Audit trail de signature électronique : ce que chaque champ prouve et ce que la loi exige

Quelqu'un affirme n'avoir jamais signé. Le paraphe de la page quatre ne prouve rien : n'importe qui peut coller l'image d'un nom sur un PDF. Ce qui tranche, c'est l'audit trail de la signature électronique, le journal horodaté que tient le service de signature : qui a reçu le document, comment la personne l'a ouvert, comment elle a prouvé son identité, quand elle a signé et à quoi ressemblait le fichier à cet instant.

Les services parlent de fichier de preuve, de certificat d'achèvement ou de rapport d'audit, et en français on dit aussi piste d'audit, journal d'audit ou dossier de preuve. Le nom compte moins que le contenu.

Qu'est-ce qu'un audit trail, en général ? Le glossaire du NIST le définit comme une trace chronologique qui permet de reconstituer la suite des opérations derrière un événement. C'est le sens de l'audit trail en une phrase. Pour un contrat signé, la trace se compose surtout de métadonnées : noms, adresses e-mail, horodatages, adresses IP, empreintes de fichier. Rien de cela n'est le contrat. Tout cela vous servira si le contrat est contesté.

Ne le confondez pas avec la « piste d'audit fiable » de l'article 289, VII du Code général des impôts : elle relie une facture à la livraison qu'elle documente, c'est une règle de facturation, pas de signature.

Plus bas : ce que l'audit trail d'une signature électronique enregistre, ce que prouve chaque champ, ce que demandent le droit français et eIDAS, et ce qu'un tribunal californien voulait voir sans jamais l'obtenir. Pour simplement envoyer un document à signer, commencez par le parcours de signature.

La plupart des services de signature journalisent les mêmes événements. Ils diffèrent par ce qu'ils retiennent de l'identité et par la possibilité, ou non, qu'un élément extérieur à leur propre base confirme plus tard l'enregistrement.

Le tableau liste les champs habituels de l'audit trail d'une signature électronique, dans l'ordre où ils apparaissent, avec la limite de chacun. Lisez la dernière colonne deux fois : c'est là que naissent les litiges.

Voici un court exemple d'audit trail pour un contrat de prestation entre deux parties, tel que la plupart des rapports l'impriment. Les noms, adresses et empreintes sont inventés.

1. 1.
   2026-10-02 09:14:05 UTC. Document « Contrat de prestation v3 » créé par Priya Nair (priya@agency.example). Empreinte 9b1e…c07.
2. 2.
   09:15:40. Envoyé pour signature à Tom Weller (tom@client.example).
3. 3.
   11:02:19. Tom Weller a ouvert le lien. IP 198.51.100.23, Safari sous iOS.
4. 4.
   11:03:02. Tom Weller a passé la vérification par SMS vers un numéro finissant par 4471.
5. 5.
   11:04:47. Tom Weller a signé. IP 198.51.100.23.
6. 6.
   11:20:13. Priya Nair a signé. IP 203.0.113.9.
7. 7.
   11:20:14. Terminé. Empreinte finale a41d…e52.

Lisez-le comme le ferait l'avocat de la partie adverse. Les lignes 3 à 5 rattachent la signature de Tom à une boîte e-mail et à un téléphone, depuis une seule adresse réseau, en moins de trois minutes. L'histoire tient. Les lignes 1 et 7 donnent deux empreintes : le fichier parti et le fichier revenu signé. Si le PDF que vous remettez au juge a pour empreinte a41d…e52, personne ne l'a modifié après l'achèvement.

Que manque-t-il ? Rien n'indique quelle version Tom avait sous les yeux en ouvrant le lien. Un bon journal consigne chaque modification faite après l'envoi, ou verrouille le brouillon dès qu'il part. Demandez à votre prestataire laquelle des deux options il applique, parce que « nous ne journalisons pas cela » est une mauvaise surprise à découvrir à l'audience.

En droit français, la question posée par une signature électronique contestée est étroite : émane-t-elle bien de cette personne ? Le Code civil y répond en deux temps. L'article 1366 donne à l'écrit électronique la même force probante que l'écrit sur papier, à deux conditions : que la personne dont il émane puisse être dûment identifiée, et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. Ces deux conditions correspondent aux champs d'authentification et d'empreinte de l'audit trail. L'article 1367 ajoute que la signature électronique consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte. Cette fiabilité est présumée, jusqu'à preuve contraire, lorsque la signature est qualifiée au sens du décret n° 2017-1416. Pour une signature simple ou avancée, il n'y a pas de présomption : le juge doit être convaincu que le procédé est fiable.

C'est ici que l'audit trail travaille, mais pas seul. Il donne à un témoin (un collaborateur, parfois le prestataire) les faits qui expliquent pourquoi la signature ne pouvait venir que de cette personne. Sans témoin, il reste une liste de lignes.

Les points faibles : l'identité et l'heure

C'est pourquoi la ligne d'authentification pèse plus lourd que tout autre champ. Un lien par e-mail prouve que le signataire pouvait ouvrir cette boîte. Un code SMS ajoute un téléphone. Un contrôle d'identité sur passeport ajoute un visage et un document. Chaque couche réduit le groupe de ceux qui auraient pu signer, et aucune ne le réduit à une seule personne. Une boîte partagée, une assistante qui signe pour son responsable, un téléphone oublié sur un bureau : l'audit trail consigne les identifiants, et le juge décide de ce qu'ils disent de la personne.

L'heure est l'autre point faible. La plupart des audit trails prennent leurs horodatages sur les serveurs du prestataire. C'est généralement sans conséquence, personne n'ayant de raison de les mettre en doute, mais cela reste la parole du prestataire. L'horodatage d'une signature électronique par un prestataire de services de confiance qualifié, ou une empreinte inscrite sur une blockchain publique, place une seconde partie derrière l'heure.

L'Union européenne formule la même idée autrement. Selon l'article 25, paragraphe 1, d'eIDAS, l'effet juridique et la recevabilité d'une signature électronique comme preuve en justice ne peuvent être refusés au seul motif qu'elle est électronique ou qu'elle n'est pas qualifiée. Pour les signatures simples et avancées, on débat donc de leur poids, et ce poids vient de l'audit trail. La signature qualifiée a, selon le paragraphe 2, un effet juridique équivalent à celui d'une signature manuscrite : le journal y compte moins.

Franchement, la plupart des litiges n'en arrivent jamais là. Un journal cohérent met souvent fin à la discussion avant tout procès, parce que l'autre partie le lit aussi.

Aucun texte ne dresse la liste des champs qu'un audit trail doit contenir, ni en droit français ni dans eIDAS. La loi fixe le résultat : l'enregistrement est fiable et récupérable, la signature est attribuable à une personne, et, au niveau avancé, toute modification des données signées est détectable. Ce sont les vraies exigences d'un audit trail, et l'audit trail est votre moyen de les remplir.

Les règles françaises figurent dans les articles 1366 et 1367 du Code civil, complétés par le décret n° 2017-1416 et par le Code de procédure civile ; les règles européennes dans le règlement eIDAS consolidé. Les règles américaines sont là pour comparer, car beaucoup de services sont conçus à partir d'elles. Le tableau rattache chaque texte au champ qui y répond. Pour le droit britannique et le RGPD, voir ce que demandent ESIGN, eIDAS et la partie 11 à un processus de signature.

En Europe, l'équivalent de la partie 11 est l'annexe 11 des bonnes pratiques de fabrication (BPF), « Systèmes informatisés », que l'ANSM publie en français. Son point 9, « Traçabilité des modifications », demande d'envisager, sur la base d'une analyse de risques, un journal appelé audit trail qui garde la trace de toute modification ou suppression de données ayant un impact BPF. Chaque changement doit être justifié et documenté, et le journal doit être disponible, convertible dans un format compréhensible et revu à fréquence régulière. Le point 14 veut qu'une signature électronique soit définitivement liée à son enregistrement et indique la date et l'heure de son application.

Dans l'affaire Fabian v. Renovate America (cour d'appel de Californie, novembre 2019), une propriétaire affirmait n'avoir jamais signé un contrat de financement qui portait sa signature électronique. L'entreprise voulait recourir à l'arbitrage prévu par ce contrat, et devait donc prouver qu'elle avait signé. Elle n'y est pas parvenue. Le contrat était passé par DocuSign, mais la cour a constaté que Renovate n'avait fourni aucune preuve sur le procédé utilisé pour vérifier la signature électronique de Mme Fabian via DocuSign. Le mot DocuSign n'apparaissait même pas dans ses conclusions.

L'arrêt énumère ensuite ce que personne n'avait établi, et la liste ressemble à la table des matières d'un audit trail. Il s'appuie aussi sur une décision antérieure, Ruiz v. Moss Bros. Auto Group, où un responsable affirmait qu'une salariée avait signé sans jamais expliquer comment la signature ne pouvait venir que de quelqu'un utilisant son identifiant et son mot de passe personnels.

Remarquez ce que Fabian n'est pas : l'histoire d'un audit trail DocuSign défaillant. Le journal n'a jamais été présenté au tribunal. Un audit trail ne sert que si vous le conservez, le produisez et trouvez quelqu'un pour expliquer le procédé qui le sous-tend. Devant un tribunal fédéral américain, la règle 902(13) permet à l'attestation écrite d'une personne qualifiée de faire cette explication.

Un juge français pose les mêmes questions, par une autre porte. Lorsqu'une partie dénie sa signature électronique, l'article 287 du Code de procédure civile demande au juge de vérifier si les conditions posées par les articles 1366 et 1367 du Code civil sont remplies. Et si la signature bénéficie d'une présomption de fiabilité, l'article 288-1 précise qu'il lui appartient de dire si les éléments dont il dispose justifient de la renverser. Le fichier de preuve est donc la pièce où il cherche les mêmes réponses que la cour californienne : qui a envoyé, comment le signataire s'est identifié, quand il a signé.

Une piste d'audit que le personnel du prestataire pourrait réécrire sans que cela se voie reste un élément de preuve, mais un élément qui dépend de la confiance qu'on lui accorde. Trois techniques rendent toute altération du journal visible et retirent cette confiance de l'équation :

• Hacher le document. Une empreinte (hash) est un court identifiant d'un fichier ; changez un caractère et il change. Si l'empreinte du journal correspond au fichier que vous détenez, c'est bien le fichier qui a été signé. La note du comité sur la règle 902(14) des Federal Rules of Evidence américaines range les empreintes parmi les moyens usuels de montrer qu'une copie correspond à son original.
• Chaîner le journal : chaque entrée porte l'empreinte de la précédente, si bien qu'éditer une ancienne ligne casse toutes les suivantes.
• Inscrire une empreinte là où le prestataire n'a pas la main, par exemple sur une blockchain publique, pour que même lui ne puisse pas antidater.

Chaindoc utilise les deux dernières techniques de façon précise et limitée. L'application tient un journal d'événements chaîné par empreintes pour chaque signature. Deux moments sont inscrits sur la chaîne, sur le réseau SKALE : à la publication d'un document pour signature, l'empreinte de sa version, et à la fin de la signature, la preuve de chaque signataire. Les identités, les adresses IP et les consultations individuelles restent dans le journal de l'application, pas sur la chaîne. Pour aller plus loin : pourquoi Chaindoc enregistre sur SKALE.

Pour le PDF signé lui-même, le service de vérification de signature PDF indique si l'intégrité du fichier tient et quel certificat a signé. Il demande votre e-mail et un code à usage unique avant la première vérification.

Tous les grands services produisent un audit trail de signature électronique ; ils diffèrent par ce qu'il enregistre et par la facilité avec laquelle vous pouvez l'en sortir.

Le guide d'Adobe cite quatre éléments que doit contenir un audit trail : la date et l'heure de la signature, la confirmation que le signataire a été vérifié, la trace des modifications faites pendant ou après la signature, et l'adresse IP de chaque signataire. C'est un minimum honnête pour juger l'audit trail d'Adobe Sign ou de n'importe quel autre. Quant au fichier de preuve DocuSign, Fabian rappelle qu'il ne sert que si quelqu'un le produit et en explique le procédé.

Voici celui de Chaindoc. Quand la dernière partie signe, vous pouvez télécharger un audit trail en PDF qui liste chaque signataire, ses horodatages et adresses IP, l'empreinte du document et l'identifiant de la transaction blockchain. Si vous avez activé le contrôle d'identité optionnel (une fonction des formules payantes), son résultat figure aussi dans le journal. Les signatures qualifiées de Chaindoc sont en PAdES-BES, sans horodatage qualifié : la preuve de l'heure y repose donc sur le journal et sur le bloc qui contient l'enregistrement d'achèvement. Chaindoc n'est pas non plus un prestataire de services de confiance : le certificat qualifié vient d'un prestataire qui tient ses propres enregistrements. Pour aller plus loin : comment fonctionnent les signatures qualifiées.

Cinq questions à poser à tout prestataire

Vous cherchez une signature électronique avec audit trail qui tienne la route sur le plan juridique ? Posez ces questions :

1. 1.
   Quels événements enregistrez-vous, et journalisez-vous les modifications faites après l'envoi d'un document ?
2. 2.
   Quelles options d'authentification puis-je imposer pour un seul document ?
3. 3.
   D'où viennent vos horodatages ?
4. 4.
   Puis-je exporter le journal avec le fichier signé et le conserver sans compte ?
5. 5.
   Un tiers peut-il vérifier l'enregistrement sans votre aide ?

Gardez l'audit trail aussi longtemps que le contrat, et rangez-les ensemble. L'article 1366 du Code civil exige un écrit conservé dans des conditions qui garantissent son intégrité : un journal perdu à la clôture du compte chez le prestataire n'aide personne. Les pièces comptables et leurs justificatifs se conservent dix ans (Code de commerce, art. L. 123-22), et les actions personnelles se prescrivent en principe par cinq ans (Code civil, art. 2224). Notre guide sur les durées de conservation des documents détaille les cas courants. Exportez les deux à l'achèvement, sans compter sur un identifiant que vous pourriez perdre.

Prenez un contrat signé il y a six mois et reconstituez son histoire à partir du seul enregistrement. C'est le moyen le plus rapide de savoir si la preuve de votre signature électronique, c'est-à-dire votre audit trail, résisterait à une contestation.

1. 1.
   Le trouver. Pouvez-vous télécharger le journal aujourd'hui sans solliciter le support ?
2. 2.
   Comparer l'empreinte. L'empreinte du journal correspond-elle au fichier de vos archives ? Pas d'empreinte du tout : c'est déjà un constat.
3. 3.
   Lire les lignes d'authentification. Un simple lien par e-mail, ou quelque chose de plus solide ?
4. 4.
   Chercher les trous. Y a-t-il une consultation avant chaque signature, et les modifications faites après l'envoi sont-elles journalisées ?
5. 5.
   Contrôler l'horloge. Les heures se suivent-elles dans l'ordre, dans un seul fuseau annoncé ?

Si une réponse est non, corrigez-la pour le prochain contrat : changez l'authentification par défaut, exportez le journal à l'achèvement et rangez-le avec le PDF signé. Chez Chaindoc, le fonctionnement de la signature dans Chaindoc montre où se trouve le journal.