ils absorbent ou réfléchissent le signal. Or ce sont précisément les configurations sensibles : bouteilles de vin et de spiritueux, cosmétiques à capot métallique, conserves, aérosols, produits pharmaceutiques en flacon. Il existe des étiquettes conçues pour poser sur métal, mais elles coûtent plus cher et imposent leurs contraintes.
La HF se comporte nettement mieux dans ces environnements, au prix d'une portée courte et d'une lecture unitaire.
L'emplacement de l'étiquette devient une décision de conception d'emballage. Position sur la caisse, orientation de l'antenne, distance au contenu, matériaux traversés, comportement une fois la palette constituée — une étiquette parfaitement lisible sur un carton isolé peut devenir illisible au cœur d'une palette.
Cela s'arbitre au moment du dessin de l'emballage, pas au moment de la mise en service.
Le taux de lecture n'est jamais de cent pour cent. C'est le corollaire du précédent, et il doit être traité exactement comme la qualité d'impression des codes : un taux de lecture minimal exigé, des conditions de mesure définies, un plan de vérification en configuration réelle — palette complète, cadence de passage, orientation quelconque.
Sans cela, il n'existe aucun référentiel contractuel le jour où le portail ne lit que quatre-vingt-douze pour cent d'une palette.
Ce que cela ne change pas
L'identifiant d'une étiquette RFID ordinaire se recopie, exactement comme un code imprimé. Une étiquette clonée produit un objet parfaitement traçable et parfaitement faux. La distinction posée en ouverture reste entière : tracer n'est pas authentifier, quel que soit le porteur. Seules les puces à fonction cryptographique échappent à cette limite.
Le code imprimé ne disparaît pas. Les mentions lisibles par l'œil humain restent exigées, et il faut un recours quand la puce est défaillante ou le lecteur absent. La question n'est donc jamais « code ou puce », mais « quelle combinaison ».
Le coût unitaire est d'un autre ordre. Un code imprimé ne coûte que l'encre ; une étiquette électronique a un prix par unité qui, multiplié par des millions d'exemplaires, oriente la décision plus sûrement que n'importe quel argument technique.
Un point à vérifier avant de généraliser : l'incidence d'une étiquette électronique sur la recyclabilité de l'emballage qui la porte. Les exigences européennes en matière d'emballages imposent de démontrer la compatibilité avec une filière de recyclage existante.
Faites confirmer, filière par filière, qu'une puce apposée sur un support papier ou carton ne compromet pas cette compatibilité — c'est une question que je vois rarement posée en amont, et qui peut se retourner.
Les trois porteurs, et ce que chacun referme
Code imprimé sur support ordinaire => Coût minimal, lisibilité humaine, universel => Aucun — c'est le socle
Code imprimé sur film micro-optique => Le support s'authentifie à l'œil, sans outil ni réseau => La confusion traçabilité / authentification
RFID en ultra-haute fréquence => Lecture en masse, sans visibilité directe, sans opération => Les liens d'agrégation faux, les trous de capture
NFC, avec fonction cryptographique => Vérification unitaire au téléphone, authentification réelle => Confusion traçabilité / authentification, contrôle terrain
Aucun ne suffit seul.
Le bon dispositif combine ce que le risque justifie, référence par référence — et chaque combinaison se spécifie, se mesure et se vérifie.
Comment s'audite une chaîne de traçabilité
La méthode tient en quatre temps, et elle est délibérément physique.
Le test de remontée. On prend un produit fini au hasard, en bout de chaîne ou en rayon, et l'on demande à l'entreprise de remonter jusqu'au lot de support, à la date de production, à la ligne et à l'équipe. Le temps mis et le nombre de ruptures rencontrées disent l'essentiel.
Le test de descente. À l'inverse, on part d'un lot de matière et l'on demande où sont partis tous les produits qui en sont issus.
C'est ce test qui compte le jour d'un rappel, et c'est celui qui échoue le plus souvent.
Le contrôle physique de l'agrégation. On ouvre des caisses et l'on compare le contenu réel au contenu déclaré, par sondage.
Sur une chaîne équipée de marquage sans contact, on compare la lecture du portail au contenu déclaré — et l'on vérifie le taux de lecture en configuration réelle, palette complète.
Le contrôle de lisibilité. On mesure la qualité des codes sur des exemplaires prélevés à différents moments du tirage et à différents stades de la finition — pas seulement sur un exemplaire de calage. Sur support micro-optique, ce contrôle se double d'un examen du comportement en lumière rasante et à angle variable.
Ces quatre tests demandent une journée. Ils disent ce que trois mois d'audit documentaire ne diront pas.
Une chaîne à auditer, un cahier des charges de marquage à écrire, un lot de codes en litige ?
Audit de chaîne de traçabilité : deux à trois semaines.
Audit de lisibilité et rédaction du référentiel : une à deux semaines.
Constat contradictoire sur lot bloqué : 24 à 48 heures.
📞 +33 (0)7 86 98 11 21 · ✉️ contact@phclaudelexpert.fr