Signatures numériques et signatures électroniques : ce que vous devez savoir

Les signatures numériques dans les documents PDF suivent un processus défini dans la spécification PDF et la norme PAdES (PDF Advanced Electronic Signatures). Lorsqu'un signataire applique une signature numérique, le logiciel PDF calcule un hachage (une empreinte de taille fixe) du contenu du document. Ce hachage est ensuite chiffré à l'aide de la clé privée du signataire, créant la signature numérique. La signature, accompagnée du certificat du signataire (qui contient sa clé publique et ses informations d'identité), est intégrée dans le PDF.

Lorsqu'un destinataire ouvre le PDF signé, le processus de vérification inverse ces étapes. Le lecteur PDF extrait le certificat du signataire et utilise la clé publique pour déchiffrer la signature, récupérant le hachage original. Il calcule ensuite indépendamment le hachage du contenu du document. Si les deux hachages correspondent, le document n'a pas été modifié depuis la signature. Le lecteur valide également la chaîne de certificats du signataire, vérifiant que le certificat a été émis par une AC de confiance, n'a pas expiré et n'a pas été révoqué.

Le PDF prend en charge plusieurs signatures sur un même document. Chaque signature ultérieure couvre l'ensemble du document, y compris les signatures précédentes, créant une chaîne qui préserve l'intégrité des contributions de tous les signataires. Les sauvegardes incrémentielles permettent d'ajouter du contenu après une signature sans l'invalider, bien que le lecteur PDF indique que le document a été modifié depuis l'application de la signature. Ce mécanisme prend en charge les flux de travail où plusieurs parties signent un document en séquence.

La validité juridique des signatures électroniques et numériques varie selon la juridiction et le cas d'usage. Aux États-Unis, la loi ESIGN (2000) et l'UETA (Uniform Electronic Transactions Act) confèrent aux signatures électroniques la même valeur juridique que les signatures manuscrites pour la plupart des transactions. Les exceptions incluent les testaments, certains documents de droit de la famille, les ordonnances judiciaires et les documents régis par des réglementations spécifiques exigeant des signatures manuscrites.

Le règlement eIDAS de l'Union européenne (2014) établit trois niveaux de signatures électroniques. Une signature électronique simple n'a pas d'exigences techniques spécifiques et présente la plus faible présomption de validité. Une signature électronique avancée doit être liée de manière unique au signataire, capable d'identifier le signataire, créée à l'aide de données sous le contrôle exclusif du signataire, et liée aux données signées de manière à détecter les modifications ultérieures. Une signature électronique qualifiée est une signature électronique avancée créée par un dispositif de création de signature qualifié et basée sur un certificat qualifié. Seules les signatures électroniques qualifiées ont l'équivalence juridique automatique des signatures manuscrites dans tous les États membres de l'UE.

D'autres juridictions ont leurs propres cadres. La loi chinoise sur les signatures électroniques reconnaît les signatures électroniques fiables répondant à des critères spécifiques similaires à ceux de la signature électronique avancée de l'UE. La loi indienne sur les technologies de l'information reconnaît les signatures numériques utilisant des normes cryptographiques spécifiques. De nombreux pays d'Amérique latine, d'Asie et d'Afrique ont adopté des lois sur les signatures électroniques, souvent inspirées de la Loi type de la CNUDCI sur les signatures électroniques. Avant de vous fier à des signatures électroniques ou numériques pour des documents juridiquement significatifs, consultez les exigences spécifiques de la juridiction concernée.

La fiabilité d'une signature numérique dépend du certificat utilisé pour la créer. Les certificats sont émis par des autorités de certification (AC), des organisations de confiance chargées de vérifier l'identité des détenteurs de certificats. Lorsqu'une AC émet un certificat, elle atteste que la clé publique du certificat appartient à la personne ou à l'organisation nommée. Cela crée une chaîne de confiance : vous faites confiance à la signature parce que vous faites confiance au certificat, et vous faites confiance au certificat parce que vous faites confiance à l'AC.

Les lecteurs PDF maintiennent une liste d'AC racines de confiance. Adobe Acrobat utilise la liste de confiance approuvée par Adobe (AATL) et la liste de confiance de l'Union européenne (EUTL). Lors de la vérification d'une signature, le lecteur PDF vérifie si le certificat du signataire remonte à une AC racine de confiance. Si c'est le cas, la signature est affichée comme valide. Si l'AC n'est pas de confiance, le lecteur avertira que la validité de la signature ne peut pas être confirmée, même si la vérification cryptographique réussit.

Pour les organisations, le choix de la bonne AC et du bon type de certificat est important. Les certificats de signature de documents d'AC listées dans l'AATL garantissent que les signatures sont automatiquement reconnues dans les produits Adobe. Les certificats qualifiés de prestataires de services de confiance de l'UE offrent la valeur juridique la plus élevée en vertu d'eIDAS. Les certificats auto-signés peuvent être utilisés au sein d'une organisation mais ne seront pas reconnus par des parties externes sans configuration manuelle de la confiance. Le coût varie de gratuit (Let's Encrypt pour les certificats de base) à plusieurs centaines d'euros par an pour les certificats qualifiés ou de signature de documents validés par l'organisation.

La validité d'une signature numérique est normalement liée à la période de validité du certificat de signature. Les certificats expirent généralement après un à trois ans. Sans mesures supplémentaires, un document signé pourrait afficher la signature comme invalide après l'expiration du certificat, même si la signature était valide au moment de son application. Les horodatages et la validation à long terme (LTV) résolvent ce problème.

Un horodatage est une assertion signée par une autorité d'horodatage (TSA) de confiance attestant que la signature existait à un moment précis. Lorsqu'un horodatage est appliqué à une signature numérique, il prouve que la signature a été créée avant l'expiration ou la révocation du certificat. Le PDF prend en charge les horodatages intégrés utilisant le protocole RFC 3161. L'horodatage est inclus dans le dictionnaire de signature et couvre la valeur de la signature.

La validation à long terme étend ce concept en intégrant toutes les informations nécessaires pour valider la signature à tout moment futur. Une signature compatible LTV inclut le certificat de signature et tous les certificats de la chaîne, la réponse OCSP (Online Certificate Status Protocol) ou la liste de révocation de certificats (CRL) prouvant que les certificats étaient valides au moment de la signature, et l'horodatage. Avec toutes ces informations intégrées, la signature peut être validée même si l'AC cesse d'exister, le répondeur OCSP se déconnecte ou les points de distribution des CRL deviennent indisponibles. PAdES définit des profils spécifiques (PAdES-LTV) pour la validation à long terme dans les documents PDF.

La mise en œuvre de signatures électroniques ou numériques en pratique nécessite de choisir les bons outils et le bon flux de travail pour vos besoins. Pour les signatures électroniques simples (une signature dessinée ou tapée indiquant un accord), les plateformes de signature cloud comme DocuSign, Adobe Sign et HelloSign fournissent des flux de travail complets incluant la préparation du document, l'acheminement vers les signataires, les notifications et les pistes d'audit. Ces plateformes utilisent généralement des signatures numériques côté serveur pour sceller le document signé, même si la signature visible est une signature électronique (et non cryptographique).

Pour les signatures numériques où vous avez besoin d'une preuve cryptographique basée sur un certificat, Adobe Acrobat fournit des capacités de signature intégrées. Vous pouvez utiliser un certificat stocké sur votre ordinateur, une carte à puce ou un service de signature cloud. Le processus de signature consiste à sélectionner le champ de signature, choisir le certificat et optionnellement ajouter une apparence de signature visible. Acrobat gère les opérations cryptographiques et peut appliquer des horodatages depuis des TSA configurées.

Pour les développeurs intégrant la signature dans des applications, des bibliothèques comme pdf-lib (JavaScript), iText (Java/.NET) et PyPDF (Python) prennent en charge l'ajout de signatures numériques de manière programmatique. La bibliothèque pdf-lib utilisée dans les outils PDF basés sur le navigateur peut ajouter des apparences de signature visuelles (images ou signatures dessinées), bien que les signatures numériques cryptographiques nécessitent un traitement côté serveur avec accès à la clé privée. Lors de la conception de flux de travail de signature, considérez l'ensemble du cycle de vie : préparation du document, application de la signature, vérification et validation à long terme. Chaque étape doit être fiable pour que le document signé conserve sa valeur probante.

Le choix entre signatures électroniques et numériques dépend de vos exigences spécifiques en matière de sécurité, de conformité juridique et de simplicité du flux de travail. Pour les approbations internes, les accords informels et les transactions à faible risque, les signatures électroniques simples sont généralement suffisantes. Elles sont plus faciles à mettre en œuvre, ne nécessitent pas de gestion de certificats et sont familières à la plupart des utilisateurs. La piste d'audit fournie par les plateformes de signature (adresse IP, horodatage, confirmation par e-mail) fournit des preuves adéquates pour la plupart des besoins professionnels.

Les signatures numériques sont justifiées lorsque vous avez besoin d'une preuve cryptographique de l'intégrité du document (garantissant que le document n'a pas été altéré), d'une authentification forte du signataire (preuve de l'identité du signataire au-delà d'une simple adresse e-mail), de la conformité à des réglementations exigeant des normes de signature spécifiques (comme les signatures qualifiées eIDAS), ou de la non-répudiation (rendant difficile pour le signataire de nier avoir signé). Les contrats juridiques, les dépôts réglementaires, les documents financiers et les soumissions gouvernementales entrent souvent dans cette catégorie.

Dans certains cas, une approche hybride fonctionne le mieux. Utilisez des signatures électroniques pour la cérémonie de signature côté utilisateur (collecte de la signature dessinée du signataire et de son intention de signer) et appliquez une signature numérique pour sceller cryptographiquement le document complété. Cela offre à la fois une signature conviviale et une protection technique de l'intégrité. De nombreuses plateformes de signature d'entreprise utilisent cette approche, combinant un flux de travail de signature cloud avec un scellement basé sur un certificat. Quelle que soit la méthode que vous choisissez, maintenez des pratiques de signature cohérentes et documentez la politique de signature de votre organisation pour garantir que les documents signés sont traités de manière appropriée par toutes les parties.