Comment vérifier une signature électronique dans un PDF marqué non vérifiée

Un contrat signé arrive dans votre boîte. Vous l'ouvrez et, au lieu d'une coche verte rassurante, un bandeau jaune s'affiche en haut: "Au moins une signature présente des problèmes." Ou vous cliquez sur la signature et vous lisez "La validité de la signature est inconnue."

Ce que le bandeau ne dit pas: la plupart du temps, il s'agit de confiance, pas d'altération.

Une vérification de signature PDF répond à deux questions distinctes. Le fichier a-t-il changé après la signature? Et votre lecteur peut-il remonter du certificat de signature jusqu'à une racine qu'il reconnaît? La seconde échoue bien plus souvent que la première, et pour des raisons qui n'ont rien à voir avec le document. Adobe Acrobat Reader embarque sa propre liste d'autorités de certification approuvées, et cette liste n'est ni la EU Trusted List, ni celle de Windows, ni celle que maintient l'équipe PKI de votre banque.

Quand une signature revient non vérifiée, vous êtes donc normalement dans l'un de ces cas:

• Le certificat de signature remonte à une racine que votre lecteur ne transporte pas. La signature n'a rien d'anormal. On n'a simplement jamais dit à votre Acrobat de faire confiance à cet émetteur.
• Le fichier a changé après la signature. Un nouvel enregistrement, un champ de formulaire aplati, ou une passerelle de messagerie qui a "optimisé" la pièce jointe. Ce cas est réel, et c'est celui qu'il vaut la peine d'attraper.
• Le certificat avait expiré au moment où vous avez ouvert le fichier, et aucun horodatage de confiance ne prouve qu'il était encore valide à l'instant de la signature.
• Les données de révocation sont injoignables, la vérification se termine donc en indéterminé plutôt qu'en réussite ou en échec.

Quatre situations différentes, un avertissement identique. Voilà le vrai problème quand on vérifie une signature dans un PDF, et voilà pourquoi "regarde juste la coche" est un mauvais conseil.

Trois minutes de travail, et l'ordre compte plus que l'outil.

D'abord, y a-t-il une signature à vérifier?

Une image d'écriture manuscrite n'est pas une signature numérique. Un nom tapé dans une police cursive non plus, ni un JPEG collé dans un champ de formulaire. Ces éléments ne portent aucun certificat, il n'y a donc rien à vérifier, et aucun validateur au monde n'en produira un verdict.

Ouvrez le panneau Signatures dans Adobe Acrobat Reader. Sous Windows et macOS, c'est l'icône de stylo à plume sur le bord gauche de la fenêtre, ou Affichage, puis Afficher/Masquer, puis Volets du navigateur, puis Signatures. Panneau vide? Le document n'a jamais été signé numériquement, et ce que vous regardez est décoratif. Notre guide pour signer un PDF explique la différence.

Ensuite, lisez le détail par signature, pas le bandeau

Faites un clic droit sur la signature dans ce panneau et choisissez Afficher les propriétés de la signature. La documentation d'Adobe sur la validation des signatures numériques parcourt la boîte de dialogue. C'est là qu'Acrobat cesse d'être vague: vous obtenez le nom du signataire, l'autorité de certification émettrice, l'heure de signature et l'indication d'une modification du document après coup.

À faire tant que vous y êtes: cliquez sur Afficher le certificat du signataire et lisez le champ Objet. Pourquoi cela compte, c'est plus bas.

Enfin, obtenez un verdict qui nomme la vérification en échec

Le résumé d'Acrobat est un oui ou non unique sur la satisfaction d'Acrobat. Il ne dit pas laquelle des quatre vérifications sous-jacentes a échoué, et c'est précisément la réponse dont vous avez besoin pour agir.

Passez le même fichier dans un validateur qui rapporte les vérifications séparément. La validation de signature PDF de Chaindoc renvoie l'intégrité, la chaîne de certificats, le statut de révocation, les horodatages et le profil PAdES comme cinq résultats distincts, chacun avec sa propre réussite ou son propre échec. En cas d'échec, vous voyez si le document a été altéré ou si votre lecteur ne fait simplement pas confiance à l'émetteur. Deux problèmes très différents, qui appellent des réponses très différentes.

Beaucoup de gens n'ont pas Acrobat, et le Reader gratuit représente 500 Mo d'installation pour un travail qui dure le temps d'un envoi. Un outil dans le navigateur va plus vite et contourne complètement le problème du magasin de certificats, parce qu'un validateur côté serveur peut pointer vers une liste de confiance bien plus large que celle de votre poste.

Ce qui distingue un bon outil en ligne d'un mauvais, c'est le rapport. Exigez quatre choses:

• L'intégrité sur sa propre ligne. L'empreinte a été recalculée sur les octets signés et elle correspond, ou pas.
• La chaîne de certificats, avec l'émetteur nommé. "Non approuvé" sans nommer la racine n'est pas une réponse.
• La révocation vérifiée à l'heure de la signature, via OCSP ou CRL, et non par rapport à la date du jour.
• Le statut de l'horodatage, puisque c'est lui qui fixe le moment de la signature quand un certificat expire ensuite.

Chaindoc exécute ces vérifications avec la bibliothèque EU DSS, le code de validation open source de la Commission européenne, avec la EU Trusted List comme ancre de confiance principale et les grandes autorités de certification commerciales en complément. Les quatre profils PAdES baseline sont pris en charge, les fichiers vont jusqu'à 50 Mo, et le document n'est pas conservé après la vérification. Vous confirmez d'abord votre adresse e-mail avec un code à usage unique, autant le savoir avant de commencer.

Pas un PDF? PAdES n'est que la déclinaison PDF de la même idée. Un XML signé porte du XAdES, une enveloppe .p7m ou .p7s porte du CAdES, et les conteneurs .asice relèvent d'ASiC. Si votre ordinateur refuse carrément d'ouvrir le fichier, commencez par les conteneurs P7M et ASiC-E.

Réponse honnête d'abord: les téléphones s'en sortent mal, et ce n'est pas votre faute.

Les lecteurs PDF mobiles ont été conçus pour afficher des documents, pas pour valider des chemins de certification. Les visionneuses installées d'origine sur les deux systèmes sont le maillon faible ici.

Sur iPhone et iPad

Ouvrir un PDF signé dans Fichiers, Mail ou Livres vous montre l'apparence de la signature et rien sur sa validité. Il n'y a ni panneau de signatures ni détail de certificat, parce qu'iOS n'embarque pas de magasin de confiance PDF pour cet usage. Un document signé peut paraître parfait dans l'aperçu d'Apple alors que sa cryptographie est cassée.

Sur Android

Adobe Acrobat Reader pour Android fait mieux. Touchez la signature et vous obtenez un panneau avec le nom du signataire et un résumé de validité. Ce que vous n'obtiendrez pas de façon fiable: la chaîne de certificats, le statut de révocation ou un verdict d'horodatage, et ce sont exactement les éléments qui décident du résultat.

Ce qui fonctionne vraiment sur un téléphone

Passez par le navigateur. Un validateur côté serveur fait le travail sur les certificats sur sa propre infrastructure et renvoie un rapport complet, le téléphone n'a donc qu'à afficher une page. La vérification PDF de Chaindoc fonctionne ainsi et accepte un fichier depuis le stockage du téléphone ou depuis un espace cloud.

Mon avis: si une signature compte assez pour être vérifiée, vérifiez-la sur une machine où vous pouvez lire correctement le sujet du certificat. Vérifier une signature dans un PDF sur mobile suffit pour un oui ou non rapide sur un document que vous attendiez déjà. C'est une preuve mince pour un paiement que vous êtes sur le point de lancer.

La vérification d'une signature numérique dans un PDF revient toujours aux mêmes quatre tests, quel que soit l'outil qui les exécute. Savoir ce que chacun prouve vous dit à quel point un échec doit vous inquiéter.

Intégrité. Le validateur recalcule l'empreinte sur les octets signés et la compare à celle scellée dans la signature. Un seul octet modifié fait échouer ce test. Quand l'intégrité échoue, le document n'est vraiment plus celui qui a été signé, et aucune configuration de confiance n'y changera rien.

Chaîne de certificats. Le certificat de signature désigne son émetteur, qui désigne le sien, jusqu'à une racine. Le validateur doit atteindre une racine à laquelle il fait confiance. Un échec ici vous apprend quelque chose sur votre configuration de confiance, pas sur le fichier.

Révocation. Les certificats sont révoqués quand une clé privée fuite ou qu'un salarié part. La vérification interroge OCSP ou une CRL, et la question est de savoir si le certificat était révoqué à l'instant de la signature. Un certificat révoqué la semaine dernière n'invalide pas un contrat signé il y a deux ans. Les validateurs qui comparent au statut du jour prennent le problème à l'envers.

Horodatage. Un horodatage de confiance délivré par une autorité d'horodatage fixe le moment de création de la signature. Sans lui, vous vous fiez à l'horloge du signataire, ce qui ne vaut à peu près rien en cas de litige. Les horodatages sont aussi ce qui garde une signature vérifiable après l'expiration du certificat, et c'est tout l'objet du profil PAdES-BASELINE-T et au-delà, défini dans ETSI EN 319 142.

Un schéma à retenir: un échec d'intégrité est un problème de document. Un échec des trois autres relève d'habitude de la configuration ou de l'infrastructure. Déterminez de quel type vous avez affaire avant d'écrire à l'expéditeur.

Cette partie surprend, autant le dire franchement. Il n'existe pas de liste mondiale unique des autorités de signature approuvées. Il en existe plusieurs, elles ne sont pas d'accord entre elles, et votre verdict dépend de celle que votre logiciel a consultée.

Adobe maintient l'Approved Trust List, un ensemble d'autorités de certification auxquelles Acrobat et Reader font confiance d'emblée. L'UE maintient la EU Trusted List, base juridique des signatures qualifiées au titre d'eIDAS. Microsoft gère son propre programme de racines pour Windows. Une banque ou une administration avec une PKI interne fait confiance à sa propre racine et à personne d'autre.

Le même PDF signé peut donc être valide ici et inconnu ailleurs, sans contradiction. Les deux réponses sont correctes pour la question qu'on leur a posée.

Deux conséquences pratiques.

Si la signature d'un fournisseur s'affiche comme inconnue dans Acrobat, regardez qui a émis le certificat avant d'accuser qui que ce soit. Une autorité de certification nationale hors AATL, une CA interne d'entreprise ou un prestataire qualifié européen qu'Adobe n'a pas repris produiront tous ce message sur une signature parfaitement saine.

Et s'il vous faut spécifiquement la réponse eIDAS, adressez-vous à un validateur qui prend la EU Trusted List comme ancre. Le statut qualifié n'est pas une propriété du calcul, c'est une recherche dans une liste. Prestataires de services de confiance qualifiés et EU Trusted List explique comment se fait cette recherche et pourquoi une signature valide et une signature qualifiée sont deux verdicts distincts.

Une coche verte est plus étroite qu'elle n'en a l'air. Elle dit que ce fichier vient du détenteur de ce certificat et n'a pas changé depuis. Tout ce qui suit est hors de sa portée.

Qui a signé

Une signature peut être irréprochable sur le plan cryptographique et appartenir à la mauvaise société. Ouvrez le sujet du certificat, lisez le nom de l'organisation et l'éventuel identifiant fiscal ou d'immatriculation qui s'y trouve, puis comparez avec la contrepartie avec laquelle vous croyez traiter. La fraude au détournement de paiement fonctionne parce qu'elle paraît plausible, et une signature valide provenant d'une entité qui n'est pas tout à fait votre fournisseur paraît très plausible. C'est la vérification que presque personne ne fait, et c'est celle qui attrape les vraies fraudes.

Si la signature est qualifiée

Valide et qualifiée sont deux réponses distinctes. Qualifiée signifie que le service émetteur figure sur une liste de confiance nationale avec le statut qualifié, ce qui confère dans toute l'UE le poids juridique d'une signature manuscrite. La plupart des signatures valides ne sont pas qualifiées, et pour la plupart des documents cela n'a aucune importance. Notre guide de la signature électronique qualifiée montre quand la distinction mord vraiment.

Si le document est contraignant

La validité d'une signature est un verdict technique sur un fichier. La force exécutoire dépend du consentement, de la capacité, du droit applicable et de ce que dit le contrat lui-même. Une signature valide est une preuve solide, pas une conclusion juridique.

Si le contenu est correct

On peut signer un mauvais montant à la perfection. Si le montant de la facture paraît étrange, la cryptographie n'a pas d'avis là-dessus. Valider la signature d'une facture détaille où cela se joue en comptabilité fournisseurs.

Cinq schémas, tous évitables.

Se fier au bandeau et s'arrêter là. Le résumé vous dit l'humeur d'Acrobat, pas la vérification qui a échoué. Ouvrez le panneau.

Envoyer une capture d'écran comme preuve. L'image d'une coche verte ne prouve rien à un auditeur, à un tribunal ou à une contrepartie. Ce qui prouve quelque chose, c'est le fichier signé original accompagné d'un rapport de validation produit alors que les répondeurs de révocation répondaient encore. Conservez les deux.

Réenregistrer le fichier pendant l'enquête. C'est dit plus haut, et cela arrive sans cesse. La signature allait bien jusqu'à ce que quelqu'un ouvre le fichier dans un outil qui l'a obligeamment réécrit.

Contrôler la validité aujourd'hui au lieu de l'heure de signature. Les certificats expirent. C'est leur fin normale, pas un défaut. Un contrat de 2023 signé avec un certificat expiré en 2024 est parfaitement sain, à condition qu'un horodatage prouve la date de signature.

Ajouter des racines approuvées jusqu'à ce que l'avertissement disparaisse. Tentant, et cela transforme une alarme utile en silence.

Le résumé à garder: quand un PDF affiche une signature non vérifiée, cherchez d'abord laquelle des quatre vérifications a échoué. L'intégrité est un problème de document et demande l'expéditeur. Les trois autres relèvent en général de la plomberie de confiance, et celle-là vous appartient. Le hub de vérification de Chaindoc détecte le format pour vous et rapporte chaque vérification sur sa propre ligne, pour PAdES, XAdES, CAdES et ASiC.