Qu’est-ce qui rend une signature électronique digne de confiance ?

Une signature manuscrite inspire confiance discrètement : le papier est devant vous, l’encre est dessus, et un tribunal sait examiner l’un comme l’autre. Une signature électronique ne dispose d’aucune de ces preuves matérielles. Elle doit gagner la confiance en répondant clairement à trois questions, chaque fois que quelqu’un les pose, et aussi longtemps que le document a de l’importance.

Qui a signé ? Qu’est-ce qui a été signé, exactement ? Et quand ?

Qui a signé : l’identité

Les signatures électroniques les plus faibles s’arrêtent à une adresse e-mail ou à un nom saisi au clavier. Ce sont des affirmations, et quiconque peut ouvrir une boîte de réception peut les formuler.

PQC Imza rattache chaque signature à une personne vérifiée. L’application PQC Wallet lit par NFC la puce d’une carte d’identité ou d’un passeport, celle-là même que lit le contrôle aux frontières. Les données de la puce sont signées par le pays émetteur, et l’application vérifie cette signature à l’aide des propres certificats de ce pays. Une photocopie, une capture d’écran ou un scan retouché ne peuvent pas passer ce contrôle, car aucune puce n’est là pour en signer les données.

PQC Imza accepte les cartes d’identité à puce et les passeports de plus d’une centaine de pays. Chaque signature enregistre aussi le niveau d’identification de son signataire : une signature faite après la vérification d’une puce ne se présente pas comme une signature dont le signataire a seulement déclaré son identité, et cette différence est indiquée partout où la signature apparaît.

Ce qui a été signé : l’intégrité

Une signature doit être liée à un document précis, et non au « contrat » en général. Sinon, une signature donnée pour une version pourrait être reportée sur une autre.

Chaque document sur PQC Imza possède une empreinte SHA-256, une courte valeur calculée à partir de son contenu. Changez une virgule, et l’empreinte change complètement. Ce que signe chaque signataire inclut cette empreinte, et le serveur refuse toute signature qui ne l’inclut pas. N’importe qui peut ensuite importer le PDF sur la page de vérification : le site recalcule l’empreinte et indique clairement s’il s’agit bien du fichier qui a été signé.

Quand : l’horodatage

Les dates comptent : une signature peut n’être valable que parce qu’elle a été faite avant une échéance, ou avant le remplacement d’une clé.

PQC Imza enregistre le moment où chaque signature a été faite et, une fois la dernière recueillie, inscrit l’empreinte du document et les empreintes de ses signatures sur la blockchain SciChain. Cet enregistrement est horodaté par le registre, que plusieurs validateurs maintiennent synchronisé, et non par nos serveurs. Il montre que ces signatures existaient à cette date, quoi qu’il arrive ensuite à tel ou tel serveur.

Et aussi longtemps que nécessaire

Ces trois réponses ne tiennent que tant que la signature elle-même ne peut pas être falsifiée. La plupart des signatures actuelles utilisent RSA ou la cryptographie sur courbes elliptiques, qu’un ordinateur quantique de grande taille casserait. PQC Imza signe avec ML-DSA, la norme post-quantique publiée par le NIST en 2024 : les réponses restent donc vraies pendant toute la durée de vie du document. Nous expliquons ici pourquoi c’est important.

Une courte liste de vérification

Quel que soit le service que vous utilisez, posez-lui ces questions :

• Identité : le signataire est-il vérifié à partir d’un document officiel, ou seulement par une adresse e-mail ?
• Intégrité : la signature est-elle liée au fichier exact, et chacun peut-il le vérifier plus tard ?
• Horodatage : existe-t-il un enregistrement indépendant de la date de signature ?
• Longévité : la signature sera-t-elle toujours infalsifiable dans dix ans ?

Qu’une signature donnée satisfasse ou non une exigence légale donnée dépend du lieu et de la manière dont elle est utilisée. Pour les documents qui exigent légalement un type de signature particulier, consultez votre conseiller juridique.