Comment vérifier un PDF signé électroniquement dans l’Union européenne ?

Pour vérifier un PDF signé électroniquement, ouvrez le fichier original (jamais une impression ni une copie réenregistrée) dans un outil de validation, puis contrôlez trois points : le document n’a pas été modifié depuis la signature, le signataire est bien la personne attendue, et le certificat provient d’un prestataire de services de confiance qualifié inscrit sur une liste de confiance de l’Union européenne. Adobe Acrobat Reader et l’application de démonstration DSS de la Commission européenne font ces contrôles. Pour un enjeu juridique important, eIDAS prévoit en outre des services de validation qualifiés.

Ce que la validation d’une signature qualifiée doit confirmer

Le règlement eIDAS fixe la liste des points qu’un processus de validation d’une signature électronique qualifiée doit confirmer (art. 32, 1)). En substance :

• au moment de la signature, le certificat était un certificat qualifié de signature électronique, délivré par un prestataire de services de confiance qualifié et valide ;
• les données de validation correspondent à celles communiquées à la personne qui vérifie, et le signataire est correctement identifié (l’usage d’un pseudonyme doit être clairement indiqué) ;
• la signature a été créée par un dispositif de création de signature électronique qualifié ;
• l’intégrité des données signées n’a pas été compromise ;
• les exigences de la signature avancée étaient remplies au moment de la signature.

Pour une signature avancée reposant sur un certificat qualifié, la liste est la même, sans l’exigence du dispositif qualifié (art. 32 bis). Le système de validation doit fournir un résultat correct et permettre de détecter tout problème de sécurité pertinent (art. 32, 2)).

Un certificat qualifié contient lui-même de quoi mener ces contrôles : une mention indiquant qu’il a été délivré comme certificat qualifié, l’identité du prestataire et l’État membre où il est établi, le nom du signataire, le début et la fin de sa période de validité, l’endroit où consulter son statut de validité et, le cas échéant, une mention indiquant que la clé se trouve dans un dispositif qualifié (annexe I).

PAdES : le format des signatures dans un PDF

PAdES désigne les signatures électroniques avancées au format PDF (PDF Advanced Electronic Signatures), normalisées par la norme ETSI EN 319 142-1. Elle définit quatre niveaux : B-B pour la signature de base, B-T qui ajoute un jeton horodaté prouvant que la signature existait à une date donnée, B-LT qui intègre au document toutes les données nécessaires à sa validation, et B-LTA qui ajoute des horodatages permettant de valider la signature longtemps après sa création. Les deux derniers niveaux sont expliqués dans notre article sur l’horodatage et la validation à long terme.

Méthode 1 : Adobe Acrobat Reader

1. Enregistrez l’original. Enregistrez la pièce jointe ou le fichier téléchargé sur votre ordinateur. Une copie produite par « Imprimer en PDF » ne contient plus la signature.
2. Ouvrez le panneau Signatures. D’après l’aide d’Adobe, ouvrez le PDF et sélectionnez Signatures dans le panneau de droite, puis Options et Valider les signatures.
3. Lisez l’état de validation. La boîte de dialogue État de validation de la signature résume le résultat pour chaque signature.
4. Affichez le certificat. Via Propriétés de la signature, puis Afficher le certificat du signataire, vous voyez qui a signé et quel prestataire a délivré le certificat.
5. Regardez l’origine de l’heure. Acrobat indique si l’heure de signature provient de l’horloge de l’ordinateur du signataire ou si la signature est horodatée par un serveur d’horodatage.

Acrobat intègre les listes de confiance de l’Union (EUTL). Adobe précise qu’il affiche alors l’un de trois états :

Une limite à connaître : Acrobat ne consulte pas les listes de confiance en temps réel. Il utilise une copie locale mise à jour environ une fois par mois ; un changement récent peut donc ne pas encore être pris en compte. Adobe recommande, dans les contextes sensibles, de vérifier le statut du prestataire directement dans le Trusted List Browser et, lorsqu’une détermination juridiquement contraignante est nécessaire, de recourir à un service de validation qualifié.

Méthode 2 : l’outil DSS de la Commission européenne

La Commission européenne publie DSS (Digital Signature Services), une bibliothèque de validation, et une application de démonstration où vous pouvez déposer un fichier signé. Lisez l’avertissement affiché sur la page : le fichier est transmis à l’infrastructure de la Commission, qui recommande de n’utiliser que des documents sans contenu sensible ; les fichiers transmis ne sont pas conservés.

DSS applique le modèle de validation de la norme ETSI EN 319 102-1. Selon sa documentation, l’indication principale peut être :

• TOTAL_PASSED : la signature a passé la vérification et respecte la politique de validation ;
• INDETERMINATE : ni le format ni la vérification cryptographique n’ont échoué, mais les informations sont insuffisantes pour conclure ;
• TOTAL_FAILED : le format de la signature est incorrect ou la valeur de la signature échoue à la vérification.

DSS détermine séparément si la signature est qualifiée, en s’appuyant sur les listes de confiance de l’Union. La documentation le souligne : la qualification ne peut être établie que pour des signatures dont les certificats remontent à une liste de confiance. Un TOTAL_PASSED seul ne prouve donc pas que la signature est qualifiée ; lisez aussi la ligne consacrée à la qualification.

Contrôler le prestataire vous-même

Chaque État membre établit et publie une liste de confiance des prestataires qualifiés dont il est responsable et des services qualifiés qu’ils fournissent (eIDAS, art. 22). En France, c’est l’ANSSI qui tient la liste nationale de confiance. Pour toutes les listes de l’Union, utilisez le Trusted List Browser : cherchez le prestataire qui figure comme émetteur du certificat. Selon l’ANSSI, ces listes permettent de déterminer le statut qualifié des prestataires et de leurs services, ainsi que l’historique de ce statut.

Un certificat émis hors de l’Union n’est reconnu comme qualifié que par un acte d’exécution ou un accord entre l’Union et le pays concerné (eIDAS, art. 14). Il peut rester recevable comme signature électronique (art. 25, 1)), mais les outils ci-dessus ne l’afficheront pas comme qualifié.

Ce qu’une signature valide ne prouve pas

La validation confirme l’identité du signataire et l’intégrité du document. Elle ne dit rien de l’exactitude du contenu, ni du pouvoir du signataire d’engager une société : l’ANSSI rappelle que le certificat qualifié est lié à une personne physique, pas à une fonction. Vérifiez ce pouvoir à part, par exemple à l’aide des statuts ou d’une délégation. Vérifiez aussi que l’acte peut être signé électroniquement : notre article où la signature électronique est-elle valable détaille les exceptions.

Pour les documents signés avec Collobr

Les PDF signés dans Collobr portent un code de vérification et un QR code qui ouvrent une page sur docs.collobr.com. Toute personne qui ouvre le lien voit l’original, le signataire, l’heure de la signature et si le document a été modifié depuis ; elle peut comparer octet par octet le PDF qu’elle détient avec l’original. La page affiche aussi le statut de chaque signature selon la liste de confiance de l’UE, validé avec la bibliothèque DSS de la Commission européenne ; elle existe en français, en anglais, en allemand et en turc. Elle offre un premier contrôle rapide à votre client, sans remplacer les méthodes ci-dessus.

Liste de contrôle

• J’ai vérifié le fichier original, pas une impression ni une capture d’écran.
• Le document n’a pas été modifié depuis la signature.
• Le signataire est la personne attendue et il a le pouvoir de signer.
• Le certificat provient d’un prestataire qualifié inscrit sur une liste de confiance de l’Union.
• L’heure de la signature provient d’un horodatage, et non de l’horloge de l’ordinateur du signataire.

Pour choisir le niveau de signature adapté à vos propres documents, lisez signature simple, avancée ou qualifiée et notre guide de la signature électronique.