8 mai 2025
Introduction
Vérifier une signature électronique ne consiste pas toujours à cliquer sur « valider ». La démarche dépend d’abord de la méthode utilisée. Une signature numérique fondée sur un certificat permet des contrôles cryptographiques, alors qu’un autre processus de signature électronique peut plutôt être vérifié au moyen de l’authentification, du journal d’événements, de la version du document et des mesures de conservation.
Pour un PDF signé numériquement, un rapport sérieux doit répondre à quatre questions : quelles données ont été signées, par quel certificat, quel était l’état de ce certificat au moment pertinent et le document a-t-il été modifié depuis?
Le résultat n’est pas une conclusion juridique universelle. C’est un constat technique documenté, que l’équipe juridique ou de conformité peut ensuite interpréter selon le document et le régime applicable.
Identifier le type de signature avant de la vérifier
Commencez par déterminer ce que contient réellement le fichier. Une image manuscrite, un nom tapé, un journal de plateforme et une signature numérique intégrée au PDF ne fournissent pas les mêmes mécanismes de preuve.
La fiche de contrôle devrait indiquer :
- le format et le nom du fichier;
- son identifiant et sa version;
- la méthode de signature déclarée;
- la présence ou l’absence d’une signature cryptographique;
- l’outil utilisé pour l’examen;
- la version de cet outil et la date du contrôle.
Si aucune signature numérique n’est incorporée au document, l’absence de certificat n’est pas nécessairement une anomalie : le processus peut appartenir à une autre catégorie de signature électronique. Dans ce cas, la vérification se déplace vers le dossier de transaction, l’authentification et les événements conservés.
Une signature visible dans le PDF n’indique pas à elle seule qu’une signature cryptographique existe. Inversement, une signature numérique peut être valide même si sa représentation visuelle est discrète ou absente.
Préserver le fichier original et son contexte
Travaillez sur une copie contrôlée du fichier électronique original. Une impression, une numérisation ou une exportation différente peut supprimer des données nécessaires à la validation.
Avant l’analyse, associez le fichier à son contrat, sa version, ses annexes et son processus de signature. Calculez au besoin une empreinte du fichier reçu pour montrer quel objet a été examiné. Cette empreinte sert à identifier le fichier du rapport. Elle ne remplace pas la validation interne de la signature.
Il faut aussi éviter une comparaison trompeuse : l’empreinte d’un PDF non signé n’est normalement pas identique à celle du PDF après l’ajout d’une signature, puisque le fichier a changé. La question pertinente est de savoir quelles parties ou révisions sont couvertes par la signature et si des changements ultérieurs touchent les données signées.
Valider la signature et les données protégées
Un outil de validation adapté au format devrait vérifier la signature cryptographique et indiquer les données qu’elle couvre. Dans un PDF, le fichier peut contenir plusieurs révisions et plusieurs signatures. Un message général « document modifié » doit donc être interprété avec précision.
Le rapport devrait distinguer :
- une signature mathématiquement vérifiable;
- l’intégrité des données couvertes;
- les modifications ajoutées après la signature;
- les changements permis par le format ou la politique de signature;
- les avertissements que l’outil ne peut pas résoudre.
Une validation cryptographique réussie ne prouve pas à elle seule l’identité réelle du signataire, son intention ou son pouvoir de représentation. Elle démontre que la clé privée correspondant au certificat a produit la signature sur les données visées, sous réserve de la confiance accordée au certificat et du reste du contexte.
Examiner le certificat et la chaîne de confiance
Pour une signature fondée sur un certificat, consignez l’identité ou les attributs indiqués, l’émetteur, le numéro de série, la période de validité et les usages de clé pertinents. Vérifiez ensuite la chaîne jusqu’à une source de confiance reconnue par la politique du processus.
Une chaîne qui se construit techniquement ne répond pas automatiquement à toutes les questions :
- La racine est-elle approuvée pour cet usage?
- Le certificat correspond-il au signataire attendu?
- Les attributs indiquent-ils une identité ou un rôle pertinent?
- Le certificat était-il valide au moment de la signature?
- La politique exige-t-elle un type de certificat particulier?
Un certificat auto-signé peut parfois être vérifié cryptographiquement, mais la confiance dépend alors d’un mécanisme convenu séparément. Il ne devrait pas être traité comme l’équivalent d’un certificat émis dans une chaîne de confiance externe sans justification.
Évaluer l’expiration, la révocation et le moment pertinent
L’état actuel d’un certificat ne suffit pas à juger une signature passée. Un certificat arrivé à échéance aujourd’hui peut avoir été valide au moment de la signature. À l’inverse, un certificat révoqué avant la signature peut rendre le résultat inacceptable selon la politique et le régime visés.
Le Règlement sur les signatures électroniques sécurisées précise, dans son propre champ d’application, que le certificat ne doit pas être expiré ni révoqué au moment où les données sont signées. Cette règle illustre pourquoi le temps de signature et le temps de vérification doivent être distingués.
Le vérificateur devrait rechercher les données de statut disponibles — par exemple une réponse de validation en ligne ou une liste de révocation — et documenter la période qu’elles permettent réellement d’évaluer. Un service indisponible au moment d’un contrôle tardif ne prouve pas à lui seul que le certificat était valide ou invalide des années auparavant.
La conclusion doit rester fidèle au résultat : « valide au moment indiqué selon les données incorporées », « état historique non établi », « certificat expiré lors de la vérification » ou « révocation antérieure à la signature ». Une simple mention « invalide » peut masquer des situations très différentes.
Distinguer l’horodatage de la date affichée
Une date inscrite dans un bloc visuel, l’heure d’un événement de plateforme et un jeton cryptographique d’horodatage ne sont pas équivalents.
Un horodatage provenant d’un service prévu à cette fin peut contribuer à démontrer que certaines données existaient à un moment donné et à valider une signature dans son contexte temporel. Sa présence, son émetteur, sa chaîne et son intégrité doivent toutefois être contrôlés.
Si le fichier ne contient qu’une heure déclarée par l’appareil ou la plateforme, le rapport devrait la décrire comme telle. Il ne faut pas la présenter comme un horodatage indépendant.
Pour des documents conservés longtemps, le processus peut avoir besoin d’intégrer les données de validation nécessaires et de prévoir leur maintien. Cette exigence dépend du format, de la politique, du risque et de la durée de conservation.
Contrôler l’intégrité du document au Québec
Au Québec, la Loi concernant le cadre juridique des technologies de l’information définit l’intégrité par la possibilité de vérifier que l’information n’a pas été altérée, qu’elle est demeurée complète et que cette intégrité a été maintenue pendant le cycle de vie du document.
Son article 39 relie aussi l’opposabilité d’une signature apposée à un document technologique à l’intégrité du document et au maintien du lien entre la signature et celui-ci.
Ces règles ne dictent pas un logiciel de validation unique. Elles renforcent toutefois l’importance de conserver le fichier original, de documenter le procédé et de pouvoir reproduire le contrôle. La validation technique demeure une pièce du dossier, non un jugement définitif sur l’effet du document.
Rédiger un rapport de vérification reproductible
Le rapport devrait contenir les constats réels de l’outil, sans transformer une information inconnue en résultat positif. Une structure pratique comprend :
Conservez le rapport avec le fichier examiné et les données de validation utiles. Une capture d’écran isolée est difficile à reproduire et peut omettre des avertissements.
Utiliser le résultat dans un processus Nota Sign
Nota Sign prend en charge les signatures électroniques et les parcours fondés sur des certificats, puis relie le document, les données de validation disponibles et le rapport de contrôle. Cette continuité accélère les décisions d’acceptation, de revue ou de nouvelle signature. Pour définir vos critères, configurez votre parcours de validation avec Nota Sign.
Un résultat technique positif ne remplace ni la vérification des pouvoirs, ni l’analyse des formalités, ni la décision d’accepter le document. Les critères d’acceptation devraient être établis avant la mise en production.
