Exemple de signature électronique complète

Introduction

Une signature électronique complète n’est pas un simple fichier portant une marque visible. Pour qu’un dossier puisse être contrôlé, il doit relier la version signée, la personne qui a agi, la méthode utilisée, les événements pertinents et le résultat final.

Prenons l’exemple d’un bon de commande approuvé puis signé par un client. Un réviseur doit pouvoir déterminer ce qui a été présenté, qui a confirmé, quand le parcours s’est achevé et si le document final correspond à la version attendue.

Identifier le document et sa version

Le dossier commence par une référence stable : identifiant du bon de commande, numéro de version, parties et date d’approbation. La source modifiable peut être conservée, mais elle doit rester distincte du PDF soumis à la signature.

Si une empreinte est utilisée, calculez-la sur le fichier prévu par la procédure et enregistrez-la avec son objet. Ne comparez pas naïvement l’empreinte du PDF non signé à celle du PDF signé : l’ajout de la signature modifie le fichier. Après signature, la validation doit examiner les données couvertes et les éventuelles révisions.

Une correction du contenu après l’envoi crée une nouvelle version et un nouveau parcours.

Relier le participant à son action

Le dossier doit indiquer le destinataire invité, son rôle et la méthode d’identification appliquée. Ces informations sont ensuite rapprochées de l’action de confirmation accomplie dans le parcours.

L’identification et l’intention sont distinctes. Savoir qui a ouvert la demande ne suffit pas à prouver ce qu’il a accepté ; une signature doit rester liée au document affiché et à l’action qui clôt le parcours.

Pour un signataire agissant au nom d’une entreprise, la preuve d’identité ne démontre pas automatiquement son pouvoir de représentation. Lorsque ce point est important, conservez aussi la délégation ou la validation métier correspondante.

Décrire la méthode de signature

Nommez précisément le procédé utilisé : confirmation simple dans un parcours, signature électronique avancée, signature qualifiée ou autre méthode approuvée. Ne déduisez pas le niveau à partir de l’apparence du bloc de signature.

Une AES et une QES répondent à des exigences spécifiques dans le cadre eIDAS. La QES repose notamment sur un certificat qualifié et un dispositif qualifié. Le niveau choisi doit correspondre au document et aux exigences applicables ; il ne peut pas être généralisé à tous les dossiers.

Nota Sign met en œuvre des parcours AES et QES et relie la version signée, les participants, les événements et les résultats de validation. L’organisation applique ainsi la méthode approuvée au bon document, avec un dossier exportable pour la clôture. Pour structurer cette preuve, lancez un parcours pilote avec Nota Sign.

Enregistrer les événements et les données temporelles

La piste d’audit doit conserver les événements utiles, et non chaque détail sans discernement. Invitation, ouverture éventuelle, confirmation, refus, annulation et achèvement peuvent aider à reconstituer le parcours.

Pour chaque événement, conservez le type, la personne ou le système concerné, la date et le résultat. Distinguez l’heure du journal applicatif d’un horodatage électronique de confiance. Si un horodatage qualifié est requis, vérifiez explicitement sa présence et son résultat.

Valider le document final

Après clôture, contrôlez que le fichier final appartient au bon dossier et porte la version attendue. Pour une signature cryptographique, examinez l’intégrité, le certificat, la chaîne, les informations temporelles et les modifications détectées selon la politique.

Le résultat technique doit rester distinct de la décision métier. Un outil peut signaler une chaîne non reconnue ; l’équipe doit alors examiner le certificat au lieu de conclure immédiatement à une falsification.

Enregistrez la décision : accepté, à approfondir ou à refaire signer, avec le motif et le responsable.

Constituer le dossier de preuve

Un dossier complet peut réunir :

• la version approuvée et la copie signée ;
• les identifiants du document et des participants ;
• la méthode de signature et d’identification ;
• les événements utiles ;
• le certificat et l’horodatage, lorsqu’ils s’appliquent ;
• le résultat de validation ;
• la décision finale.

La durée de conservation et les accès dépendent du document et de la politique applicable. Le dossier doit rester lisible et exportable sans exposer plus de données personnelles que nécessaire.

Conclusion

Un exemple de signature électronique complète est avant tout un dossier cohérent. La preuve est solide lorsque le document, le participant, la méthode, les événements et la décision peuvent être rapprochés sans ambiguïté.