Sur impots.gouv.fr, un code à 6 chiffres arrive par SMS dans quelques cas précis : valider le numéro de portable enregistré dans votre espace, récupérer un numéro fiscal, renouveler un mot de passe, modifier les coordonnées bancaires de l'impôt sur le revenu. Si vous n'avez lancé aucune de ces démarches, deux explications restent possibles : quelqu'un les a lancées à votre place, ou le message n'émane pas de la DGFiP. Les deux se vérifient au même endroit, et ce n'est pas dans le message.
L'administration publie la consigne pour ce cas : contacter la DGFiP au 0 809 401 401.
Ce qui déclenche un code par SMS
La page d'aide de l'administration énumère : « Un code est envoyé pour la récupération du numéro fiscal, le renouvellement du mot de passe ou la modification de vos coordonnées bancaires en matière d'impôt sur le revenu » (impots.gouv.fr). La même page décrit un quatrième envoi, en amont : lorsqu'on enregistre un numéro de portable dans « Mon profil », rubrique « Mes moyens de contact », « vous recevrez un code à 6 chiffres par SMS que vous devrez saisir dans le champ prévu ». Si vous venez d'enregistrer votre portable, le code que vous recevez est celui-là.
Un code authentique suppose donc que votre numéro figure dans un espace impots.gouv.fr, et qu'une de ces demandes vient d'y être faite.
Deux détails de la même page aident à lire ce qui s'est passé. Dans le cadre de la procédure d'enregistrement du portable, le nombre d'envois est plafonné : « Dans le cadre de cette procédure, vous pouvez solliciter au maximum trois envois de code par SMS. Ensuite, la demande de code sera impossible pendant 30 minutes. » Trois codes coup sur coup ne signalent donc pas un bug : ils signalent trois demandes rapprochées. Et la consigne en cas de demande non reconnue est explicite : « Dans le cas où vous n'êtes pas à l'origine de cette demande, veuillez vous rapprocher rapidement des services de la DGFIP, au 0 809 401 401 (service gratuit + prix d'un appel, disponible du lundi au vendredi, de 8h30 à 19h). » Ce numéro est bien celui publié sur la page contacts de impots.gouv.fr.
Un code et un hameçonnage n'ont pas la même forme
Un message qui n'est pas un code du tout amène souvent ici. Les deux objets se distinguent avant même de se demander qui les a envoyés.
| Un code d'authentification | Un SMS d'hameçonnage | |
|---|---|---|
| Contenu du message | 6 chiffres | un lien à ouvrir, ou un numéro à rappeler |
| Ce qu'on en fait | on le saisit dans le champ de la page où on se trouve déjà | on est censé cliquer ou appeler |
| Réponse attendue | aucune | un clic, puis des données à saisir |
| Motif annoncé | aucun, ou l'opération en cours | un remboursement, une amende, un impayé |
Un SMS de code peut aussi ne contenir aucun lien, mais un numéro à rappeler. Ne composez jamais un numéro qui figure dans le message : prenez celui publié sur impots.gouv.fr. Dès qu'un message vous fait ouvrir une page, vous n'êtes plus dans une procédure d'authentification, vous êtes dans une sollicitation. La DGFiP a documenté elle-même la circulation de faux SMS à son nom, et sa consigne ne bouge pas : « Ne cliquez jamais sur ces liens et ne donnez jamais suite à ce type de messages » (impots.gouv.fr). Sur sa page consacrée à l'hameçonnage, elle ajoute trois gestes : ne pas répondre au message, ne pas cliquer sur les liens, le supprimer.
Ce que ce SMS prouve, et ce qu'il ne prouve pas
Il ne prouve pas que quelqu'un est déjà entré dans votre espace. Le code est précisément ce qui manque à cette personne pour terminer. Tant qu'il n'est pas saisi sur le site, l'opération reste bloquée. C'est aussi pour cette raison que le communiquer, à un interlocuteur au téléphone comme sur une page atteinte depuis un lien, revient à franchir la dernière marche à sa place.
Il ne prouve pas non plus que le message vient de la DGFiP. Rien, dans un SMS, ne se vérifie depuis le SMS. Ni le nom affiché, ni le motif, ni l'apparence. La seule vérification possible passe par le site officiel, ouvert en tapant l'adresse soi-même.
Dans quel ordre vérifier
Ne transmettez le code à personne
Aucun agent de la DGFiP, aucun conseiller bancaire, aucun service client n'a besoin qu'on lui dicte un code reçu par SMS. Un appel qui réclame ce code pendant que vous l'avez sous les yeux est le scénario type du faux conseiller bancaire, transposé à l'administration fiscale. Cela vaut aussi quand c'est vous qui composez le numéro, s'il vient du message.
- Ne répondez pas au SMS et n'ouvrez aucun lien s'il en contient un.
- Ouvrez impots.gouv.fr en tapant l'adresse vous-même dans la barre du navigateur. Ne passez pas par un lien, pas plus par un résultat de recherche sponsorisé.
- Changez votre mot de passe. S'il servait ailleurs, changez-le aussi sur les autres services, en commençant par votre messagerie.
- Regardez les coordonnées bancaires enregistrées. Pour l'impôt sur le revenu, elles se consultent dans la rubrique « Prélèvement à la source », bouton « Mettre à jour vos coordonnées bancaires » (procédure décrite sur impots.gouv.fr). C'est l'une des trois opérations que le code protège, donc l'une des trois à contrôler.
- Vérifiez l'adresse courriel enregistrée dans « Mon profil », « Mes moyens de contact ». Elle est le second canal de sécurité du compte.
- Appelez le 0 809 401 401 et signalez que vous avez reçu un code sans l'avoir demandé. C'est la démarche que l'administration indique elle-même.
- Si le message contenait un lien, transférez-le au 33700, la plateforme de signalement des SMS indésirables gérée par les opérateurs de télécommunications (33700.fr). Les signalements sont transmis chaque jour aux opérateurs.
Si vous avez déjà saisi ce code sur une page atteinte depuis un lien, ou si vous l'avez dicté à quelqu'un, la situation change de nature : reportez-vous au guide que faire si vous êtes victime d'une arnaque, et appelez la DGFiP sans attendre le lendemain.
Le code de connexion, lui, arrive par courriel
C'est la confusion la plus fréquente, et elle a une conséquence pratique. Depuis 2025, se connecter à l'espace particulier demande un code de sécurité en plus du mot de passe, et ce code est adressé « à l'adresse courriel connue de la DGFiP », sous la forme de 6 chiffres. Une fois saisi, il permet de se connecter sans nouveau code pendant six mois (impots.gouv.fr, publié le 25 juin 2025, mis à jour le 6 janvier 2026).
Deux canaux, donc, pour deux usages : le courriel pour entrer dans le compte, le SMS pour trois opérations sensibles à l'intérieur. Cela veut dire qu'une adresse courriel compromise ou remplacée pèse directement sur l'accès au compte fiscal. La DGFiP le dit d'ailleurs sur cette même page : la sécurité de l'espace dépend aussi de celle de la messagerie utilisée. C'est le premier point à traiter dans la sécurisation de vos comptes en ligne.
Si les codes arrivent et que votre téléphone se tait
Si vous recevez ce genre de codes puis que votre ligne mobile cesse de fonctionner sans raison, plus d'appels, plus de SMS, plus de réseau, le problème n'est plus seulement du côté du compte fiscal. Contactez votre opérateur immédiatement et lisez notre article sur le SIM swapping, qui décrit ce mode opératoire.
Le SMS qui annonce un remboursement est un autre sujet
Rien à voir avec un code. Un message qui promet un trop-perçu, un crédit d'impôt à réclamer ou un remboursement à débloquer relève d'un autre mécanisme, traité dans notre article sur le faux SMS de remboursement d'impôts. Le point commun avec ce qui précède tient en une ligne, publiée par l'administration : « Le numéro de carte bancaire ne vous est jamais demandé pour le paiement d'un impôt ou le remboursement d'un crédit d'impôt » (impots.gouv.fr).
Sources
Pages consultées le 5 août 2026.
- Comment renforcer la sécurité de l'accès à mon espace Finances publiques ? (code à usage unique par SMS, trois opérations concernées, plafond de trois envois, 0 809 401 401) : impots.gouv.fr
- La sécurité de votre espace Finances publiques se renforce (code de connexion à 6 chiffres envoyé par courriel, validité six mois) : impots.gouv.fr
- Courriels et SMS frauduleux (hameçonnage ou phishing) : impots.gouv.fr
- Circulation de SMS frauduleux : impots.gouv.fr
- Les réflexes à adopter pour votre sécurité (domaines officiels, signalement) : impots.gouv.fr
- Contact et prise de rendez-vous (0 809 401 401, horaires et tarification) : impots.gouv.fr
- Comment modifier mes coordonnées bancaires / mon RIB : impots.gouv.fr
- Plateforme de signalement des SMS et appels indésirables : 33700.fr