Comment fonctionne une signature électronique ?

Le principe général

Une signature électronique n'est pas une image. C'est un procédé cryptographique qui lie quatre éléments indissociables : le document, l'identité du signataire, le moment de la signature et une preuve technique que rien n'a été modifié ensuite.

Ce procédé repose sur deux piliers : l'authentification du signataire et l'intégrité du document.

Étape 1 : authentifier le signataire

L'authentification consiste à établir un lien entre la personne qui appose sa signature et une identité vérifiable. Plusieurs techniques existent, combinables :

• Adresse email de confiance : un lien unique est envoyé. Seul le titulaire de l'email peut cliquer et signer.
• Code OTP (One-Time Password) : un code à usage unique est envoyé par SMS. Le signataire le saisit pour prouver qu'il possède bien le numéro de téléphone associé.
• Certificat personnel : pour la signature qualifiée, un certificat émis par un prestataire qualifié prouve l'identité du signataire.

Le niveau d'exigence varie selon le niveau de signature visé — voir les différences entre niveaux.

Étape 2 : calculer l'empreinte cryptographique

Avant la signature, la plateforme calcule une empreinte (hash) du document. C'est une suite de caractères unique qui représente le contenu du fichier. Toute modification, même d'un seul caractère, produit une empreinte totalement différente.

L'empreinte est comme une signature digitale du fichier : elle est petite (quelques dizaines d'octets) mais elle garantit l'intégrité. Si quelqu'un modifie le document après la signature, l'empreinte ne correspond plus — la signature est invalidée.

Étape 3 : associer identité et empreinte

La plateforme chiffre l'empreinte avec une clé cryptographique liée à l'identité du signataire (via la PKI pour la QES, ou via la plateforme pour la SES/AES). Le résultat est le jeton de signature : un objet numérique qui contient à la fois :

• l'empreinte du document
• l'identifiant du signataire
• l'horodatage précis
• la signature cryptographique elle-même

Ce jeton est embarqué dans le PDF final selon le format PAdES (PDF Advanced Electronic Signatures), un standard européen. Concrètement, quand vous ouvrez un PDF signé dans Adobe Acrobat Reader, le lecteur vérifie automatiquement le jeton et affiche "Signature valide" si tout correspond.

Étape 4 : horodater

L'horodatage lie la signature à un instant précis et vérifiable. Un horodatage qualifié émis par un prestataire de confiance fournit une preuve légale que le document existait bien à cette date — argument décisif en cas de contestation sur la date d'engagement.

Voir horodatage électronique pour comprendre le rôle et les niveaux d'horodatage.

Étape 5 : consigner dans la piste d'audit

À chaque étape du cycle de signature, la plateforme enregistre un événement horodaté :

• envoi de l'enveloppe
• ouverture par le signataire (avec IP et user-agent)
• saisie de l'OTP
• signature effective
• refus éventuel
• expiration

L'ensemble constitue la piste d'audit (audit trail). C'est la preuve opérationnelle du processus. Elle est intégrée au PDF final et conservée 10 ans. Voir preuve de signature électronique.

Ce qui se passe concrètement côté signataire

Du point de vue du signataire, l'expérience est minimaliste :

1. Il reçoit un email avec un lien.
2. Il clique et ouvre le document dans son navigateur.
3. Il lit, puis clique sur "Signer".
4. Pour l'AES : il saisit un code SMS reçu sur son téléphone.
5. C'est fini. Il reçoit une copie du PDF signé.

Pas de compte à créer, pas d'application à installer, pas de certificat à générer (sauf pour la QES). Tout se fait en 1 à 3 minutes.

Ce qui se passe côté émetteur

L'émetteur pilote le processus depuis son tableau de bord :

• dépôt du document (PDF, conversion automatique si Word)
• ajout des destinataires et placement des champs de signature
• choix du niveau de signature et de l'ordre (parallèle ou séquentiel)
• paramétrage des relances automatiques et de la date d'expiration
• envoi

En temps réel, il voit chaque enveloppe passer de l'état "envoyée" à "ouverte" à "signée". Des webhooks ou notifications push peuvent remonter ces événements dans un CRM ou un SIRH.

Pourquoi la signature électronique est difficile à falsifier

• Empreinte cryptographique : toute modification invalide la signature
• Authentification forte : sans accès à l'email ET au téléphone (pour l'AES), impossible de se faire passer pour le signataire
• Piste d'audit horodatée : chaque étape est tracée avec IP et user-agent
• Clés cryptographiques : la clé privée du signataire (QES) ne quitte jamais son dispositif matériel
• Archivage 10 ans : la preuve reste mobilisable longtemps après la signature

Comment Certyneo vous aide

Chez Certyneo, tout le pipeline cryptographique tourne en backend sur des serveurs européens (Allemagne, IONOS) : dépôt du PDF, calcul de hash SHA-256, intégration du jeton PAdES, horodatage, sauvegarde de la piste d'audit dans une base PostgreSQL chiffrée. Vous bénéficiez d'un procédé conforme eIDAS sans avoir à comprendre le détail technique.

Découvrir la solution de signature électronique Certyneo

FAQ

Puis-je vérifier une signature sans la plateforme qui l'a émise ?

Oui. Un PDF signé au format PAdES est vérifiable par n'importe quel lecteur PDF compatible (Adobe Reader, pdfsig, etc.). Même si la plateforme émettrice disparaît, la signature reste vérifiable.

Que se passe-t-il si je modifie le PDF après signature ?

La signature devient invalide. Le lecteur PDF affiche un avertissement "Le document a été modifié depuis la signature" et l'empreinte ne correspond plus.

Quelle est la durée de vie d'une signature électronique ?

La signature reste valide tant que les algorithmes cryptographiques utilisés le sont. Pour garantir une validité long terme, on utilise des formats PAdES-LTA (Long Term Archive) qui intègrent des horodatages qualifiés régénérés périodiquement.

Peut-on signer plusieurs documents en une seule fois ?

Oui. Une enveloppe Certyneo peut embarquer plusieurs documents qui sont tous signés en un seul clic. Chaque document garde sa propre empreinte mais la piste d'audit est commune.

L'empreinte révèle-t-elle le contenu du document ?

Non. L'empreinte est un sens unique : on peut calculer l'empreinte à partir du document, mais pas retrouver le document à partir de l'empreinte. C'est une des propriétés fondamentales des fonctions de hachage cryptographique.

Conclusion

Une signature électronique, c'est un procédé cryptographique qui lie de manière vérifiable un signataire, un document, une date et un consentement. Le signataire n'a rien à comprendre de tout cela — pour lui, c'est un clic et un code SMS. Pour vous, c'est une preuve solide, archivée, mobilisable.

Essayez Certyneo pour envoyer, signer et suivre vos documents en ligne simplement, rapidement et en toute sécurité.