22 juin 2026
Introduction
Créer une signature numérique ne consiste pas à dessiner une signature à l’écran. Il faut relier un document précis à une opération cryptographique, protéger la clé privée utilisée et conserver assez d’information pour que la signature puisse être vérifiée plus tard.
Dans une organisation, cette opération s’inscrit généralement dans un service de signature ou auprès d’un fournisseur de confiance. La technicienne qui prépare une attestation ne devrait donc pas improviser ses propres outils cryptographiques : elle doit choisir le certificat et le dispositif approuvés, figer la bonne version du fichier, lancer la signature, puis examiner le résultat de validation.
Ce guide présente la chaîne complète, de la paire de clés jusqu’à la conservation de la preuve. Le niveau de signature et les contrôles à appliquer demeurent toutefois tributaires du document, des parties, de la politique interne et du droit applicable.
Ce qu’une signature numérique produit réellement
Une signature numérique repose sur une paire de clés cryptographiques. La clé privée sert à créer la valeur de signature et doit rester sous le contrôle de son titulaire. La clé publique permet de vérifier cette valeur. Un certificat numérique délivré par une autorité de certification associe ensuite la clé publique à une identité et précise notamment sa période de validité et ses usages.
Au moment de signer, le logiciel calcule d’abord l’empreinte du document. La clé privée est utilisée pour produire une valeur de signature liée à cette empreinte. À la vérification, toute modification du contenu signé entraîne normalement un échec du contrôle d’intégrité.
Ces éléments ont des fonctions distinctes :
Définir le besoin avant de créer la clé
Commencez par identifier le document, le signataire autorisé et le niveau d’assurance attendu. Une attestation interne à faible risque et un document soumis à une exigence de forme ne justifient pas nécessairement le même certificat, la même vérification d’identité ni le même dispositif de création de signature.
La politique de l’organisation devrait désigner le fournisseur ou l’autorité de certification acceptée, les usages permis du certificat et la personne responsable d’une révocation. Lorsqu’une exigence juridique ou contractuelle particulière s’applique, faites confirmer le choix du procédé avant de configurer le flux.
Cette décision initiale évite une erreur fréquente : produire une signature techniquement vérifiable avec un certificat qui ne convient pas à l’usage prévu.
Générer ou obtenir une paire de clés protégée
La paire de clés est créée dans l’environnement approuvé : carte ou jeton cryptographique, module matériel de sécurité, service infonuagique géré ou autre dispositif contrôlé. Dans plusieurs flux professionnels, cette étape est prise en charge par le fournisseur de certificat ou le service de signature plutôt que par l’utilisateur final.
La clé privée ne devrait jamais être envoyée par courriel ni déposée sur un partage réseau. Si une copie de sauvegarde est autorisée, son chiffrement, ses droits d’accès et sa procédure de récupération doivent offrir un niveau de contrôle adapté au risque. Un secret partagé entre plusieurs personnes ne permet plus d’attribuer clairement l’opération à un seul signataire.
Le dossier technique peut consigner l’identifiant du dispositif ou du service, la date de création, le titulaire et les responsables autorisés, sans exposer la clé privée elle-même ni ses données d’authentification.
Obtenir et contrôler le certificat de signature
La demande de certificat transmet la clé publique et les renseignements d’identité exigés par l’autorité de certification. Le processus de vérification varie selon le type de certificat, le fournisseur et le niveau d’assurance recherché.
À la réception, contrôlez au minimum :
- le nom du titulaire et, s’il y a lieu, son organisation;
- l’autorité émettrice et la chaîne de certification;
- les dates de début et de fin de validité;
- l’usage prévu de la clé;
- l’identifiant ou le numéro de série du certificat;
- le mécanisme disponible pour consulter son état de révocation.
Un certificat destiné au chiffrement ne remplace pas automatiquement un certificat prévu pour la signature. Avant la première utilisation, effectuez une validation avec l’outil qui servira réellement à vérifier les documents.
Figer le document et appliquer la signature
La signature doit porter sur la version approuvée, pas sur une copie de travail au nom presque identique. Associez le fichier à un identifiant de dossier et à une version, puis confirmez son contenu juste avant la signature. Une empreinte calculée à cette étape peut aussi servir de repère lors du rapprochement technique.
Le signataire s’authentifie auprès du dispositif ou du service qui contrôle sa clé privée. L’outil calcule l’empreinte, produit la valeur de signature et l’intègre au fichier ou l’associe à celui-ci selon le format choisi. Aucun transfert manuel de la clé privée ne devrait être nécessaire.
Dans un flux Nota Sign configuré pour une signature reposant sur un certificat, le document, le signataire et les données de signature peuvent rester associés au même dossier. Les fournisseurs, les certificats et les méthodes disponibles dépendent toutefois de la configuration retenue et du territoire concerné.
Après l’opération, notez le fichier signé, le certificat utilisé, l’heure enregistrée et l’état retourné. Si le contenu doit changer, créez une nouvelle version et faites-la signer de nouveau; ne remplacez pas discrètement le fichier déjà signé.
Vérifier la signature, le certificat et son état
Ouvrez le document signé dans un validateur approprié. Le contrôle doit confirmer l’intégrité du fichier, la correspondance cryptographique de la signature et la chaîne du certificat. Rapprochez également l’identité affichée du signataire qui devait approuver l’attestation.
Le statut du certificat mérite une lecture nuancée. Un certificat actuellement expiré ou révoqué ne suffit pas, à lui seul, à expliquer l’état qu’il avait au moment de la signature. Lorsqu’il faut démontrer une validité dans le temps, la conclusion dépend notamment de l’horodatage, des données historiques de révocation et des preuves intégrées ou conservées. Un simple voyant vert observé aujourd’hui ne remplace donc pas une preuve durable.
En cas d’échec, ne signez pas de nouveau immédiatement sans diagnostic. Déterminez d’abord si le problème vient d’une modification du document, d’un certificat non fiable, d’une chaîne incomplète, d’un statut de révocation défavorable ou d’un outil qui ne prend pas en charge le format.
Conserver une preuve vérifiable
Le dossier final devrait relier la version signée à l’identité attendue, au certificat, au résultat de validation et aux événements du flux. Selon le format et le niveau de risque, il peut aussi comprendre l’horodatage, les données de statut du certificat, le journal de signature et la version de l’outil de validation.
Les durées de conservation et les droits d’accès relèvent de la politique applicable au type de document. L’objectif opérationnel reste le même : permettre à un réviseur autorisé de déterminer quel fichier a été signé, par qui, avec quel certificat et quels contrôles ont été concluants.
Une bonne chaîne de preuve ne rend pas automatiquement toute signature juridiquement valable. Elle fournit plutôt les éléments techniques nécessaires pour évaluer l’intégrité du document et le déroulement de la signature dans son contexte.
