7 février 2025
Introduction
PAdES est une famille de formats de signature numérique conçus pour les documents PDF. Il peut faciliter l’interopérabilité et la validation à long terme, mais il ne constitue pas une catégorie juridique et ne rend pas un contrat valide par sa seule présence.
Pour choisir un profil PAdES, une équipe technique doit partir du besoin réel : combien de temps la signature devra-t-elle être vérifiable, quelles données de validation doivent voyager avec le PDF et quels outils devront pouvoir l’ouvrir?
La spécification qui en résulte devrait séparer trois décisions : le format technique du PDF, la méthode et le certificat de signature, puis les exigences juridiques applicables au document. Les fusionner conduit à des affirmations trompeuses comme « PAdES est une signature qualifiée » ou « tout PDF PAdES est valide au Canada ».
Ce que PAdES décrit réellement
PAdES signifie PDF Advanced Electronic Signatures. La norme ETSI EN 319 142-1 définit des signatures numériques incorporées à la structure PDF et des profils de base destinés à répondre à différents besoins d’interopérabilité et de conservation.
Une signature PAdES relie des données de signature au contenu du PDF. Selon le profil et la façon dont le fichier est produit, elle peut inclure ou intégrer des certificats, un jeton d’horodatage et des données utiles à la validation.
PAdES ne remplace pas la politique de signature. La norme décrit la structure et les attributs. L’organisation doit encore décider :
- qui peut signer;
- avec quel certificat ou service;
- quel profil sera produit;
- comment la signature sera validée;
- quelles modifications du PDF sont permises;
- où le fichier et les preuves seront conservés.
Une image visible dans une page PDF n’est pas un profil PAdES. La validation porte sur les objets cryptographiques et les données du fichier, pas sur l’apparence du bloc de signature.
Comprendre les profils de base
Les profils PAdES de base répondent à des besoins croissants de preuve et de maintien :
Ces niveaux sont cumulatifs dans la famille de base, mais un profil supérieur n’élimine pas la nécessité d’une bonne création de signature, d’une validation correcte ni d’une politique de conservation.
Le sigle « LT » ne garantit pas que la signature restera vérifiable indéfiniment. Les algorithmes vieillissent, les formats et les politiques évoluent, et les preuves peuvent devoir être renouvelées ou augmentées. La durée visée doit être exprimée dans la politique documentaire.
Choisir le profil selon le cycle de vie du document
Un profil minimal peut convenir à un processus où la validation est immédiate et où les données externes resteront disponibles pendant la courte durée utile. Pour un contrat conservé plusieurs années, dépendre uniquement de services externes accessibles aujourd’hui peut créer un risque.
Avant de choisir, documentez :
- la durée de conservation prévue;
- le délai possible avant une vérification;
- la disponibilité future des certificats et des données de révocation;
- la nécessité d’un horodatage indépendant;
- les logiciels utilisés par les destinataires;
- le nombre de signatures et l’ordre prévu;
- les exigences de la contrepartie ou de l’autorité destinataire;
- le plan de renouvellement des preuves.
Le profil doit être testé sur le fichier réel, avec les outils qui seront utilisés par les parties. Une conformité déclarée par le générateur n’est pas suffisante si le validateur cible ne peut pas interpréter le résultat ou signale des attributs manquants.
Figer la version et gérer les révisions du PDF
Le PDF final devrait être approuvé avant la première signature. Vérifiez les annexes, les champs, les pièces jointes intégrées, le nombre de pages et les versions linguistiques.
Le format PDF permet des mises à jour incrémentales, ce qui rend possible l’ajout de plusieurs signatures sans nécessairement réécrire tout l’historique du fichier. Cela ne veut pas dire que toute modification après une signature est acceptable.
Le rapport de validation devrait préciser :
- quelle révision a été signée;
- quelles données sont couvertes;
- quelles révisions ont été ajoutées ensuite;
- si les changements ultérieurs sont permis par la politique de signature;
- si le contenu contractuel a été modifié.
Une simple empreinte du fichier complet ne suffit pas à expliquer cet historique. Comme le fichier change lorsqu’une signature ou une révision est ajoutée, il faut utiliser un validateur qui comprend la structure PDF et les plages de données signées.
Valider le certificat, le temps et les données incorporées
Pour chaque signature, le contrôleur devrait examiner le certificat, sa chaîne, son état au moment pertinent, l’intégrité des données signées et les informations temporelles disponibles.
Un certificat expiré le jour de la vérification n’était pas nécessairement expiré au moment de la signature. La validation à long terme cherche précisément à préserver assez de contexte pour évaluer la signature plus tard. Si les données historiques manquent, le rapport doit indiquer que l’état n’a pas pu être établi au lieu de conclure arbitrairement.
Un jeton d’horodatage cryptographique doit aussi être validé : signature du service, chaîne, intégrité et moment couvert. Une date affichée dans le bloc visuel du PDF n’est pas l’équivalent d’un tel jeton.
Le rapport devrait conserver le nom et la version de l’outil, la politique de validation, la date du contrôle et tous les avertissements. Deux validateurs peuvent appliquer des référentiels de confiance ou des politiques différentes. Un résultat reproductible exige que ce contexte soit documenté.
Séparer PAdES du régime juridique
PAdES peut soutenir différentes classes de signatures, y compris des signatures avancées ou qualifiées dans le cadre eIDAS lorsque l’ensemble des exigences pertinentes est satisfait. Le profil PAdES, pris isolément, ne détermine toutefois pas cette classe.
Au Canada, la partie 2 de la Loi sur la protection des renseignements personnels et les documents électroniques et le Règlement sur les signatures électroniques sécurisées décrivent un régime fédéral précis. Ils ne désignent pas PAdES comme une catégorie juridique générale pour tous les PDF.
Au Québec, la Loi concernant le cadre juridique des technologies de l’information met notamment l’accent sur l’intégrité du document et le maintien du lien entre la signature et celui-ci. Un PDF PAdES peut fournir des mécanismes techniques utiles à cette analyse, mais il ne dispense pas d’examiner le document, l’intention, l’identité, les pouvoirs et les formalités.
La spécification devrait donc comporter deux rubriques distinctes : « profil PAdES et validation » et « exigences juridiques du document ».
Établir une spécification testable
Une spécification de production devrait indiquer :
- version de la norme ou du profil visé;
- profil PAdES minimal accepté;
- algorithmes et certificats autorisés selon la politique;
- service d’horodatage ou source de temps prévue;
- données de validation à incorporer;
- règles applicables aux signatures multiples et aux révisions;
- validateurs de référence et critères de réussite;
- traitement des avertissements;
- conservation et augmentation à long terme;
- propriétaire de la décision.
Produisez ensuite un échantillon représentatif, signez-le comme en production et validez-le dans chaque environnement cible. Conservez le fichier, le rapport et les résultats comme preuve d’acceptation de la spécification.
Nota Sign prend en charge les parcours fondés sur des certificats et la production de PDF signés selon la configuration retenue. Les équipes peuvent tester le profil PAdES, les validateurs cibles et les données de validation avant la mise en production. Pour homologuer la spécification, faites évaluer votre parcours PDF avec Nota Sign.
