MARKETIA
ConnexionInscription
N2 · Un peu de bricolageNouveau

Comptabilité auto-hébergée assistée par IA (TaxHacker)

Classe vos factures et reçus par LLM, sans dépendre d'un SaaS tiers

Vendu par MagicMate

Ce qu'il faut

Niveau
N2 · Un peu de bricolage — Fonctionne dans un outil que vous avez déjà, mais demande des réglages (clé d'accès, options) avant d'être opérationnel.
Serveur requis
Non
Réglages requis
Oui
Licence
Projet tiers sous licence permissive (MIT) : utilisation, modification et redistribution permises selon ses termes, avec conservation des mentions de droit d'auteur et du texte de licence. Le texte de la licence d'origine, publié dans le dépôt source, fait foi.

TaxHacker est une application de comptabilité auto-hébergée qui lit vos factures et reçus avec un LLM pour les classer, les catégoriser et préparer vos déclarations sans dépendre d'un SaaS tiers. Utile pour les indépendants ou petites structures qui veulent garder leurs données bancaires et fiscales chez eux tout en automatisant la saisie comptable (avec un modèle local ; avec OpenAI, Gemini ou Mistral, les documents sont envoyés à ce fournisseur).

Limites et précautions : le README qualifie le projet de « early development, use at your own risk » : ne le recommandez pas pour de vraies données financières sans audit. Des issues de sécurité sont ouvertes (relevées le 2026-10-17) : #186 (injection de requête serveur et lecture de fichiers locaux sans authentification), #187 et #148 (SSRF) et #147 (secret JWT par défaut). Le code contient des secrets par défaut et le README annonce une génération de secret absente du script de démarrage : définissez votre propre clé secrète, placez l'application derrière un proxy avec authentification, sans exposition publique. Le README ne mentionne ni plan comptable français, ni TVA française, ni FEC : ce n'est pas un logiciel de comptabilité conforme.

Licence et attribution : ce produit référence le projet open source TaxHacker (https://github.com/vas3k/TaxHacker), distribué sous licence MIT (texte complet : https://github.com/vas3k/TaxHacker/blob/main/LICENSE). Tous droits conservés par ses auteurs ; cette fiche est une présentation rédigée par Marketia.

Critique Marketia

Verdict

Idée séduisante (photographier un ticket, l'IA remplit la ligne comptable) portée par un projet jeune, que son auteur qualifie lui-même de « early development, use at your own risk » ; des failles de sécurité signalées publiquement n'ont, à notre lecture, pas reçu de réponse du mainteneur. À ne pas mettre en production avec de vraies données financières sans audit.

Pour qui (PME française)

  • Un indépendant ou une très petite structure, technique, qui veut un classeur de justificatifs avec extraction automatique, et qui accepte de relire chaque ligne.
  • Pas pour une comptabilité française réglementée : aucune mention du plan comptable français, de la TVA française, du FEC ou de la facturation électronique dans le README lu. Ce n'est pas un logiciel de comptabilité conforme, c'est un classeur de dépenses.

Points forts prouvés

  • Extraction par IA de dates, montants, marchands, lignes, catégories à partir de photos, PDF et factures ; champs et prompts personnalisables ; export CSV avec les documents (README lu).
  • Modèles au choix : OpenAI, Google Gemini, Mistral, ou un modèle local compatible OpenAI (README) ; le README prévient que les résultats d'un modèle local en OCR ne sont pas garantis.
  • Docker Compose fourni, avec PostgreSQL 17 et migrations automatiques (README lu et docker-entrypoint.sh lu) ; option no-new-privileges.
  • Conversion de devises à la date de la transaction, 170+ devises annoncées (README).

Limites et risques

  • Statut de l'auteur : le README indique « still in early development. Use at your own risk » et, en tête, que l'auteur cherche un emploi (README lu) : signal de risque de maintenance à moyen terme, sans qu'on puisse le prédire.
  • Activité : dernière release v0.8.5 le 2026-07-20 ; dernier commit lu le 2026-09-21 (flux Atom). Pas d'activité quotidienne comme les autres produits de ce lot.
  • Failles signalées et toujours ouvertes sur la page des issues : #186 (2026-08-26) injection de requête serveur et lecture de fichiers locaux sans authentification via l'action generateInvoicePDF, #187 (2026-08-26) SSRF, #148 (2026-07-07) SSRF via la configuration IMAP, #147 (2026-07-07) secret JWT par défaut. Nous avons relu le code : lib/config.ts contient .default("please-set-your-key-here") pour BETTER_AUTH_SECRET, lib/encryption.ts retombe sur "insecure-self-hosted-secret", et docker-entrypoint.sh ne génère aucun secret alors que le README annonce une génération automatique dans ./data/.better_auth_secret. Nous n'avons pas exécuté l'application : nous ne savons pas si le comportement avec un secret vide dans docker-compose est un échec au démarrage ou un repli sur la valeur par défaut. Le reste (SSRF, lecture de fichiers) est rapporté par des tiers, non reproduit par nous.
  • Aucun commentaire du mainteneur visible sur #186 et #147 dans la page lue (résumé automatique, à confirmer sur la page).
  • La sauvegarde et la restauration : une issue de février 2026 signale une restauration de sauvegarde qui ne marche pas (#72, ouverte).
  • Confidentialité : avec OpenAI, Gemini ou Mistral, vos factures sont envoyées à ce fournisseur. Données financières et RGPD : à encadrer par contrat.

Effort d'installation réel

Faible pour l'essai (deux commandes Docker). Élevé pour un usage sûr : définir soi-même une vraie clé secrète, mettre l'application derrière un proxy avec authentification et sans exposition publique, choisir un modèle, tester la restauration. Estimation : une heure pour tester, une à deux journées pour durcir. Estimation, pas mesure.

Alternatives

  • Pour la comptabilité française réelle : un logiciel de compta en ligne agréé, ou Odoo (module comptabilité et OCR), hors périmètre de ce produit.
  • Paperless-ngx pour archiver et classer les justificatifs sans IA comptable (non évalué ici).

Licence et attention commerciale

MIT (fichier LICENSE lu : « Copyright (c) 2025 Vasily Zubarev »). Usage commercial du code permis. Sans garantie : en cas d'erreur d'extraction ou de fuite, aucune responsabilité de l'auteur.

Ce que nous n'avons pas testé

Aucune installation, aucun test d'extraction sur factures françaises, aucun test de qualité d'un modèle local, aucune reproduction des failles signalées, aucune lecture du code complet (seuls config.ts, encryption.ts, le Dockerfile et l'entrypoint ont été lus), aucun test de sauvegarde et restauration.

Sources (lues le 2026-10-17)