Quel outil de vérification de signature électronique utiliser pour contrôler la validité d'un document ?

Les 5 points de contrôle pour vérifier une signature électronique

1. Le document s'ouvre-t-il avec un bandeau de signature valide ?
2. L'identité du signataire est-elle affichée et cohérente ?
3. Le document a-t-il été modifié depuis la signature (intégrité) ?
4. Le niveau de signature (simple / avancé / qualifié) correspond-il à l'enjeu ?
5. Disposez-vous d'un rapport de validation daté, opposable en cas de litige ?

L'enjeu de la vérification d'une signature électronique sur un document reçu

Les entreprises émettent et reçoivent chaque jour des documents numériques issus d'interlocuteurs variés, qui n'ont pas de réelle maîtrise des outils utilisés pour les créer, les signer ou les transmettre. Or un document dont l'authenticité est remise en cause, voire rejeté comme preuve en cas de litige, expose l'entreprise à un risque juridique et financier.

L'erreur la plus fréquente en entreprise : accepter un document signé électroniquement sans jamais contrôler que la signature correspond au niveau de confiance exigé, jusqu'au jour où ce document doit servir de preuve.

Pour cadrer ces échanges, chaque organisation définit une politique de confiance qui fixe les niveaux de signature électronique acceptés selon la nature et les enjeux des documents. Reste à s'assurer que les documents reçus respectent ces exigences. C'est précisément l'objet de la vérification de signature électronique, que met en œuvre un outil comme Validao.

Comment vérifier une signature électronique sans outil dédié ?

Avant d'automatiser, il est utile de connaître les contrôles réalisables soi-même :

• Le lecteur PDF. Un logiciel comme Acrobat Reader affiche, à l'ouverture, un bandeau indiquant si la signature est valide et si le document a été modifié depuis sa signature.
• Les outils de vérification institutionnels. Le démonstrateur DSS de la Commission européenne valide une signature au regard des listes de confiance eIDAS ; côté secteur public, les plateformes de l'État (marchés publics, Chorus Pro) proposent leurs propres vérificateurs.

Ces méthodes suffisent pour un premier contrôle, mais elles partagent une limite : elles valident une signature « dans l'absolu », sans tenir compte de votre politique de confiance interne (prestataires acceptés, niveau de signature exigé selon l'enjeu du document) et sans produire de rapport opposable. C'est précisément ce que prend en charge un service comme Validao.

Tous les documents n'appellent pas le même niveau de contrôle : un usage interne à faible risque se contente d'un contrôle visuel via lecteur PDF, tandis qu'un document à fort enjeu probatoire (finance, assurance, acte notarié) exige un service de validation qualifié produisant un rapport opposable. La règle : plus l'enjeu est élevé, plus la vérification doit être outillée et tracée.

Validao, l'outil de vérification de signature électronique de Docaposte

Validao repose sur le service de validation des signatures qualifié eIDAS d'Arkhineo, la solution d'archivage à valeur probante de Docaposte. Accessible par portail web ou par API, il contrôle les signatures et cachets apposés sur un document au regard de la politique de confiance définie par l'entreprise, puis restitue un rapport de validation versable au dossier de preuves.

Valider le niveau de confiance d'un document électronique avec Validao

Concrètement, l’entreprise paramètre dans l'outil de vérification Validao ses règles de politique de confiance (les prestataires de confiance acceptés, les niveaux de signatures requis, les critères métiers etc.). Pour s’assurer qu’un document signé est recevable, il suffit ensuite de le soumettre à validation en précisant les critères métiers auxquels il est associé.

La vérification de signature électronique réalisée par Validao porte ensuite sur le document lui-même, pour confirmer que la signature utilisée correspond bien à la politique de confiance définie. Le service s’assure également que la signature était bien valide au moment de son apposition en interrogeant des services externes (liste de confiance eIDAS, jetons OCSP, liste des certificats révoqués, etc.).

Vérification d’une signature électronique : les étapes du processus Validao

Disponible via portail web et API, Validao est un outil de validation indépendant des signatures et cachets électroniques, modulable en fonction de l’échelle de sensibilité des documents. Qualifié eIDAS, Validao a la capacité de produire des rapports de validation des signatures intégrables dans un dossier de preuves. Après soumission du document dans Validao, la vérification de signature électronique porte sur trois points :

• la présence de la signature,
• sa conformité au niveau exigé par la politique de confiance définie par l'entreprise,
• et sa validité au moment de son apposition.

Pour ce faire, l'outil procède à l’identification du signataire et à l’interrogation des services externes, avant d’établir son rapport de validation. Ce n’est qu’à l’issue de ces différentes étapes que l'outil détermine l’acceptabilité ou le refus du document.

Le schéma ci-dessous retrace les étapes de la vérification de signature électronique dans l'outil Validao, de la politique de confiance jusqu'au rapport de validation.

Quelques exemples d’utilisation de Validao

La vérification de signature électronique avec l'outil Validao s'applique à de nombreux contextes métiers, sur des documents à fort enjeu probatoire :

• Secteur de la finance : contrats de crédits, pièces d’identité, bulletins de salaire et toutes autres pièces justificatives,
• Secteur de l’assurance : les contrats des partenaires courtiers,
• Professionnels du droit : toute pièce signée reçue de la part de tiers,
• Professionnels de l’immobilier : les pièces des candidats locataires,
• Service RH : l'authenticité des diplômes et contrats fournis par un candidat

Qu’est-ce qu’une signature électronique ?

Rappelons les principes de la signature électronique et ce qui permet de déterminer sa validité.

Quelles sont les exigences de la signature électronique ?

Grâce à la signature électronique, contrats de travail, factures, devis, compromis de vente, documents comptables, juridiques ou actes notariés peuvent être signés en l’espace de quelques secondes, sans que les parties prenantes n’aient à se rencontrer physiquement.

Pour que cela soit possible, et valide, des conditions de mise en œuvre ont été définies par le règlement eIDAS.

Une signature électronique doit permettre de :

• Authentifier le signataire : s’assurer de l’identité de son auteur ;
• Connaître la date et l’heure de la signature ;
• Assurer l’intégrité du document : apporter la garantie que le document n'a pas été modifié entre sa signature et sa consultation ;
• Apporter la preuve du consentement du signataire ;
• Démontrer le lien entre le signataire et l’acte : le signataire est relié au document signé.

La réglementation européenne eIDAS définit 3 niveaux de signature électronique en fonction de la sensibilité de vos documents, qui se différencient par le niveau de vérification d’identité : simple, avancé ou qualifié.

Concrètement, la complexité du parcours utilisateur est proportionnelle au niveau de sensibilité des documents.

Force probante d'un document numérique et validité d'une signature électronique

Il est important de comprendre que toute transaction numérique s'inscrit dans un cadre juridique faisant l'objet d'un règlement spécifique (règlement eIDAS) au sein de l'Union européenne : « le règlement eIDAS » n°910/2014 du 23 juillet 2014 a pour ambition d'accroître la confiance dans les transactions électroniques au sein du marché intérieur. Il établit une base commune pour les échanges électroniques sécurisés entre les citoyens, les entreprises et les autorités publiques ».

En France, l'article 1366 du code civil précise notamment qu'un « écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. » (Source : Legifrance).

Le règlement eIDAS encadre plusieurs services de confiance destinés à sécuriser les transactions électroniques, notamment :

• La signature électronique ;
• Le cachet électronique ;
• L'horodatage électronique ;
• L'envoi recommandé ;
• Les certificats d'authentification de sites internet.

Notons que pour chacun de ces services, des qualifications portant sur la délivrance du service, la validation du service et la préservation du service existent afin d'identifier les prestataires fournissant ces services, conformément au règlement.

Soulignons également que la validité d'une signature électronique n'est effective qu'à certaines conditions.

En effet, elle doit être :

• Infalsifiable : un signataire ne peut se faire passer pour un autre ;
• Irrévocable : le signataire ne peut contester la signature ;
• Authentique : l'identité de l'auteur doit pouvoir être retrouvée de manière certaine ;
• Inaltérable : une fois que le document est signé, il est impossible de le modifier ;
• Non réutilisable : la signature ne pourra pas être utilisée, reproduite ou déplacée sur un autre document.

(Source : francenum.gouv.fr)

Vos questions autour de la vérification de signature électronique

Puis-je vérifier une signature électronique avec un simple lecteur PDF ?

Oui, pour un premier contrôle. À l'ouverture du document, un lecteur comme Acrobat Reader affiche un bandeau de signature. Trois signaux à y lire :

• le statut global (« Signé, toutes les signatures sont valides » vs « au moins une signature est invalide ») ;
• le signataire et l'autorité ayant émis le certificat ;
• la présence d'un horodatage et la date de signature.

Ce contrôle a toutefois une limite : il valide la signature « dans l'absolu », sans tenir compte de votre politique de confiance interne ni produire de rapport opposable. Pour cela, un service comme Validao s'impose.

Que vérifie exactement un outil de vérification de signature électronique comme Validao ?

Il confirme l'identité du signataire, l'intégrité du document depuis sa signature et la validité de la signature au moment où elle a été apposée. Il s'assure aussi qu'elle correspond au niveau exigé par votre politique de confiance, en interrogeant des services externes qualifiés eIDAS.

Le rapport de vérification de Validao a-t-il une valeur en cas de litige ?

Oui. Le rapport de validation émis par l'outil consigne les contrôles effectués sur la signature électronique et leur résultat, à une date donnée. Versé à votre dossier de preuves, il atteste que la signature a bien été vérifiée et documente sa conformité, un élément utile pour défendre la recevabilité du document en cas de contestation.

Une vérification de signature électronique opérée en France

Filiale du Groupe La Poste, Docaposte est un tiers de confiance français spécialisé dans la sécurité des échanges numériques. Son outil de vérification de signature électronique Validao est qualifié eIDAS et 100% souverain : les documents soumis et les rapports de validation produits sont hébergés en France, hors d'atteinte du Cloud Act. Le contrôle des signatures et la conservation du dossier de preuves sont ainsi réalisés sur le territoire national.

Par ailleurs, sur le volet signature, Docaposte conçoit une gamme couvrant les trois niveaux définis par le règlement eIDAS, de la signature simple à la signature qualifiée. Le niveau retenu dépend de la criticité du document et du risque juridique associé. Quel que soit votre secteur d'activité, le niveau de signature s'aligne sur les exigences réglementaires propres à chaque métier.