Différence signature électronique et numérique : ce que dit le droit, ce que fait la technique

Différence signature électronique et numérique : la première est une notion juridique, la seconde un procédé technique. Une signature électronique, c'est tout ce qu'une personne joint par voie électronique à un document pour le signer : un nom tapé, un paraphe tracé du doigt, une case cochée. Une signature numérique est un procédé d'infrastructure à clé publique (PKI) qui lie la signature à un certificat et aux octets exacts d'un seul fichier. Toute signature numérique est donc une signature électronique ; la plupart des signatures électroniques ne sont pas numériques.

En France, le droit n'emploie qu'un seul de ces mots. Le Code civil (articles 1366 et 1367) et le règlement eIDAS parlent de signature électronique, puis de signature électronique avancée et qualifiée. « Numérique » relève du vocabulaire des techniciens, et de celui de tous ceux qui disent « signature numérique » pour « signer sans papier ». Le reste de ce guide montre quand l'écart compte : ce que disent les textes, quel document réclame quel niveau, et comment savoir ce qu'un PDF contient.

Vous voulez seulement envoyer un document à signer ? Respirez. Pour la plupart des contrats courants, une signature électronique appuyée sur une piste d'audit complète suffit.

Le Code civil part de ce que fait toute signature : elle identifie son auteur et manifeste son consentement (article 1367). Quand elle est électronique, elle « consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte auquel elle s'attache ». Le règlement eIDAS voit plus large, à l'article 3, point 10 : des « données sous forme électronique, qui sont jointes ou associées logiquement à d'autres données sous forme électronique et que le signataire utilise pour signer ». L'ESIGN Act américain dit la même chose en d'autres termes (§ 7006(5)), et aucun de ces textes ne définit la « signature numérique ». Les éditeurs appellent souvent ce niveau de base « signature simple » ; c'est un usage commercial, le règlement dit seulement « signature électronique ».

Ni clés ni certificats dans ces définitions. Seule compte l'intention de signer, d'où cette liste :

• un nom tapé au bas d'un e-mail
• un paraphe tracé du doigt sur l'écran d'un téléphone
• la case « J'accepte » cochée avant de valider
• une image scannée de votre signature manuscrite collée dans un PDF. Recevable, mais faible comme preuve.

Avec ce dernier cas, la différence entre signature électronique et signature numérique devient concrète. Un nom tapé prouve peu si l'expéditeur nie l'avoir écrit. Un service qui consigne comment chaque personne s'est identifiée, quand elle a ouvert le fichier et depuis quelle adresse IP vous donne beaucoup plus. Ce journal, c'est la piste d'audit derrière une signature électronique, et c'est souvent ce que lit un juge en cas de litige.

Mais ce n'est toujours pas une signature numérique. La preuve se trouve dans les archives du service, pas dans le fichier.

Qu'est-ce qu'une signature numérique ? Un procédé PKI qui lie trois choses : une paire de clés, une personne et les octets exacts d'un fichier. Voici la séquence, sans les maths :

1. 1.
   Vous détenez une paire de clés. La clé privée reste chez vous, sur une clé USB sécurisée, une carte à puce ou le matériel protégé d'un prestataire ; la clé publique est placée dans un certificat.
2. 2.
   Le logiciel calcule l'empreinte (le hash) du document : une valeur courte, propre à ce fichier. Changez une virgule et l'empreinte n'a plus rien à voir.
3. 3.
   Votre clé privée signe cette empreinte, et la signature ainsi que le certificat sont intégrés au fichier (dans un PDF, un champ de signature PAdES).
4. 4.
   Un outil de validation recalcule l'empreinte, contrôle la signature avec votre clé publique, puis remonte la chaîne de votre certificat jusqu'à une racine à laquelle il fait confiance.

Si tout concorde, deux choses sont établies d'un coup : cette clé a signé, et le fichier n'a pas bougé depuis. Ni l'une ni l'autre ne dépend de l'existence du service qui a recueilli la signature. Les éditeurs appellent cela la non-répudiation, un mot qui promet un peu trop : un signataire peut toujours prétendre qu'on lui a volé sa clé, et le juge continue de peser les preuves.

La référence américaine est la norme FIPS 186-5 du NIST, le Digital Signature Standard (en anglais), publiée le 3 février 2023. D'après le NIST, les signatures numériques servent à détecter les modifications non autorisées des données et à authentifier l'identité du signataire. On ne fait pas plus court.

Ce qu'est un certificat de signature numérique

Le certificat est la carte d'identité ; la signature, l'acte de signer avec cette carte. Un certificat de signature numérique (on dit aussi certificat de signature électronique) lie votre nom à votre clé publique, et son émetteur le signe à son tour. Tout se joue sur cet émetteur. Un certificat que vous créez vous-même dans Acrobat produit une signature mathématiquement valide que la plupart des outils de validation signalent quand même, puisque personne ne se porte garant du nom qu'il contient.

Qui le délivre : le prestataire de services de confiance

Une autorité de certification contrôle votre identité et émet le certificat. Pour une signature qualifiée dans l'UE, l'émetteur doit être un prestataire de services de confiance qualifié, que vous retrouvez dans la liste de confiance de l'UE. Notre article sur les prestataires de services de confiance qualifiés et la liste de confiance de l'UE explique comment la lire. En France, c'est l'ANSSI qui qualifie les prestataires établis sur le territoire.

Franchement, c'est cette étape qui coûte du temps : contrôle d'identité, une clé ou une application, un renouvellement quand le certificat expire. Voilà pourquoi si peu de gens signent ainsi un NDA de routine.

Droit français : le Code civil et le décret de 2017

Depuis le 1er octobre 2016, l'article 1366 du Code civil donne à l'écrit électronique la même force probante que l'écrit sur papier, à deux conditions : que son auteur puisse être dûment identifié, et qu'il soit établi et conservé dans des conditions qui en garantissent l'intégrité. L'article 1174 ajoute que, même lorsque la loi exige un écrit pour la validité d'un contrat, l'écrit électronique peut convenir.

L'article 1367 pose la présomption : la fiabilité du procédé de signature électronique est présumée, jusqu'à preuve contraire, lorsque la signature est créée, l'identité du signataire assurée et l'intégrité de l'acte garantie dans les conditions fixées par décret en Conseil d'État. Ce décret est le décret n° 2017-1416 du 28 septembre 2017, dont l'article 1er ne présume fiable que le procédé mettant en œuvre une signature électronique qualifiée, définie par renvoi au règlement eIDAS. La frontière du droit français ne sépare donc pas signature électronique et signature numérique. Elle sépare la signature qualifiée, présumée fiable, de toutes les autres.

Union européenne : trois niveaux

Le règlement (UE) n° 910/2014 distingue :

• la signature électronique, article 3, point 10 : le niveau de base décrit plus haut ;
• la signature électronique avancée, article 3, point 11, qui doit remplir les quatre conditions de l'article 26 : liée au signataire de manière univoque, apte à l'identifier, créée avec des données qu'il peut utiliser sous son contrôle exclusif, et liée aux données signées de sorte que toute modification ultérieure soit détectable ;
• la signature électronique qualifiée, article 3, point 12 : une signature avancée créée par un dispositif de création qualifié et reposant sur un certificat qualifié.

L'article 25.1 interdit de refuser à une signature électronique son effet juridique ou sa recevabilité comme preuve au seul motif qu'elle est électronique ou qu'elle n'est pas qualifiée. L'article 25.2 donne à la seule qualifiée un effet équivalent à celui d'une signature manuscrite. Notre guide de la signature électronique qualifiée détaille ce niveau le plus haut.

Remarquez ce qui manque : le texte de 2014 n'emploie jamais l'expression « signature numérique ». Dans l'usage européen, elle désigne la technique PKI sur laquelle reposent le plus souvent les signatures avancées et qualifiées. Le règlement (UE) 2024/1183, dit eIDAS 2.0, a conservé les trois définitions et l'article 25, paragraphes 1 et 2, et déplacé la reconnaissance transfrontalière dans un nouvel article 24 bis.

Entre signature numérique et signature électronique, le choix se fait selon le document et le droit qui le régit, pas par habitude. Le tableau couvre les cas les plus fréquents. Un niveau plus fort nuit rarement sur le plan juridique, mais il coûte du temps, et parfois la patience de l'autre partie.

L'Inde est le seul pays où la différence entre signature numérique et signature électronique est écrite dans la loi sous la forme de deux instruments. Cette section vaut pour l'Inde, pas pour la France.

L'Information Technology Act, 2000 définit la signature numérique à la section 2(1)(p) par renvoi à la section 3 : un système cryptographique asymétrique et une fonction de hachage. En pratique, il s'agit d'un Digital Signature Certificate (DSC) délivré par une autorité de certification agréée par le Controller of Certifying Authorities (CCA), le plus souvent sur une clé matérielle. La modification de 2008 a ajouté la section 2(1)(ta) : une signature électronique utilise une technique de la Second Schedule et inclut expressément la signature numérique.

Aadhaar eSign relève de la seconde voie. Le CCA décrit eSign comme un service de signature en ligne appelé par API : le signataire passe un contrôle e-KYC par biométrie ou par OTP, un certificat de courte durée est émis, et la clé est détruite juste après un seul usage. La section 5 admet les deux voies, sauf si un portail impose un DSC.

Un détail pour qui valide hors d'Inde : les deux voies remontent à la racine du CCA. Un outil de validation ancré sur la liste de confiance de l'UE lit alors la cryptographie comme intacte et la chaîne comme non résolue. C'est un écart d'ancre de confiance, pas un fichier falsifié.

Les deux éditeurs tracent la ligne entre signature numérique et signature électronique comme ce guide le fait, ce qui simplifie les choses. La page « Digital Signature » de DocuSign (en anglais), lue le 14 octobre 2026, présente la signature numérique comme un type de signature électronique offrant une vérification supplémentaire, et précise que toute signature numérique inclut un certificat numérique délivré par un prestataire de services de confiance. Le certificat fait donc la différence, et la page n'indique pas quelles formules proposent ces niveaux.

Adobe trace la même ligne dans Acrobat. Ses pages d'aide (en anglais) rangent les e-signatures, comme remplir et signer ou demander des signatures, à part des signatures numériques, qu'Adobe décrit comme une signature avec une identité numérique à base de certificat. Qui cherche « adobe signature numérique » tombe sur ce second cas. Acrobat vous laisse aussi créer votre propre identité numérique. Cela reste une signature numérique, simplement une à laquelle aucun outil de validation ne fait confiance tant que personne ne le lui dit.

Voici franchement où nous nous situons : Chaindoc n'est ni une autorité de certification ni un fournisseur de certificats de signature numérique. C'est un service de signature à deux voies.

La voie courante produit des signatures électroniques avancées PAdES-BES, au sens de l'article 26 d'eIDAS : une signature PKI intégrée au PDF, de sorte que le fichier lui-même montre s'il a changé après la signature. BES est le profil PAdES de base, et le nôtre ne comporte pas d'horodatage de confiance. La validation à long terme n'est pas intégrée : si un fichier doit rester vérifiable des années après l'expiration de ses certificats, prévoyez-le à part.

La voie qualifiée sert aux documents qui exigent une signature qualifiée. Chaindoc conduit la session de signature et le signataire apporte son certificat qualifié, par une eID nationale comme Smart-ID, itsme ou ID Austria, ou par tout prestataire compatible avec l'API du Cloud Signature Consortium. Une signature qualifiée ponctuelle existe pour qui n'a pas encore de certificat. Le certificat vient toujours du prestataire de services de confiance qualifié, jamais de nous.

Autour de ces deux voies se trouve le dossier de preuve. Le serveur calcule l'empreinte de chaque fichier à l'import. Quand vous publiez un document, l'empreinte de sa version est inscrite sur la blockchain, et la preuve de chaque signataire l'est à la fin de la signature. Les noms et les adresses e-mail restent dans la piste d'audit, pas sur la blockchain, et les fichiers circulent en TLS. Un contrôle KYC facultatif ajoute une identité vérifiée quand une transaction l'exige.

On repère vite la différence entre signature numérique et signature électronique en regardant au bon endroit : un panneau de signature, pas une image. Dans Acrobat ou Reader, une signature numérique apparaît dans le volet Signatures avec le certificat du signataire, un statut de validité et une mention indiquant si le document a changé depuis. Une signature dessinée ou collée qui n'y figure pas ? C'est une signature électronique, et sa preuve se trouve dans la piste d'audit du service de signature.

Pour un second avis, notre vérificateur de signatures PDF rend l'intégrité, la chaîne de certificats, la révocation, les horodatages intégrés et le profil PAdES, chacun avec son propre résultat. Il accepte les fichiers jusqu'à 50 Mo, demande votre e-mail et un code à usage unique avant la première vérification, et ne conserve pas le fichier ensuite. Son ancre de confiance principale est la liste de confiance de l'UE.

Les signatures qui revendiquent le niveau qualifié sont un travail à part, que la validation des signatures qualifiées contrôle selon les règles d'eIDAS.

Et si Acrobat affiche que la validité de la signature est inconnue ? Pas de panique, et n'enregistrez pas à nouveau le fichier. Le lecteur ne fait en général pas confiance à la racine émettrice. Notre guide explique ce que signifie l'avertissement « signature non vérifiée » et les étapes à suivre.

La plupart des confusions viennent de quelques habitudes. Voici les cinq que nous voyons le plus :

• Prendre une signature scannée pour une signature numérique. C'est une image. Aucune validation n'y trouve rien, et n'importe qui peut la coller dans un autre fichier.
• Lire « numérique » dans un nom de produit comme du PKI. Beaucoup d'outils appellent « numérique » la signature dessinée à l'écran. Demandez si un certificat est en jeu, et lequel.
• Croire qu'une signature numérique est automatiquement qualifiée. La qualifiée exige un certificat qualifié et un dispositif de création qualifié ; la plupart des signatures PKI n'ont ni l'un ni l'autre.
• Acheter le niveau le plus fort pour tout. Une contrepartie à qui l'on demande un certificat pour un NDA de routine peut tout simplement ne pas signer. Le contrat l'exigeait-il vraiment ?
• Oublier la règle de forme. Pour certains actes, aucune signature électronique ne convient ; le testament olographe (article 970 du Code civil) est l'exemple français.

La parade aux cinq erreurs est la question du début de ce guide. La différence entre signature électronique et numérique ne se résume jamais à « laquelle est la meilleure ». Elle tient à ce que ce document doit prouver, et à qui. Répondez à cela et le choix se fait presque tout seul.