Comment vérifier une signature électronique dans Acrobat : « Au moins une signature a des problèmes »

Vous ouvrez un contrat signé et une barre jaune barre le haut de la page : « Au moins une signature a des problèmes. » On dirait une accusation. En général, ce n'en est pas une. Si vous cherchez comment vérifier une signature électronique dans ce cas précis, c'est ce message que vous avez sous les yeux.

Acrobat exécute deux contrôles distincts sur chaque signature, et le guide de validation des signatures d'Adobe (en anglais) précise que le statut dépend des deux. Le premier porte sur l'intégrité du document : les octets signés ont-ils changé depuis la pose de la signature ? Le second porte sur l'identité du signataire : le certificat de signature remonte-t-il à un certificat auquel votre Acrobat fait confiance, et était-il valide à la date que prend Acrobat pour référence ? Si l'un des deux contrôles n'est pas net, pour n'importe quelle signature du fichier, la barre apparaît.

Dans la pratique, c'est le contrôle d'identité qui échoue de loin le plus souvent. Votre lecteur ne sait pas qu'il doit faire confiance à l'émetteur du certificat : le fichier est sain, c'est la liste de confiance de votre poste qui a un trou. À vous de la combler, pas à l'expéditeur.

Plus rarement, et cela vaut la peine de le repérer, le document a bel et bien changé après la signature. Un acte d'engagement signé pour un marché public en est un cas typique. Le tableau ci-dessous range chaque message dans l'une des deux piles, et un validateur qui détaille chaque contrôle sur sa propre ligne vous dit dans laquelle vous êtes.

Ouvrez le panneau Signatures et la barre devient plus précise. Sous une signature, la ligne la plus fréquente est « La validité de la signature est INCONNUE », suivie de deux phrases qui comptent plus que le titre.

La première dit si le document a été modifié depuis l'application de la signature. La seconde dit si l'identité du signataire est connue. Quand la première indique que le document n'a pas été modifié depuis la signature et que la seconde parle d'une identité inconnue, vous avez compris l'essentiel : le contenu est exactement celui qui a été signé, mais Acrobat ne peut pas se porter garant de l'auteur.

Il y a trois raisons ordinaires :

• L'autorité de certification émettrice ne figure sur aucune liste qu'embarque votre Acrobat, ou votre copie de ces listes est périmée.
• Le certificat est auto-signé, et aucun lecteur ne fait confiance d'office à une identité auto-signée.
• Les données de révocation n'ont pas pu être récupérées, et le contrôle s'est arrêté avant d'avoir un oui.

Face à une validité de la signature inconnue sur un PDF venu d'un portail public ou d'un gros fournisseur, c'est presque toujours la première raison.

Il n'existe pas de liste mondiale unique des signataires de confiance. Acrobat forge son verdict à partir d'une petite pile de sources : le même PDF signé peut donc être valide sur un bureau et inconnu sur le suivant, sans que personne n'ait tort. C'est la première chose à comprendre pour savoir comment vérifier une signature électronique de façon fiable.

Vient d'abord l'Adobe Approved Trust List, le programme d'Adobe pour les autorités de certification et les fournisseurs d'horodatage dont Acrobat et Reader approuvent d'office les certificats. Quand nous avons compté la page des membres de l'AATL le 14 octobre 2026, elle listait 92 prestataires : des autorités commerciales comme DigiCert, GlobalSign et Sectigo, aux côtés d'organismes nationaux comme la CCA indienne et l'ITI brésilien et, côté français, Certinomis, CertEurope et Universign. Si l'émetteur de votre signature figure sur cette page et que l'avertissement persiste, le coupable est probablement votre copie locale de la liste.

Vient ensuite la liste de confiance de l'Union européenne. Selon l'article 22 du règlement eIDAS, chaque État membre publie la liste de ses prestataires de services de confiance qualifiés ; en France, c'est l'ANSSI qui l'établit, la tient à jour et la publie. La page d'Adobe sur l'EUTL en dénombre plus de 400, actifs et historiques. Acrobat n'interroge pas ces listes en direct. Il garde un instantané, limité aux prestataires de certificats de signature, de cachet et d'horodatage, rafraîchi environ une fois par mois ; un prestataire fraîchement listé peut donc rester inconnu pendant quelques semaines.

Enfin, votre propre machine : les certificats que vous avez ajoutés aux certificats approuvés et, sous Windows, éventuellement les racines du magasin de certificats de Windows, auxquelles Acrobat peut être configuré pour faire confiance lors de la validation des signatures.

Tout ce qui sort de ces trois sources déclenche l'avertissement. Une autorité interne d'entreprise le fait, comme une identité auto-signée créée dans un éditeur PDF ou une autorité nationale absente des deux listes. Franchement, c'est le point que la plupart des guides sautent, alors qu'il change ce qu'il faut faire. Avant de faire confiance à quoi que ce soit à la main, vérifiez si l'émetteur est déjà listé. S'il l'est, mettez à jour. Sinon, vous prenez une décision de confiance, et savoir ce que certifie un certificat qualifié vaut bien cinq minutes avant de la prendre.

C'est en Inde que « la validité de la signature est inconnue » (« signature validity is unknown » dans un Acrobat anglais) se cherche le plus, et les fichiers sont souvent officiels : accusé de réception fiscal, certificat d'immatriculation à la taxe GST, dépôt auprès du registre des sociétés (MCA), relevé de notes universitaire, contrat de prêt signé par Aadhaar eSign. Chacun porte un certificat émis par une autorité de certification agréée par le Controller of Certifying Authorities (CCA).

Les guides plus anciens se trompent ici. CCA India et eMudhra figurent toutes deux sur la page des membres de l'AATL d'Adobe : le premier remède à une validité de signature inconnue sur un PDF signé par Aadhaar ou par DSC n'est donc pas d'importer quoi que ce soit. C'est l'étape 4 : Mettre à jour pour l'AATL, puis rouvrir le fichier.

Si cela ne suffit pas, regardez à quelle racine aboutit la chaîne de l'étape 3. La CCA publie ses racines et leurs dates sur sa page des certificats racine : CCA India 2014 a expiré le 5 mars 2024, et CCA India 2022 court jusqu'au 2 février 2042. Une chaîne qui se termine sur une racine absente d'Acrobat est le cas où un import manuel se justifie. Téléchargez cette racine sur cca.gov.in même, comparez l'empreinte, puis faites-lui confiance comme à l'étape 5.

Une limite de notre côté : le validateur de Chaindoc s'ancre sur la liste de confiance de l'UE, si bien qu'un fichier émis par la CCA revient avec un verdict d'intégrité et une chaîne non résolue. Pour un verdict sur la chaîne indienne elle-même, Acrobat avec une AATL à jour est le meilleur outil.

Acrobat n'est pas le seul lecteur à vous avertir, et certains ne contrôlent rien : comment vérifier une signature électronique dépend donc aussi de l'outil. Selon le logiciel, le message devient « signature non vérifiée » ou « signature invalide » ; derrière, on retrouve souvent le même défaut de confiance.

Foxit PDF Reader fait sa propre validation. D'après son manuel, une signature peut s'afficher comme inconnue ou non vérifiable tant que vous n'ajoutez pas l'émetteur à ses certificats approuvés, et il peut aussi reprendre les racines du magasin de certificats du système si vous l'activez. Le manuel ne mentionne ni l'AATL ni les listes de l'UE : un PDF vert dans Acrobat peut donc être inconnu dans Foxit sur la même machine.

PDF Architect ouvre, en Mode Visualiser, une fenêtre qui indique si la signature est toujours valide quand on clique dessus, et renvoie pour les détails du certificat à ceux stockés dans Windows. Sa page d'aide précise qu'il faut pour cela être sur l'ordinateur qui a servi à ajouter la signature, et ne mentionne ni l'AATL ni les listes de confiance de l'UE : une signature invalide dans PDF Architect ne dit donc pas ce qu'Acrobat affichera.

Aperçu sur macOS est le cas inverse. Le guide d'Apple explique comment saisir une signature au trackpad, avec la caméra ou avec un iPhone, et ne dit rien du contrôle des certificats. Un fichier signé peut y paraître impeccable sans qu'Aperçu ait rien vérifié. Si vous ne savez pas quel type de signature vous avez sous les yeux, voici la différence entre une signature dessinée et une signature par certificat.

Sur téléphone, tout dépend de l'application. Si votre lecteur n'affiche ni panneau de signatures ni détails du certificat, il n'a rien vérifié, aussi soigné que soit l'aspect de la page.

Parfois le panneau annonce que le document a été modifié ou endommagé depuis sa signature, ou marque la signature comme invalide. C'est alors le contrôle d'intégrité qui échoue, et aucun réglage de confiance n'y touche. La version signée du panneau Signatures montre exactement ce qui a été signé ; comparez-la à ce que vous avez reçu et demandez l'original à l'expéditeur.

Une distinction aide. Un PDF certifié peut autoriser la saisie de formulaire ou les commentaires après la signature, et Acrobat les range parmi les modifications permises, pas parmi les échecs. Une signature invalide n'est pas la même chose qu'une signature « à problèmes » : elle appelle un coup de fil à l'expéditeur, pas un changement de réglage.

Si les destinataires vous signalent sans cesse la barre sur les fichiers que vous signez, le remède est de votre côté, et c'est surtout une question de certificat. Quand vos propres PDF affichent une signature invalide, voici les leviers.

• Renoncez à l'identité auto-signée pour les documents qui sortent de chez vous. Acrobat et Foxit en créent une en une minute, et aucun lecteur de destinataire ne lui fait confiance d'office.
• Prenez un certificat de signature PDF auprès d'un émetteur listé. Un certificat de signature de documents d'un membre de l'AATL, comme Certinomis, CertEurope ou Universign, s'ouvre comme approuvé dans Acrobat et Reader. Celui d'un prestataire qualifié d'une liste de confiance de l'UE est reconnu lui aussi via l'instantané EUTL d'Adobe, après son délai de mise à jour.
• Ajoutez un horodatage de confiance si votre outil en propose un. La norme PAdES de l'ETSI décrit le niveau B-T comme l'ajout d'un jeton prouvant que la signature existait à un instant donné, de sorte qu'un validateur peut montrer qu'elle précède l'expiration du certificat.
• Ouvrez un fichier signé sur un ordinateur qui n'est pas le vôtre avant d'en envoyer un lot.

Signer via un service change qui détient le certificat, pas la façon dont les lecteurs le jugent. Un PDF signé avec Chaindoc est un fichier PAdES comme un autre : tout ce qui précède sur l'AATL et les listes de l'UE s'applique. Pour la signature qualifiée, Chaindoc signe en PAdES-BES, qui ne comporte pas de jeton d'horodatage ; Acrobat indique donc l'heure de signature d'après l'horloge du système signataire, pas celle d'un serveur d'horodatage. Si vous envoyez des documents à signer à des destinataires qui les ouvrent dans Acrobat, mieux vaut le savoir avant la première question.

La coche verte répond à une question technique. La norme de validation de l'ETSI, l'EN 319 102-1, appelle le meilleur résultat TOTAL-PASSED et précise que cela ne signifie pas forcément que la signature convienne à un usage donné. Trois choses restent hors de sa portée.

Qui a signé

Une signature irréprochable peut appartenir à la mauvaise entreprise. Ouvrez le sujet (Subject) du certificat et comparez le nom de l'organisation avec la partie à laquelle vous avez réellement affaire. La fraude au changement de coordonnées bancaires vit d'un nom presque juste.

Si elle est qualifiée

Selon l'article 32 d'eIDAS, une signature qualifiée exige un certificat qualifié délivré par un prestataire qualifié, valide à la signature, créé sur un dispositif de création de signature qualifié, avec des données signées intactes. En droit français, c'est cette signature-là que le décret n° 2017-1416 présume fiable, dans les conditions de l'article 1367 du Code civil. Acrobat n'indique le statut qualifié que si la chaîne se résout dans son instantané de l'UE. Voici quand une signature qualifiée devient l'exigence légale.

Si le contenu est juste

On peut très bien signer un mauvais total de facture.

Alors, comment vérifier la validité d'une signature électronique correctement ? L'intégrité, une chaîne de confiance, la révocation à la date de signature, puis votre propre lecture du sujet. Cette dernière étape est celle que personne n'automatise.

Peut-être préférez-vous ne pas toucher aux réglages de confiance d'un portable professionnel, ou n'avez-vous pas Acrobat du tout. Un validateur dans le navigateur fait le travail sur les certificats sur son propre serveur, ce qui en fait aussi la voie pratique sur téléphone.

Le service de vérification de Chaindoc exécute les contrôles avec la bibliothèque EU DSS, avec la liste de confiance de l'UE et les grandes autorités commerciales comme ancres de confiance, et rend l'intégrité, la chaîne, la révocation, les horodatages et le profil PAdES comme résultats séparés. Vous confirmez votre adresse e-mail avec un code à usage unique avant le premier rapport. Si l'intégrité passe et que seule la chaîne échoue, l'avertissement porte sur la confiance, et vous pouvez décider calmement quoi faire dans Acrobat. Pour les marchés publics, la plate-forme PLACE propose sa page « Vérifier la signature » et l'AIFE, avec Chorus Pro, un outil gratuit de vérification de signature électronique.

Pas un PDF ? Le même service traite les fichiers XAdES, CAdES et ASiC. Et si la question dépasse une seule signature, commencez par vérifier qu'un fichier reçu est authentique.

Comment vérifier une signature électronique quand au moins une signature a des problèmes ? L'ordre ne change pas : trouvez quel contrôle a échoué, ne réparez la confiance que de votre côté et renvoyez les échecs d'intégrité à l'expéditeur.