Horodatage qualifié et validation à long terme : votre PDF signé sera-t-il encore vérifiable dans dix ans ?

Oui, à deux conditions. La signature doit porter un horodatage électronique, de préférence qualifié, qui prouve le moment où elle a été apposée ; et le PDF doit contenir lui-même les données nécessaires à sa validation, c’est-à-dire la chaîne de certificats et les informations de révocation (niveau PAdES B-LT, souvent appelé LTV). Pour une conservation très longue, des horodatages d’archive successifs (niveau B-LTA) protègent en plus contre le vieillissement des algorithmes. Sans horodatage, l’heure affichée vient souvent de l’horloge de l’ordinateur du signataire, et il devient difficile d’établir que la signature précède une éventuelle révocation du certificat.

Pourquoi raisonner à dix ans ?

En France, les documents comptables et les pièces justificatives sont conservés pendant dix ans (Code de commerce, art. L123-22). Et les obligations nées à l’occasion de leur commerce entre commerçants, ou entre commerçants et non-commerçants, se prescrivent en principe par cinq ans (art. L110-4). Un contrat signé peut donc devoir être produit plusieurs années après sa signature, parfois devant un juge.

Pour un document signé électroniquement, il ne suffit pas qu’il reste lisible. L’écrit électronique ne fait preuve que s’il est établi et conservé dans des conditions de nature à en garantir l’intégrité (Code civil, art. 1366). Des années plus tard, il faut encore pouvoir montrer qui a signé, quand, et que rien n’a changé depuis.

Le problème : tout ce qui entoure la signature expire

Un certificat qualifié de signature électronique indique obligatoirement le début et la fin de sa période de validité (eIDAS, annexe I, e)). Il peut aussi être révoqué avant son terme ; dans ce cas, il perd sa validité à compter de la révocation et ne peut en aucun cas recouvrer son statut antérieur (eIDAS, art. 28, 4)).

La question devient alors : la signature a-t-elle été apposée avant l’expiration ou la révocation ? Si la seule date disponible est celle de l’ordinateur du signataire, la réponse repose sur une horloge qu’il contrôle. S’y ajoutent deux risques de long terme : les serveurs qui publient les informations de révocation peuvent ne plus être joignables, et les algorithmes cryptographiques peuvent s’affaiblir avec le temps. La norme ETSI EN 319 142-1 cite précisément l’expiration des certificats, leur révocation et l’obsolescence des algorithmes comme les situations où la validité technique d’une signature doit être préservée.

L’horodatage électronique selon eIDAS

Le règlement définit l’horodatage électronique comme des données qui associent d’autres données électroniques à un instant particulier et établissent la preuve que ces données existaient à cet instant (art. 3, 33)). Un horodatage électronique qualifié doit (art. 42, 1)) :

• lier la date et l’heure aux données de manière à raisonnablement exclure la possibilité de modification indétectable des données ;
• être fondé sur une horloge exacte liée au temps universel coordonné ;
• être signé au moyen d’une signature électronique avancée, ou cacheté au moyen d’un cachet électronique avancé, du prestataire de services de confiance qualifié, ou par une méthode équivalente.

Les effets juridiques sont gradués, comme pour la signature. Un horodatage ne peut pas être écarté comme preuve au seul motif qu’il est électronique ou qu’il n’est pas qualifié (art. 41, 1)). Mais seul l’horodatage qualifié « bénéficie d’une présomption d’exactitude de la date et de l’heure qu’il indique et d’intégrité des données auxquelles se rapportent cette date et cette heure » (art. 41, 2)). Un horodatage qualifié fourni dans un État membre est reconnu comme qualifié dans tous les autres (art. 24 bis, 6)).

L’horodatage est un service de confiance à part entière (art. 3, 16), i)) : il ne s’obtient pas automatiquement avec un certificat de signature. Les prestataires qualifiés et leurs services figurent sur les listes de confiance publiées par chaque État membre (art. 22) ; en France, la liste nationale est tenue par l’ANSSI.

La validation à long terme : les niveaux PAdES

La norme ETSI EN 319 142-1 définit quatre niveaux de signature PAdES, qui couvrent le cycle de vie d’une signature dans un PDF :

Techniquement, les données de validation (certificats, listes de révocation CRL, réponses OCSP) sont placées dans une structure du PDF appelée Document Security Store, et un horodatage de document couvre l’ensemble. Selon la norme, la durée de protection peut être prolongée au-delà de celle du dernier horodatage de document, en ajoutant les données qui valident ce dernier horodatage puis un nouvel horodatage. La norme considère le niveau B-LTA comme une technique appropriée de conservation et de transmission de données signées.

La norme précise aussi que le niveau B-LT, combiné à des techniques de conservation appropriées, suffit à permettre la validation longtemps après la signature. Si vous ne gérez pas ces techniques vous-même, prévoyez des horodatages d’archive successifs (B-LTA) ou un service de conservation.

Déléguer la conservation : le service qualifié d’eIDAS

eIDAS prévoit un service de conservation qualifié des signatures électroniques qualifiées. Il ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures qualifiées au-delà de la période de validité technologique (art. 34, 1)). Un tel service fourni dans un État membre est reconnu dans tous les autres (art. 24 bis, 5)). C’est une option si vous conservez un grand volume de contrats signés et ne souhaitez pas gérer vous-même le renouvellement des horodatages.

Comment savoir si votre PDF est horodaté et « LTV » ?

1. Ouvrez le fichier original dans Adobe Acrobat Reader et affichez les propriétés de la signature. Acrobat indique si l’heure provient de l’horloge de l’ordinateur du signataire ou si la signature est horodatée ; il signale aussi un horodatage qui n’a pas pu être vérifié ou dont le certificat a expiré.
2. Pour connaître le niveau exact (B-T, B-LT, B-LTA), déposez un document sans contenu sensible dans l’outil de validation DSS de la Commission européenne, qui reconnaît ces niveaux.
3. Vérifiez que le prestataire d’horodatage figure sur une liste de confiance de l’Union si vous comptez sur la présomption de l’article 41, 2).
4. Conservez le fichier signé original : une impression, ou une copie produite par « Imprimer en PDF », ne contient plus la signature.

Les étapes détaillées figurent dans notre article comment vérifier un PDF signé électroniquement.

Comment cela fonctionne-t-il dans Collobr ?

L’application Windows Collobr E-Signature signe les devis et contrats PDF au format PAdES avec un certificat sur carte ou clé USB. Collobr ne vend pas et ne fournit pas de service d’horodatage : votre entreprise déclare dans Collobr son propre abonnement auprès d’un prestataire d’horodatage. Si un abonnement est configuré, un horodatage est ajouté à la signature, et la chaîne de certificats ainsi que les données OCSP et CRL peuvent être intégrées au PDF ; cette intégration nécessite un horodatage. Pour bénéficier de la présomption d’eIDAS, il faut un horodatage qualifié ; si vous souhaitez utiliser un service d’horodatage qualifié européen avec Collobr, contactez-nous avant de souscrire pour vérifier la configuration ensemble.

Précision importante pour un lecteur européen : l’application a été testée avec des certificats qualifiés turcs, pas encore avec des certificats qualifiés européens. Pour un document qui exige une signature qualifiée, utilisez pour l’instant l’outil de votre prestataire qualifié. Voir aussi où la signature électronique est-elle valable, signature simple, avancée ou qualifiée et notre guide de la signature électronique.