Infographie architecture

Les 7 couches de sécurité d'une signature électronique conforme eIDAS

Comprendre ce qui se passe sous le capot quand vous signez un document : 7 couches cryptographiques empilées, chacune avec son standard de référence (ETSI EN 319, RFC 3161, AFNOR NF Z42-013, Critères Communs EAL4+). Sans une seule, la signature n'est pas opposable.

Les 7 couches de la pile sécurité

Chaque couche apporte une garantie spécifique. Pour qu'une signature soit conforme eIDAS et opposable, les 7 doivent être présentes et correctement implémentées. Certyneo est certifié sur chacune.

Couche 1

Identification du signataire

Certyneo certifié

Avant toute signature, le signataire est identifié via SMS code, scan d'ID, ou certificat qualifié (QES). C'est la couche qui répond à « qui a signé ? ».

📜 eIDAS Annexe II §1.b

Sans identification fiable, la signature n'a pas de valeur probante (Code civil 1367).

Couche 2

Sécurité du transport

Certyneo certifié

TLS 1.3 sur toutes les communications client ↔ serveur. Pas de downgrade vers TLS 1.0/1.1 autorisé. Certificats EV avec rotation trimestrielle.

📜 TLS 1.3 (RFC 8446)

Empêche l'interception du document entre l'émetteur et le signataire (attaque MITM).

Couche 3

Signature cryptographique (PAdES)

Certyneo certifié

Apposition de la signature au format PAdES (PDF Advanced Electronic Signature) selon ETSI EN 319 142. Signature liée au document, pas à un wrapper externe.

📜 ETSI EN 319 142 (PAdES)

Garantit que la signature ne peut pas être détachée et collée sur un autre document.

Couche 4

Horodatage qualifié

Certyneo certifié

Intégration d'un horodatage RFC 3161 émis par une autorité qualifiée (TSA) inscrite sur la EU LOTL. Précision à la milliseconde.

📜 RFC 3161 + ETSI EN 319 421

Prouve que la signature existe à un instant T précis, pas reconstruit a posteriori.

Couche 5

Module HSM (Hardware Security Module)

Certyneo certifié

Les clés privées de signature sont stockées dans un HSM certifié Critères Communs EAL4+ et FIPS 140-2 niveau 3. Les clés ne quittent jamais le HSM en clair.

📜 Critères Communs EAL4+ / FIPS 140-2

Empêche le vol de clé même en cas de compromission du serveur applicatif.

Couche 6

Audit trail eIDAS

Certyneo certifié

Log immuable de chaque événement du cycle de signature (création, envoi, signature, scellement) avec IP, horodatage, identité. Format conforme ETSI EN 319 102-1.

📜 ETSI EN 319 102-1

Fournit la preuve probatoire complète demandée par un tribunal en cas de litige.

Couche 7

Archivage probatoire

Certyneo certifié

Stockage du document signé + audit trail + certificat sur 10 ans minimum dans un système conforme AFNOR NF Z42-013. Re-horodatage périodique pour contrer l'obsolescence cryptographique.

📜 AFNOR NF Z42-013

Préserve la valeur probante du document tout au long de la prescription civile.

Les 4 menaces principales et leur mitigation

Une architecture de signature solide est conçue pour résister à 4 attaques classiques. Voici lesquelles, et quelle couche les neutralise.

Usurpation d'identité — "un autre a signé à ma place"
Authentification SMS / scan d'ID + log d'IP et de géolocalisation. Pour les actes à enjeu, certificat QES émis par un PSCo qualifié.
Couche 1 (Identification)
Altération du document — "le contenu signé a été modifié"
Hash SHA-256 du document signé par la clé HSM. Toute modification ultérieure invalide le hash et la signature.
Couches 3 & 5 (Signature + HSM)
Man-in-the-middle — "un tiers a intercepté"
TLS 1.3 obligatoire avec certificats EV + HSTS preload sur tous les domaines.
Couche 2 (Transport)
Répudiation — "je n'ai jamais signé / pas à cette date"
Audit trail immuable + horodatage qualifié RFC 3161 + archivage probatoire AFNOR. La charge de la preuve passe au signataire.
Couches 4, 6 & 7 (Horodatage + Audit + Archivage)

Méthodologie

Les 7 couches décrites correspondent à l'architecture sécurité Certyneo, conforme au règlement eIDAS de 2014 (UE 910/2014), aux normes ETSI EN 319 (séries Signature et Cachets), au Référentiel Général de Sécurité (RGS**) de l'ANSSI, et à la norme AFNOR NF Z42-013 pour l'archivage probatoire. Chaque couche est auditée annuellement par un tiers indépendant.

Pour aller plus loin

Une signature électronique cryptographiquement scellée

Les 7 couches ci-dessus sont implémentées par défaut sur tous les plans Certyneo, y compris le plan gratuit.