Signature électronique qualifiée : qui la délivre vraiment ? Ce que disent les listes de confiance de l'UE

Les listes de confiance, seule preuve qui compte

Le règlement européen eIDAS réserve la signature électronique qualifiée — la seule équivalente de plein droit à une signature manuscrite dans toute l'Union — aux certificats délivrés par un prestataire de services de confiance qualifié (PSCQ, ou QTSP en anglais). Chaque État membre publie la liste de ses prestataires qualifiés, service par service, et la Commission européenne les rassemble dans une liste des listes (LOTL). Voir notre guide sur le règlement eIDAS et sur la signature qualifiée.

Nous avons téléchargé le 27 septembre 2026 la LOTL n° 395 et les 30 listes nationales (27 États membres, plus la Norvège, l'Islande et le Liechtenstein), puis compté, pour chaque pays, les prestataires qui ont au moins un service de certificats qualifiés de signature actif. Un prestataire dont tous les services ont été retirés reste souvent inscrit : il ne compte pas.

L'Union compte 267 prestataires qualifiés actifs, tous services confondus, dont 186 délivrent des certificats qualifiés de signature (197 avec l'Espace économique européen). La France en compte 18, au 3e rang, derrière l'Italie et l'Espagne, dont la tradition de signature électronique notariale et administrative est plus ancienne.

Les 18 prestataires qualifiés français : près de la moitié sont publics

Sur les 18 organismes français qui délivrent des certificats qualifiés de signature, 6 sont des administrations de l'État (titres sécurisés, justice, intérieur, gendarmerie, finances), 2 relèvent de la sphère publique ou ordinale (Imprimerie nationale, Conseil supérieur du notariat) et 10 sont des entreprises. Ces derniers sont les seuls auxquels un particulier ou une entreprise peut s'adresser.

Les noms sont ceux de la liste, pas des marques commerciales : « Cryptolog International » est la société historique d'Universign, « Lex Persona » celle de Goodflag, « Youtrust » le nouveau nom de Yousign. Par ailleurs, 7 prestataires français restent inscrits alors que tous leurs services qualifiés ont été retirés.

38 solutions passées au crible : qui délivre, qui revend, qui ne dit rien

Nous avons relevé, sur au moins trois pages publiques de 38 solutions de signature électronique vendues en France (produit, tarifs, sécurité ou conformité, mentions légales), si elles proposent la signature qualifiée et qui la délivre, puis cherché chaque entité nommée dans les listes de confiance. 34 solutions affichent une offre de signature qualifiée.

21 solutions sont elles-mêmes prestataires qualifiés (directement ou par une entité de leur groupe). 13 revendent une signature qualifiée produite par un tiers : c'est légal et courant, le prestataire partenaire se chargeant de vérifier l'identité et d'émettre le certificat. 8 de ces revendeurs nomment leur prestataire, et nous l'avons retrouvé actif sur une liste. 5 ne le nomment nulle part sur les pages consultées : Adobe Acrobat Sign, Oodrive Sign, Foxit eSign, Oneflow, Certyneo.

Et Certyneo ?

Certyneo, qui publie cette étude, a été relevé avec la même grille — et se trouve dans la mauvaise colonne. Nos pages publiques parlaient de « notre prestataire, inscrit sur la liste de confiance européenne » sans le nommer ; seul le guide du signataire mentionnait l'application Evrotrust, comme lien de téléchargement.

Nous avons choisi de publier ce constat tel quel. Une étude sur la transparence qui ferait une exception pour son auteur ne vaudrait rien.

L'entité visible n'est pas toujours celle qui est inscrite

Le croisement révèle plusieurs situations où la marque affichée et l'entité inscrite diffèrent. Aucune n'est irrégulière, mais toutes compliquent la vérification pour un client :

• Une marque, plusieurs sociétés. Chez plusieurs éditeurs, l'entité inscrite sur la liste est une filiale d'un autre pays que la société qui signe le contrat avec le client.
• Qualifié, mais pas pour la signature. Certaines entités sont inscrites comme prestataire qualifié pour l'horodatage, la validation ou le cachet seulement. Le badge « prestataire qualifié » ne dit pas pour quel service.
• Des inscriptions fantômes. 88 prestataires de l'UE (dont 7 en France) figurent encore sur les listes alors que tous leurs services qualifiés ont été retirés.
• Des changements de nom fréquents. Yousign est devenu Youtrust, Lex Persona est devenu Goodflag, Universign a rejoint Signaturit, Connective est devenu Nitro Sign. La liste garde souvent l'ancien nom de la société.
• Un prestataire peut arrêter. Validated ID (VIDsigner) annonce sur son site la fin de son activité de prestataire qualifié et la révocation de ses certificats au 30 novembre 2026, alors que ses services sont encore actifs sur la liste espagnole.

Comment vérifier soi-même un prestataire en cinq minutes

1. Demander à la plateforme le nom juridique exact du prestataire qui délivre le certificat qualifié (pas la marque).
2. Chercher ce nom dans le navigateur officiel des listes de confiance de la Commission européenne (eidas.ec.europa.eu, rubrique « Trusted List Browser »).
3. Vérifier que le service est de type certificat qualifié pour signature électronique (et non horodatage, cachet ou site web) et que son statut est « granted », pas « withdrawn ».
4. Après signature, ouvrir le PDF dans un lecteur et afficher les propriétés de la signature : le nom de l'émetteur du certificat y figure. Notre validateur de signature le fait en ligne.
5. Pour une formalité précise (INPI, marchés publics), vérifier le niveau exigé : qualifiée, ou avancée reposant sur un certificat qualifié.

« Conforme eIDAS » ne veut pas dire « qualifiée » : une signature simple est elle aussi conforme au règlement. 13 solutions sur 38 dans notre panel emploient ce type de formule sans préciser le niveau.

Questions fréquentes