Signature électronique par SMS : le code OTP expliqué, du signataire à l'expéditeur

Comment fonctionne la signature électronique par code SMS

Le principe est celui de la double authentification bancaire. L'expéditeur renseigne, pour chaque signataire, son adresse e-mail et son numéro de mobile. Le signataire reçoit le lien de signature par e-mail ; au moment de signer, la plateforme envoie un code de validation par SMS à ce numéro. Tant que le bon code n'est pas saisi, la signature est bloquée.

Le code est généré pour cette seule signature, il expire vite et ne peut servir qu'une fois : c'est le sens de « OTP », pour *one-time password*. Deux canaux distincts sont donc réunis — la boîte mail qui a reçu le lien et le téléphone qui a reçu le code — ce qui rend l'usurpation beaucoup plus difficile qu'avec un simple lien.

Les règles du code SMS chez Certyneo

Le numéro de téléphone apparaît masqué dans le certificat de preuve (par exemple +336•••••78) : il permet d'identifier l'envoi sans exposer le numéro complet à tous ceux qui recevront le document signé.

Code SMS et niveau eIDAS : l'OTP seul ne fait pas une signature avancée

On lit souvent qu'un code SMS « transforme » une signature simple en signature avancée. C'est inexact. L'article 26 du règlement eIDAS exige quatre choses : que la signature soit liée au signataire de manière univoque, qu'elle permette de l'identifier, qu'elle soit créée avec des données qu'il a sous son contrôle exclusif, et qu'elle soit liée aux données signées de sorte que toute modification soit détectable. Le code SMS répond au deuxième point ; il ne dit rien des autres.

C'est pourquoi la signature électronique avancée de Certyneo combine le code SMS avec une clé cryptographique personnelle, selon la politique de signature publiée :

1. Pendant que le signataire attend son SMS, son navigateur génère une paire de clés ECDSA P-256 marquée non exportable : la clé privée ne quitte jamais l'onglet, n'est ni envoyée à Certyneo ni enregistrée sur l'appareil.
2. Une fois le code SMS validé, l'autorité « Certyneo AES Signataires » certifie la clé publique au nom et à l'e-mail du signataire, sur preuve de possession de la clé privée. Ce certificat est valable 24 heures et ne sert qu'à signer.
3. Le navigateur signe au format CAdES un manifeste contenant l'empreinte SHA-256 de chaque document tel qu'il a été affiché et de chaque valeur saisie. Le serveur recalcule tout et refuse la signature à la moindre divergence.
4. Le PDF final embarque le manifeste et la signature de chaque signataire, puis un sceau PAdES couvre l'ensemble : toute retouche ultérieure est détectable sur la page vérifier un document.

Ce que le code SMS prouve, et ce qu'il ne prouve pas

Ce que le code de validation prouve

• La possession du téléphone : la personne qui a signé avait, à cet instant, accès au mobile rattaché au numéro saisi par l'expéditeur.
• Le moment : l'envoi et la validation du code sont horodatés en UTC dans le journal d'audit, avec l'adresse IP et le navigateur.
• La cohérence du parcours : le code n'est accepté que sur le lien personnel du signataire, pour cette enveloppe-là.

Ce qu'il ne prouve pas

• L'identité civile : aucun contrôle de pièce d'identité n'accompagne le code SMS. Si l'expéditeur saisit un mauvais numéro, le code part au mauvais destinataire.
• L'absence de fraude à la carte SIM : un numéro détourné (duplication de SIM, téléphone prêté) reste un risque que seul un contrôle d'identité réduit.
• Une équivalence avec la signature manuscrite : seule la signature qualifiée en bénéficie dans toute l'UE (article 25.2 d'eIDAS). Pour une signature simple ou avancée, c'est le dossier de preuve qui établit la fiabilité du procédé en cas de litige.

En pratique, le code SMS est un excellent compromis pour les contrats courants à enjeu réel : il ajoute un second facteur sans imposer de démarche au signataire. Notre guide sur la valeur juridique de la signature électronique détaille comment un juge apprécie ces preuves.

Code SMS ou code e-mail : lequel choisir pour vos signatures ?

Certyneo propose aussi un code de vérification par e-mail sur la signature simple, activé par défaut depuis le tableau de bord. Il est gratuit, mais il repose sur le même canal que le lien de signature : quelqu'un qui accède à la boîte mail du signataire obtient à la fois le lien et le code.

Règle simple : code e-mail pour les documents à faible enjeu (bon de commande, attestation, accord de principe), code SMS dès que le contrat engage durablement les parties. Notre dossier sur la signature électronique certifiée aide à situer chaque niveau.

Signer un document avec un code SMS : le pas à pas du signataire

1. Ouvrez l'e-mail d'invitation et cliquez sur le lien de signature. Aucun compte ni application n'est nécessaire.
2. Lisez le document, remplissez les champs demandés et tracez votre signature.
3. Cliquez sur « Signer » : un SMS contenant un code à 6 chiffres part vers le numéro que l'expéditeur a enregistré pour vous.
4. Saisissez le code dans les 10 minutes. Gardez l'onglet ouvert : c'est lui qui détient votre clé de signature.
5. Validez. Le document signé et son certificat de preuve vous sont envoyés quand tous les signataires ont signé.

Le parcours complet, sur ordinateur comme sur mobile, est décrit dans notre guide comment signer un document en ligne.

Je n'ai pas reçu le code SMS de signature électronique : que faire ?

Dans la grande majorité des cas, le SMS arrive en quelques secondes. S'il manque à l'appel, vérifiez dans cet ordre :

1. Attendez une minute avant de redemander un code : les réseaux mobiles ont parfois un léger retard, et chaque nouvelle demande consomme l'une des 3 permises en 10 minutes.
2. Vérifiez le réseau et le mode avion : un téléphone sans réseau ne reçoit rien, même en Wi-Fi. À l'étranger, l'itinérance doit être active.
3. Regardez les SMS filtrés : certains téléphones classent les messages d'expéditeurs inconnus dans un dossier « spam » ou « expéditeurs inconnus ».
4. Contrôlez le numéro affiché : si la page indique que le numéro enregistré est invalide (indicatif pays saisi deux fois, longueur incorrecte), aucun renvoi ne marchera. Demandez à l'expéditeur de le corriger.
5. Si le message dit de contacter l'expéditeur : son quota de SMS est probablement épuisé pour le mois. Il doit acheter un pack de SMS ; vous n'avez rien à faire de votre côté.
6. Après 3 demandes infructueuses, patientez quelques minutes : le compteur se libère au bout de 10 minutes.

Faire signer par SMS : quel forfait et combien coûte un SMS

Côté expéditeur, le SMS s'active en choisissant le niveau avancé pour l'enveloppe et en renseignant le mobile de chaque signataire. Chaque code envoyé avec succès est décompté du quota mensuel ; un envoi qui échoue n'est pas compté. Le forfait Gratuit ne comprend pas de SMS : il se limite à la signature simple.

Les packs de SMS supplémentaires

Quand le quota du mois est atteint, les packs prennent le relais. Ils s'achètent depuis l'espace facturation, sont consommés après le quota du forfait et n'expirent pas.

Un SMS vers un numéro hors d'Europe coûte 0,10 € de plus. Comptez un SMS par signataire, plus les éventuels renvois : un bail signé par un bailleur et deux colocataires consomme au moins 3 SMS. Tous les forfaits sont sans engagement ; le détail est sur la page tarifs.

Signature par SMS : Certyneo, Youtrust (ex-Yousign) et DocuSign comparés

Les prix Certyneo sont TTC, ceux de Youtrust et DocuSign HT. Pour aller plus loin : prix de Yousign, prix de DocuSign et notre comparatif des prix de la signature électronique.

Bail, contrat de travail, banque : quand exiger un code SMS

• Bail d'habitation ou de colocation : le locataire signe souvent depuis son téléphone ; le code SMS renforce l'identification sans lui imposer de démarche. Un code par colocataire.
• Contrat de travail et avenants : la signature avancée est le niveau généralement retenu par les services RH pour un engagement durable. Le mobile du salarié est déjà dans son dossier.
• Banque, assurance, crédit : les parcours de souscription utilisent massivement l'OTP par SMS. Pour un acte qui exige une identité vérifiée, passez à la signature qualifiée.
• Devis et contrats commerciaux de montant élevé : le code SMS réduit le risque de contestation du type « ce n'est pas moi qui ai signé ».

Pour les documents du quotidien, la signature électronique gratuite avec code e-mail suffit. Pour une vue d'ensemble des niveaux SES, AES et QES, consultez notre guide eIDAS.

Questions fréquentes