16 février 2025
Introduction
Un certificat auto-signé peut assurer une fonction cryptographique dans un environnement contrôlé, mais il ne bénéficie pas automatiquement d’une chaîne de confiance reconnue par un tiers. Dans un contrat entre parties établies en France et dans un autre État membre, il faut donc distinguer la sécurité technique, la qualification eIDAS et la politique d’acceptation du contrat.
Le règlement eIDAS ne permet pas de conclure que tout contrat exige une QES. Il définit en revanche des niveaux et des conditions spécifiques. Une politique interne peut imposer une méthode plus forte pour certains documents, à condition de présenter ce choix comme une règle de risque ou de gouvernance, et non comme une obligation universelle.
Identifier le certificat et son usage
Examinez le certificat reçu : sujet, émetteur, numéro de série, période, usages et chaîne. Déterminez s’il est réellement auto-signé, c’est-à-dire si son émetteur et son sujet se confondent et si sa signature est vérifiée par sa propre clé.
Notez le document, la partie et l’usage revendiqué. Un certificat utilisé pour authentifier un environnement de test ne doit pas être évalué comme celui qui porte la signature d’un contrat externe.
Conservez le fichier et le résultat de vérification. Le nom ou l’extension du certificat ne suffit pas à établir sa nature.
Distinguer auto-signé, émis par une AC et qualifié
Un certificat auto-signé n’a pas de chaîne vers une autorité de certification tierce. Sa confiance dépend d’une distribution et d’une validation directes par l’organisation qui l’accepte.
Un certificat émis par une autorité peut être relié à une racine reconnue, mais il n’est pas nécessairement « qualifié ». Dans le cadre eIDAS, un certificat qualifié de signature électronique doit répondre aux exigences du règlement et être délivré par un prestataire de services de confiance qualifié.
Enfin, un certificat qualifié ne suffit pas à lui seul pour produire une QES : la signature doit aussi être avancée et créée au moyen d’un dispositif qualifié.
Appliquer eIDAS sans généralisation abusive
Le règlement (UE) n° 910/2014 définit les signatures avancées et qualifiées, les certificats qualifiés et leur régime.
Une QES bénéficie d’un effet juridique équivalent à une signature manuscrite dans l’Union. Cela ne signifie pas que tous les contrats doivent utiliser une QES. Le niveau approprié dépend du document, de la forme éventuellement requise, des parties, du droit applicable et du niveau de preuve recherché.
Inversement, un certificat auto-signé ne doit pas être présenté comme un certificat qualifié. Son éventuelle acceptation repose sur une politique explicite et sur la confiance établie par d’autres moyens.
Définir une politique d’acceptation par scénario
La politique doit préciser les usages admis, les sources de confiance, les niveaux de signature et les exceptions. Par exemple, un certificat auto-signé peut être réservé à un environnement interne fermé, tandis que certains contrats externes suivent un parcours avec certificat délivré par un prestataire approuvé.
Pour chaque scénario, documentez :
- le type de document et son risque ;
- la méthode d’identification ;
- la source de confiance ;
- les contrôles de chaîne et de statut ;
- le niveau de signature retenu ;
- l’autorité qui approuve l’exception.
Cette grille évite deux erreurs : accepter un certificat auto-signé par simple commodité, ou imposer une QES à tous les documents sans analyse.
Vérifier le contrat et enregistrer la décision
Contrôlez le fichier signé, la version, les participants, l’intégrité et le certificat. Pour un auto-signé, documentez comment sa clé et son titulaire ont été validés hors chaîne. Pour un certificat qualifié, vérifiez le prestataire, le statut et les conditions du parcours.
La décision doit indiquer ce qui est accepté, pour quel document et sur quelle base. Elle ne doit pas transformer une exception interne en reconnaissance générale du certificat.
Nota Sign prend en charge des parcours AES et QES dans l’Union européenne avec les prestataires et méthodes sélectionnés. La politique de confiance classe séparément les certificats auto-signés, les certificats d’autorité et les certificats qualifiés avant leur utilisation. Pour appliquer cette politique, définissez vos parcours de certificats dans Nota Sign.
Conclusion
Le choix d’un certificat doit être fondé sur le scénario, pas sur une étiquette. Séparer auto-signé, certificat d’autorité et certificat qualifié permet d’appliquer eIDAS correctement et de définir une politique de confiance proportionnée.
