Sous-traitants d’Airbus, Safran et Thales : les dossiers de certification qu’un avionneur étranger pourrait chercher

Un avion qu’on ne peut pas encore vendre

COMAC, l’avionneur chinois, construit le C919. C’est un monocouloir conçu pour concurrencer les avions les plus vendus d’Airbus et de Boeing^[1].

Le C919 est entré en service commercial en Chine en 2023^[1]. Il ne peut pas être vendu à une compagnie européenne sans certification de l’EASA, l’agence européenne de la sécurité aérienne.

L’Union européenne et la Chine sont liées par un accord bilatéral de sécurité aérienne depuis septembre 2020. Ses procédures fixent la manière dont chaque autorité valide les approbations de l’autre^[2]. Le travail de certification reste à faire.

COMAC espérait une approbation européenne en 2025. En avril 2025, le directeur exécutif de l’EASA, Florian Guillermet, a dit que ce n’était pas possible. Il a évoqué un délai de trois à six ans^[1].

En juillet 2026, Air Journal a fait état de progrès, en citant le South China Morning Post. Des pilotes d’essai de l’EASA avaient testé l’appareil en vol en Chine pendant des mois.

La quasi-totalité des vols d’essai serait terminée. Air Journal en a déduit la fenêtre probable d’une approbation européenne : entre 2028 et 2031^[3].

Le temps est donc le vrai coût. Chaque année sans certificat est une année sans vente en Europe.

C’est une hypothèse sur le mobile. Rien ici ne dit que COMAC, ou un autre avionneur, a acheté ou utilisé des fichiers publiés.

Ce que la certification laisse derrière elle

L’EASA décrit la certification de type en quatre étapes^[4].

1. Familiarisation technique et base de certification. Le bureau d’études présente le projet à l’EASA.
2. Établissement du programme de certification. Le demandeur propose la façon dont il démontrera la conformité.
3. Démonstration de conformité. Elle se fait par des analyses, des simulations, des essais en vol et des essais au sol.
4. Clôture technique et délivrance de l’approbation.

L’EASA voit dans la troisième étape la phase la plus longue du processus. Pour les gros avions, le délai fixé pour mener un projet de certification est de cinq ans, et il peut être prolongé^[4].

Cette troisième étape laisse du papier : les rapports de toutes ces analyses et de tous ces essais. Ils montrent ce que l’autorité a demandé et ce qu’elle a accepté.

L’avionneur ne détient pas tout. Un équipementier garde les rapports d’essais de sa propre pièce. Un sous-traitant d’ingénierie garde les brouillons des documents qu’il rédige pour son client.

Un seul dossier de certification est donc réparti entre de nombreuses entreprises. Elles ne le protègent pas toutes de la même façon.

Pour un nouvel entrant, les preuves d’un concurrent seraient un raccourci. C’est l’hypothèse de cette étude, pas un résultat.

Les précédents

Les fichiers des entreprises aéronautiques sont une cible : des faits publics l’établissent. Cinq événements datés le montrent. Deux d’entre eux citent le même bureau de renseignement chinois.

Ce sont des affaires d’espionnage et d’intrusion. Aucune n’est une décision de justice contre COMAC.

Elles montrent deux choses. Les dossiers d’ingénierie aéronautique étaient une cible, et en 2019 les documents de certification, nommément. Et l’on est souvent entré par quelqu’un d’autre : l’accès d’un sous-traitant, le compte d’un client, des salariés de l’entreprise.

Ce qui a changé : plus besoin de s’introduire

Dans chacune de ces affaires, il a fallu s’introduire. Cela demandait des compétences, du temps et une prise de risque.

Le ransomware a changé ce coût. Les groupes publient les fichiers des entreprises qui ne paient pas, et n’importe qui peut les télécharger.

Novembre 2022 en donne un exemple. Un groupe de ransomware a publié une archive de données de Thales^[10]. Thales a déclaré n’avoir trouvé aucune intrusion dans ses propres systèmes.

L’entreprise a cité deux origines probables. L’une était le compte d’un partenaire sur un portail collaboratif, qui a exposé une quantité limitée d’informations.

Si l’on suit cette explication, les fichiers d’une entreprise peuvent devenir publics sans que ses propres systèmes soient touchés. Un document qui exigeait autrefois une intrusion peut se trouver dans une archive publique, parmi des fichiers de paie et des factures.

La filière le sait. En juillet 2026, le GIFAS a annoncé un programme qui vise jusqu’à 200 PME et ETI d’ici fin 2027^[11]. Il doit élever leur maturité cyber avec AirCyber, le référentiel de cybersécurité du secteur.

Ce qui est déjà publié

OwlyScan est un moteur de recherche sur les fichiers que ces groupes mettent en ligne. Nous l’avons interrogé sur l’aéronautique européenne.

Nous avons pris dix noms : quatre grands groupes et six de leurs fournisseurs. Nous avons cherché les passages où un nom côtoie l’un de six termes de certification, comme EASA ou certificat de type. Un passage est un morceau de document.

• 8× plus de termes de certification autour des noms de l’aéronautique qu’en dehors
• 4 sur 5 ou plus des fournisseurs de la carte ont un passage de certification
• 2× les correspondances des fournisseurs avec les mots de l’atelier

Les termes de certification sont 8 fois plus fréquents autour des noms de l’aéronautique

Des milliers de passages correspondent. Cela ne dit pas grand-chose en soi : une entreprise citée partout est citée près de tous les mots.

Nous avons donc lancé la même recherche sur dix grandes entreprises hors aéronautique. À taille comparable, les termes de certification sont environ 8 fois plus fréquents autour des noms de l’aéronautique.

Une réserve. Les entreprises de comparaison travaillent dans l’alimentaire, la distribution et la pharmacie : une partie de cet écart tient donc au vocabulaire.

La comparaison avec d’autres industries certifiées, comme le ferroviaire ou les dispositifs médicaux, reste à faire.

La moitié repose sur un terme générique

Deux termes portent l’essentiel des correspondances : « test report » et EASA. « Test report » en représente à lui seul environ la moitié.

Toutes les industries rédigent des rapports d’essais. EASA, c’est autre chose : c’est le nom du régulateur, et seule l’aviation l’emploie.

Sur le seul terme EASA, l’un des quatre grands groupes, avec ses fournisseurs, concentre plus des quatre cinquièmes des correspondances.

Près de la moitié vient d’un seul lot

Les correspondances ne sont pas réparties uniformément. Un seul lot de collecte, soit à peu près une publication, en contient près de la moitié. Dix lots en contiennent plus des quatre cinquièmes.

Ce qui circule vient donc de quelques événements. Sans le plus gros lot, le taux reste plus de 4 fois supérieur à celui des entreprises hors aéronautique.

Et l’index continue de grossir. Parmi ces passages, quatre sur dix y sont entrés en 2026. C’est la date de notre collecte, pas celle de la publication.

Les fournisseurs sont sur la carte

La carte en haut de la page place les quatre grands groupes et 48 fournisseurs. Tous sauf un viennent de la liste publique des fournisseurs agréés d’Airbus^[12]. Nous ne les nommons pas.

Voir la carte

Plus de quatre sur cinq ont au moins un passage avec un terme de certification. Un trait relie chaque fournisseur au grand groupe avec lequel il est le plus souvent cité.

Pour certains, ce lien est l’essentiel de ce que les fichiers disent d’eux. Plus de la moitié des passages qui citent une société d’ingénierie citent aussi Airbus.

Les documents des sous-traitants emploient d’autres mots

Les six termes viennent du régulateur. Les sous-traitants écrivent avec les mots de l’atelier, souvent en anglais : qualification test, acceptance test, first article inspection, certificate of conformity.

Avec ces mots en plus, les correspondances des fournisseurs doublent à peu près. Sept fournisseurs sur dix en gagnent.

Ces mots sont génériques eux aussi. D’autres industries réalisent des essais de réception. Une correspondance est donc une piste à vérifier, pas un constat.

Ce que ces résultats ne disent pas

• Une correspondance, ce sont deux chaînes de caractères dans un même passage. Ce n’est pas un dossier de certification.
• Être cité ne veut pas dire avoir été compromis. Les fichiers peuvent venir d’une autre organisation.
• La carte classe les entreprises. Elle ne les mesure pas.
• Personne ne peut voir qui a téléchargé des fichiers publiés.

Les règles et les limites sont sur une page à part : Comment nous comptons.

Si vous êtes sous-traitant

Vous ne pouvez pas réparer une compromission chez quelqu’un d’autre. Quatre choses dépendent de vous.

1. Listez ceux qui détiennent vos preuves. Laboratoires d’essais, sous-traitants d’ingénierie, équipementiers. Vos documents peuvent sortir de chez chacun d’eux sans que vos systèmes soient touchés.
2. Limitez les copies de travail. Les sous-traitants gardent des brouillons et des rapports d’essais après la fin d’un projet. Demandez leur restitution ou leur suppression.
3. Posez la question quand un fournisseur est touché. La bonne question : lesquels de vos documents étaient dans ses fichiers publiés ? Le fournisseur sait rarement y répondre vite.
4. Cherchez dans ce qui est publié. N’attendez pas qu’un client vous le demande. Cinq recherches couvrent l’essentiel.

Cinq recherches

La publication d’un fournisseur vous cite rarement dans son titre. Cherchez donc dans les fichiers publiés, avec ces cinq requêtes.

1. Le nom de votre entreprise : "Votre Société"
   Cela montre si quelque chose vous cite.
2. Votre nom avec votre principal client : "Votre Société" Airbus
   Ce sont les documents sur lesquels votre client vous interrogera.
3. Votre nom avec un mot de l’atelier : "Votre Société" "qualification test"
   Puis « acceptance test », « first article inspection » et « certificate of conformity », un par un.
4. Une référence de pièce ou un code projet, sans votre nom : "12345-678-01"
   Les documents sur vos pièces sont dans les fichiers d’autres entreprises. Tapez la référence exactement comme elle est écrite, entre guillemets.
5. Vos fournisseurs critiques : "Nom du fournisseur"
   Leurs fichiers publiés peuvent contenir vos documents.

Que faire du résultat

Si une recherche renvoie quelque chose, regardez d’abord de quel type de document il s’agit. Un contrat, une facture et un fichier de paie n’appellent pas la même réponse.

Listez les clients et les programmes cités, et prévenez votre client en premier. Mieux vaut qu’il l’apprenne par vous.

Changez ce qui peut l’être. Les mots de passe et les clés se remplacent. Un document publié ne se récupère pas : considérez-le comme public.

Si une recherche ne renvoie rien, c’est une bonne nouvelle, pas un certificat. Relancez les recherches chaque mois.

Où les lancer

Vous pouvez lancer ces requêtes dans la recherche gratuite d’OwlyScan, sans compte. Elle a une limite quotidienne : commencez par les recherches 1, 2 et 4.

Elle indique combien d’enregistrements correspondent et jusqu’à six exemples, avec les détails des autres organisations masqués. Lire en entier les enregistrements qui citent votre entreprise nécessite un compte.

Questions

La méthode en bref

Nous avons interrogé l’index OwlyScan en novembre 2026. Il contient plus de 160 millions de passages. Presque toutes les correspondances viennent de sites de publication de ransomware.

Un passage est compté quand il contient le nom exact de l’entreprise et un terme. Les dix noms de l’aéronautique sont les quatre grands groupes et six de leurs fournisseurs. Le groupe de comparaison réunit dix grandes entreprises françaises de l’alimentaire, de la distribution et de la pharmacie.

Les règles et les limites sont sur une page à part : Comment nous comptons.