Signer un PDF avec un certificat qualifié en France

Introduction

Pour signer un PDF avec un certificat qualifié en France, il ne suffit pas d’ajouter une signature visible au document. Un processus vérifiable doit permettre d’établir quelle version a été signée, qui l’a signée, avec quel niveau de signature et si l’intégrité des données signées a été préservée.

En France, l’article 1367 du Code civil prévoit qu’une signature électronique repose sur un procédé fiable d’identification garantissant son lien avec l’acte auquel elle s’attache. Le décret n° 2017-1416 du 28 septembre 2017 précise que la fiabilité de ce procédé est présumée, jusqu’à preuve du contraire, lorsqu’il met en œuvre une signature électronique qualifiée.

Le cadre européen eIDAS distingue notamment la signature électronique avancée (AES) de la signature électronique qualifiée (QES). Une QES est une signature électronique avancée créée au moyen d’un dispositif qualifié de création de signature et reposant sur un certificat qualifié. Elle bénéficie, dans l’Union européenne, d’un effet juridique équivalent à celui d’une signature manuscrite.

Un point est donc essentiel : utiliser un certificat qualifié ne suffit pas, à lui seul, à transformer une signature en QES. Une signature avancée peut également reposer sur un certificat qualifié sans remplir toutes les conditions d’une signature qualifiée.

Pour un contrat de fourniture en PDF déjà approuvé, le processus peut être organisé en cinq étapes : figer la version à signer, déterminer le niveau de signature, utiliser le certificat et le dispositif appropriés, valider le résultat puis conserver le document avec les éléments de preuve nécessaires.

Figer la version approuvée du PDF

Avant de lancer la signature, établissez une seule version approuvée du contrat. Vérifiez le nom du fichier, le numéro de version, le nombre de pages, les annexes et le statut d’approbation. Les commentaires, champs provisoires et modifications en attente doivent être traités avant la production du PDF définitif.

Si votre procédure prévoit un contrôle par empreinte cryptographique, calculez le hash du PDF approuvé et associez-le à l’identifiant du contrat. Cette empreinte permet de confirmer, immédiatement avant la signature, que le fichier présenté est bien celui qui a reçu l’approbation.

Conservez séparément :

• la source modifiable du contrat ;
• le PDF approuvé destiné à la signature ;
• le PDF signé issu du processus ;
• et les éléments de validation associés.

Cette séparation évite qu’un brouillon ou une version intermédiaire soit introduit dans le flux après l’approbation.

Il faut toutefois éviter une confusion fréquente : le hash du PDF complet avant la signature ne sera normalement pas identique au hash du PDF complet après la signature, puisque l’ajout de la signature modifie le fichier lui-même. L’empreinte préalable sert à identifier la version approuvée ; après la signature, l’intégrité doit être contrôlée au moyen de la validation cryptographique de la signature et de la révision du PDF couverte par celle-ci.

Si une clause, une annexe ou tout autre contenu contractuel change après l’approbation, créez une nouvelle version et recommencez le cycle d’approbation et de signature.

Déterminer le niveau de signature avant de choisir le certificat

Le niveau de signature doit être déterminé à partir du document et du contexte de la transaction, et non simplement à partir du certificat disponible.

Avant de lancer le processus, identifiez notamment :

• le document concerné ;
• le signataire ;
• la qualité dans laquelle il intervient ;
• l’organisation qu’il représente ;
• les exigences convenues avec la contrepartie ;
• les éventuelles exigences légales ou réglementaires ;
• et le niveau de preuve attendu en cas de contestation.

Une signature électronique avancée doit satisfaire aux critères définis par l’article 26 du règlement eIDAS. Elle doit notamment être liée au signataire de manière univoque, permettre de l’identifier, être créée à l’aide de données de création de signature que celui-ci peut utiliser sous son contrôle avec un niveau de confiance élevé et permettre de détecter toute modification ultérieure des données signées.

Une signature électronique qualifiée ajoute deux conditions déterminantes : elle doit reposer sur un certificat qualifié de signature électronique et être créée au moyen d’un dispositif qualifié de création de signature.

Le règlement eIDAS dans sa version consolidée définit ces différents niveaux et leurs conditions.

En France, le décret n° 2017-1416 relatif à la signature électronique rattache précisément la présomption de fiabilité prévue par l’article 1367 du Code civil à la mise en œuvre d’une signature électronique qualifiée.

Vérifier le certificat et le prestataire de confiance

Lorsqu’un certificat est utilisé, la vérification doit aller au-delà du nom affiché dans le PDF.

Selon le processus, examinez notamment :

• le titulaire du certificat ;
• le prestataire qui l’a délivré ;
• le type de certificat ;
• sa période de validité ;
• son état de révocation ;
• la chaîne de confiance ;
• et les attributs éventuellement associés à l’identité du signataire.

Pour une QES, le certificat doit être un certificat qualifié délivré par un prestataire de services de confiance qualifié et remplir les exigences prévues par eIDAS.

Il faut également distinguer l’identité du signataire de son pouvoir de représentation. Un certificat peut contribuer à établir l’identité de la personne qui signe, mais ne démontre pas automatiquement qu’elle dispose du pouvoir d’engager une société pour un contrat donné. Lorsque ce point est pertinent, les délégations, pouvoirs ou règles de représentation doivent être vérifiés séparément.

La décision sur le certificat et celle sur le niveau de signature doivent donc rester distinctes. Un certificat qualifié peut être utilisé dans différents contextes techniques ; il ne prouve pas, à lui seul, que toutes les conditions d’une QES sont réunies.

Signer la version approuvée sans modifier le contenu

Le processus de signature doit être lancé à partir du PDF approuvé.

Si une empreinte de contrôle a été enregistrée, vérifiez-la une dernière fois avant l’envoi afin de confirmer qu’aucun fichier n’a été substitué entre l’approbation et la signature.

La représentation visible de la signature — nom, date, paraphe ou bloc graphique — peut faciliter la lecture du document. Elle ne constitue toutefois pas, à elle seule, la signature électronique qualifiée. La valeur technique de la signature repose sur les données cryptographiques, le certificat et le dispositif de création utilisés.

Lorsque plusieurs personnes doivent signer, définissez avant l’envoi :

• les participants ;
• leur rôle ;
• le cas échéant, l’ordre de signature ;
• et les contrôles d’accès applicables à chacun.

Le PDF signé doit être conservé sous la forme produite par le processus de signature. Ne l’écrasez pas sur la version approuvée non signée.

Une impression, une numérisation ou un PDF recréé à partir du fichier signé constitue également un nouvel objet. Ces copies peuvent perdre les données nécessaires à la validation cryptographique. Pour une vérification ultérieure, conservez donc le fichier électronique signé original.

Valider la QES et l’intégrité du PDF

La validation doit porter sur le PDF électronique signé original.

Pour une signature électronique qualifiée, l’article 32 du règlement eIDAS prévoit notamment de vérifier que :

• le certificat utilisé était un certificat qualifié au moment de la signature ;
• il avait été délivré par un prestataire de services de confiance qualifié ;
• il était valide au moment de la signature ;
• les données de validation correspondent aux données présentées au destinataire ;
• l’identité ou le pseudonyme du signataire est correctement présenté ;
• la signature a été créée au moyen d’un dispositif qualifié ;
• l’intégrité des données signées n’a pas été compromise ;
• et les exigences applicables à la signature avancée étaient respectées au moment de la signature.

Le système de validation doit également permettre au destinataire d’identifier les problèmes de sécurité pertinents.

Cette vérification est plus fiable qu’une simple inspection de l’image visible ou qu’une comparaison des noms de fichiers. Elle permet de déterminer ce qui a réellement été protégé par la signature et si des modifications sont intervenues par la suite.

Une modification postérieure ne doit toutefois pas être interprétée de manière trop simpliste. Le format PDF peut contenir plusieurs révisions ou plusieurs signatures. Un validateur peut donc signaler une modification postérieure sans que cela signifie nécessairement que le contenu signé initialement a été falsifié. Il faut examiner la nature de la modification et le résultat précis de la validation.

Lorsque le contenu contractuel lui-même a été modifié après la signature, la pratique la plus claire consiste à produire une nouvelle version et à lancer un nouveau cycle d’approbation et de signature.

Ne pas confondre expiration ultérieure et invalidité au moment de la signature

Un certificat arrivé à expiration au moment d’une vérification réalisée plusieurs mois ou plusieurs années plus tard ne signifie pas automatiquement que la signature était invalide lorsqu’elle a été créée.

Pour la validation d’une QES, eIDAS vérifie notamment si le certificat qualifié était valide au moment de la signature. De même, lorsqu’un certificat qualifié est révoqué, il perd sa validité à compter de la révocation.

Le contexte temporel de la validation est donc essentiel. Il faut déterminer quel était l’état du certificat lors de la création de la signature et quelles données de validation peuvent encore l’établir.

Pour les documents qui doivent rester vérifiables sur de longues périodes, des mécanismes de préservation à long terme peuvent devenir nécessaires. eIDAS prévoit notamment des services qualifiés de préservation permettant de prolonger la fiabilité d’une signature électronique qualifiée au-delà de la période de validité technologique initiale.

Distinguer l’horodatage de l’heure affichée par la plateforme

L’heure enregistrée dans un journal d’événements et un horodatage électronique sont deux choses différentes.

Une plateforme de signature peut consigner l’heure à laquelle une invitation a été envoyée, ouverte ou signée. Ces données sont utiles pour reconstruire le déroulement de la transaction.

Un horodatage électronique associe quant à lui des données à une date et une heure afin d’établir que ces données existaient à ce moment.

Un horodatage électronique qualifié bénéficie, sous eIDAS, d’une présomption d’exactitude de la date et de l’heure qu’il indique ainsi que d’intégrité des données auxquelles elles sont liées.

Il ne faut donc pas supposer qu’une QES ou une signature reposant sur un certificat contient automatiquement un horodatage qualifié. Si cette preuve temporelle est requise dans le processus, vérifiez le type d’horodatage utilisé et son résultat de validation.

Archiver le PDF et les preuves de validation

Une fois le PDF signé et validé, le dossier doit permettre de reconstituer le processus sans dépendre de la mémoire des participants.

Selon les exigences du contrat, il peut comprendre :

• le PDF approuvé ;
• le PDF signé original ;
• l’identifiant et la version du contrat ;
• l’empreinte de contrôle du PDF approuvé, lorsqu’elle a été utilisée ;
• les informations pertinentes sur le certificat ;
• le résultat de la validation ;
• les données d’horodatage, lorsqu’elles existent ;
• et le journal des événements du processus de signature.

L’article 1366 du Code civil prévoit que l’écrit électronique possède la même force probante que l’écrit sur support papier, sous réserve que la personne dont il émane puisse être dûment identifiée et qu’il soit établi et conservé dans des conditions permettant d’en garantir l’intégrité.

Le Code civil, articles 1366 et 1367 constitue donc un point de référence important pour la gestion de la preuve électronique en France.

La durée de conservation ne découle toutefois pas du seul niveau de signature. Elle dépend notamment du type de contrat, des règles de prescription et de conservation applicables ainsi que de la politique documentaire de l’organisation.

Un dossier bien constitué doit permettre de répondre clairement à quatre questions : quelle version a été signée, qui l’a signée, avec quel niveau de signature et quelles données permettent encore de vérifier ce résultat.

Prise en charge par Nota Sign

Nota Sign prend en charge des flux de signature électronique avancée (AES) et de signature électronique qualifiée (QES) pour des processus nationaux et transfrontaliers, selon les prestataires de confiance, certificats et méthodes disponibles pour le scénario concerné.

Dans un processus de contractualisation, la plateforme peut relier le document, les participants, les événements de signature et les éléments de preuve générés pendant le parcours.

Le choix d’une QES ne doit toutefois pas être automatique. La plateforme fournit l’infrastructure technique de signature ; la détermination du niveau requis dépend du document, des parties, de la forme éventuellement imposée et du droit applicable.

Pour découvrir les options de signature disponibles, consultez la page Nota Sign consacrée à la signature électronique.