Signature numérique vs signature électronique : ce qui les différencie vraiment

Voici la version courte, parce que la plupart des explications l'enterrent sous trois paragraphes de préambule : une signature électronique est un concept juridique, et une signature numérique est une technologie cryptographique. Une signature numérique est une façon de créer une signature électronique robuste, pas une catégorie séparée qui existerait à côté.

Toute signature numérique est une signature électronique. Toute signature électronique n'est pas une signature numérique. C'est toute la relation entre les deux. Si vous ne devez retenir qu'une seule ligne de cette page, retenez celle-là.

Pourquoi cette confusion existe-t-elle seulement ? Les deux termes décrivent « signer quelque chose sans stylo », et le français ne sépare pas naturellement « l'acte de signer » de « la mécanique qui rend la signature prouvable ». Les juristes s'intéressent au premier point. Les cryptographes s'intéressent au second. La plupart des gens qui signent un bail ou un NDA ne pensent jamais à l'un ni à l'autre, jusqu'à ce qu'un contrat soit contesté.

Ce guide démêle les deux termes : ce que chacun signifie légalement et techniquement, comment le droit américain et le droit européen les traitent différemment, et de laquelle vous avez réellement besoin pour un document donné. Vous voulez d'abord la règle pratique simple ? Consultez notre guide sur la signature électronique de documents sécurisée, ou passez directement à la vérification d'un document signé si c'est ce qui vous amène ici.

Une signature électronique est un son, un symbole ou un procédé électronique, attaché à un document ou logiquement associé à celui-ci, apposé avec l'intention de le signer. C'est la définition juridique, presque mot pour mot, tirée de l'ESIGN Act américain et de l'Uniform Electronic Transactions Act (UETA), adoptée par 98 % des États américains (49 sur 50) selon l'Uniform Law Commission (New York s'appuie sur sa propre loi étatique en matière de signature électronique). La version de l'UE, sous eIDAS, appelle ce niveau de base une signature électronique simple (SES), et la définit de façon presque identique : des données électroniques attachées à d'autres données électroniques, utilisées par le signataire pour signer.

Remarquez ce qui manque dans cette définition : toute mention de chiffrement, de certificats ou de clés cryptographiques. La loi ne se soucie pas du mécanisme. Elle se soucie de l'intention. C'est pourquoi tout ceci compte, légalement, comme des signatures électroniques :

• Taper votre nom au bas d'un e-mail et cliquer sur envoyer
• Dessiner un gribouillis du doigt sur l'écran tactile d'une application de signature
• Cocher une case « J'accepte » sur une page de conditions d'utilisation
• Coller l'image scannée de votre signature manuscrite sur un PDF

Certaines de ces méthodes tiennent mieux face à un litige que d'autres. C'est là le piège. Un nom tapé sans piste d'audit est techniquement une signature électronique valable, mais si quelqu'un nie l'avoir signée, vous n'avez pas grand-chose à opposer à part « eh bien, ça dit son nom ». Une plateforme de signature qui enregistre l'adresse IP, l'horodatage, l'empreinte de l'appareil et la vérification par e-mail vous donne une signature électronique bien plus solide, même si ce n'est toujours pas une signature numérique au sens cryptographique.

C'est l'écart que comble le workflow de signature de Chaindoc : chaque signature porte une piste d'audit horodatée et une empreinte ancrée sur blockchain, ce qui vous donne une garantie d'identité et une preuve d'inviolabilité sans achat séparé de certificat pour la plupart des documents commerciaux.

Une signature numérique est un mécanisme cryptographique précis, bâti sur une infrastructure à clé publique (PKI), qui lie mathématiquement une signature à la fois à l'identité d'un signataire et au contenu exact d'un document au moment de la signature. Voici la version en langage clair de son fonctionnement, sans mathématiques requises :

1. 1
   Vous disposez d'une paire de clés. Une clé privée (que vous seul détenez, idéalement sur un dispositif sécurisé) et une clé publique (partagée ouvertement, généralement intégrée dans un certificat délivré par une autorité de certification).
2. 2
   La signature hache le document. Le logiciel de signature fait passer le document par une fonction de hachage, produisant une empreinte courte, de longueur fixe, unique à ce fichier exact. Changez un seul caractère, et l'empreinte change entièrement.
3. 3
   Votre clé privée chiffre cette empreinte. Cette empreinte chiffrée *est* la signature numérique. Elle est attachée au document.
4. 4
   N'importe qui peut la vérifier. Il déchiffre l'empreinte à l'aide de votre clé publique et la compare à une empreinte fraîche du document tel que reçu. Une correspondance signifie deux choses à la fois : la signature provient bien de vous, et rien n'a changé depuis que vous avez signé.

Voilà tout. Pas de mot de passe, pas de « faites-moi confiance », juste des mathématiques que n'importe qui peut vérifier indépendamment. En 2023, le NIST a publié le rapport FIPS 186-5, la norme technique de référence et le Digital Signature Standard, qui spécifie des longueurs de clé RSA à partir de 2048 bits, soit environ 2x le minimum de 1024 bits désormais déprécié, ainsi que des variantes à courbes elliptiques comme algorithmes approuvés, aux côtés du format de certificat X.509 qui associe les clés publiques à une identité vérifiée.

Une signature numérique prouve deux choses qu'une simple signature électronique ne peut garantir seule : une attribution d'identité forte, adossée à un certificat contrôlé plutôt qu'à « quelqu'un a tapé un nom », et une inviolabilité intégrée, puisque l'empreinte se brise dès que le document change. C'est une barre nettement plus haute, et c'est pourquoi les secteurs réglementés s'appuient dessus.

Voici toutes les distinctions des sections précédentes réunies en un seul endroit, car c'est la partie que les gens mettent réellement en favori et envoient à un collègue en pleine négociation. Six lignes, une réponse claire pour chacune : ce que c'est, comment l'identité est prouvée, ce qui se passe si quelqu'un altère le fichier, et où chaque type se situe légalement aux États-Unis et dans l'UE.

Une petite réserve sur ce tableau : une « preuve plus solide devant un tribunal » pour les signatures numériques n'est pas une garantie, c'est une tendance. Une signature électronique bien documentée, avec une piste d'audit solide, peut très bien tenir devant un tribunal. Et l'« usage typique » est un schéma, pas une règle. De nombreux NDA sont signés numériquement, et de nombreux contrats fournisseurs à six chiffres fonctionnent avec de simples signatures électroniques sans que personne ne s'en émeuve.

Pour l'analyse juridique plus approfondie du système à niveaux de l'UE, consultez notre guide sur les signatures électroniques qualifiées, qui prépare parfaitement la section suivante.

C'est là que les deux systèmes juridiques divergent réellement, et cela déstabilise constamment les gens. Aux États-Unis, il n'existe aucun système juridique à niveaux pour les signatures. ESIGN et UETA valident toute signature électronique adossée à une intention claire de signer, un point c'est tout.

Il n'existe aucun concept juridique américain qui sépare « électronique » de « numérique » comme le fait le droit de l'UE. Un PDF signé cryptographiquement et un nom tapé dans un e-mail comptent tous deux comme des signatures électroniques valables au titre du droit fédéral, même si un juge pèsera différemment les preuves derrière chacun si l'authenticité est contestée.

Dans l'UE, eIDAS a construit la correspondance entre technologie et niveau juridique que les États-Unis n'ont jamais établie. La SES (signature électronique simple) est le niveau de base : toute méthode de signature électronique compte, juridiquement valable mais avec le poids probatoire le plus faible. L'AdES (signature électronique avancée) doit être liée de manière unique au signataire, créée à l'aide de données sous son contrôle exclusif, et capable de détecter toute altération ; la plupart des implémentations d'AdES sont, fonctionnellement, des signatures numériques. La QES (signature électronique qualifiée) est une AdES créée sur un dispositif qualifié, adossée à un certificat qualifié délivré par un prestataire de confiance accrédité. En vertu de l'article 25(2), une QES a un « effet juridique équivalent à celui d'une signature manuscrite ». Pas comparable. Équivalent.

Ainsi, dans l'UE, « signature numérique » et « AdES/QES » se recoupent largement en pratique, même si eIDAS lui-même ne définit jamais réellement « signature numérique » comme un terme juridique. Il définit la SES, l'AdES et la QES. La technologie PKI derrière l'AdES et la QES est ce que les gens appellent familièrement une « signature numérique » dans les conversations de conformité européenne. Cette structure à trois niveaux n'a pas changé non plus sous eIDAS 2.0 ; le nouveau règlement ajoute une couche de portefeuille d'identité numérique par-dessus, il ne redéfinit pas ce qui compte comme SES, AdES ou QES.

Adaptez le type de signature à la situation, pas l'inverse. C'est tout le cadre de décision, en réalité : ne recourez pas par habitude à une signature numérique basée sur certificat quand une signature électronique bien documentée couvre déjà le risque, et ne rognez pas sur un contrat où la preuve supplémentaire compte réellement. Voici une répartition pratique par scénario :

• Validations internes, accusés de réception à faible enjeu. Une signature électronique basique (case à cocher, nom tapé) suffit. Ne sur-ingénierisez pas ce cas.
• La plupart des contrats B2B : NDA, accords fournisseurs, contrats commerciaux. Une signature électronique robuste avec une piste d'audit solide vous couvre aux États-Unis et satisfait les exigences de niveau AdES dans l'UE. C'est là que la plupart des entreprises devraient se positionner par défaut, et c'est ce que Chaindoc livre dès la sortie de boîte.
• Dépôts réglementés, contrats de forme notariale, certains accords de crédit à la consommation dans l'UE. Vous avez probablement besoin d'une signature numérique complète au niveau QES : un certificat qualifié délivré par un prestataire accrédité. Vérifiez le texte précis ; il n'existe pas de liste unique à l'échelle de l'UE des « contrats exigeant la QES ».
• Contrats à forte valeur ou à longue durée de vie, comme les baux, les cessions de propriété intellectuelle ou les documents de fusion-acquisition. Même sans obligation légale, la preuve d'inviolabilité supplémentaire vaut la friction si un litige pourrait surgir des années plus tard.
• Accords transfrontaliers où le lieu d'exécution est incertain. Adaptez le format à l'endroit où l'exécution est la plus probable, pas au standard le plus strict partout.

Honnêtement, la plus grande erreur que nous observons est que les entreprises supposent que la « signature numérique » est toujours le choix le plus sûr, en recourant à une signature basée sur certificat même quand une signature électronique bien documentée ferait l'affaire avec moins de friction. Plus de sécurité n'est pas gratuit. Cela coûte du temps de configuration, parfois des frais par signature, et occasionnellement une contrepartie agacée se demandant pourquoi un simple NDA a besoin d'un certificat.

L'ancrage blockchain n'est pas une troisième catégorie de signature en concurrence avec la signature électronique et la signature numérique. Voyez-le plutôt comme une couche d'intégrité indépendante qui se superpose à l'une ou à l'autre. Voici la différence pratique avec la PKI classique : la preuve d'inviolabilité d'une signature numérique ordinaire dépend de quelqu'un qui revérifie l'empreinte cryptographique à l'aide de la clé publique originale et de la chaîne de certification.

Cette vérification est possible, mais elle se déroule généralement à l'intérieur de la plateforme qui a délivré la signature, si bien que vous faites confiance aux registres de cette plateforme pour rester inaltérés des années plus tard.

L'ancrage blockchain enregistre l'empreinte du document sur un registre public et distribué au moment de la signature. N'importe qui, y compris une partie sans compte sur la plateforme de signature, peut confirmer indépendamment plus tard que l'empreinte correspond et a bien été enregistrée à cet horodatage, sans faire confiance à la base de données interne de la plateforme. C'est une garantie véritablement différente : pas « faites-nous confiance, nous avons vérifié », mais « vérifiez vous-même, voici le registre public ».

Cela complète la PKI et les pistes d'audit, cela ne les remplace pas. Un document peut porter une signature électronique robuste, une signature numérique complète basée sur PKI, et un ancrage blockchain, chacun couvrant une question différente : l'intention, l'identité cryptographique, et la vérifiabilité publique indépendante. Chaindoc ancre l'empreinte de chaque document signé de cette façon dans le cadre du flux de signature standard.

La vérification diffère selon le type de signature, mais la question sous-jacente reste toujours la même : ce document correspond-il à ce qui a réellement été signé, et par qui ? Pour une simple signature électronique, la vérification consiste généralement à examiner la piste d'audit de la plateforme : e-mail du signataire, adresse IP, horodatage, et confirmation que la session de signature correspondait bien à la partie prévue.

Il n'y a aucun calcul indépendant à vérifier ici ; vous faites confiance aux registres de la plateforme.

Pour une signature numérique, la vérification consiste à contrôler l'empreinte cryptographique par rapport au document, à confirmer que le certificat était valide (ni expiré ni révoqué) au moment de la signature, et à remonter le certificat jusqu'à une autorité de certification légitime. La plupart des lecteurs de PDF, Adobe Acrobat compris, peuvent le faire automatiquement si la signature a été apposée via un outil conforme.

Pour un document ancré sur blockchain, vous pouvez vérifier indépendamment de la plateforme qui l'a généré. C'est exactement ce que fait l'outil gratuit de vérification de PDF de Chaindoc : téléversez un document signé, et il contrôle l'intégrité et la piste d'audit par rapport au registre blockchain en quelques secondes, sans compte requis. Modifiez ne serait-ce qu'un seul caractère après la signature, et l'empreinte ne correspondra plus, vous le saurez immédiatement.

Une limite honnête qui mérite d'être mentionnée : les outils de vérification confirment qu'un document n'a pas été altéré et que la chaîne cryptographique d'une signature est valide. Ils ne peuvent généralement pas confirmer que la personne qui détenait les identifiants de signature était bien celle qu'elle prétendait être au moment de la signature. C'est une question à laquelle la vérification d'identité pendant la signature est censée répondre, pas quelque chose qu'un outil peut corriger rétroactivement.