Vérifier l'authenticité d'un document : la méthode pour les entreprises

Vérifier l'authenticité d'un document, c'est répondre à trois questions. Émane-t-il vraiment de la partie qui y figure ? A-t-il changé depuis ? Et celui qui l'envoie a-t-il le droit de le faire ? Une facture de fournisseur, un contrat revenu signé, un certificat ISO glissé dans un dossier d'appel d'offres, le diplôme d'un candidat, la pièce d'identité d'un nouveau dirigeant : des papiers différents, les mêmes trois questions.

Les pages qui se classent sur cette recherche parlent surtout de pièces d'identité et de logiciels de détection. C'est une ligne du tableau plus bas. En France, une entreprise a une raison de plus de contrôler ce qu'elle reçoit : quand elle confie à un sous-traitant un contrat d'au moins 5 000 € HT, le Code du travail (art. L. 8222-1 et D. 8222-5) lui demande de se faire remettre des documents, dont l'attestation de vigilance de l'Urssaf, à la conclusion puis tous les six mois. Ce n'est pas du zèle, c'est la loi.

Un bémol d'entrée : un contrôle produit des preuves, pas une certitude. Un rapport de validation peut montrer qu'un PDF n'a pas bougé depuis la signature. Il ne dit pas que la facture qu'il contient est honnête. On empile les contrôles jusqu'à ce que le risque restant soit un risque qu'on accepte. Pour un PDF signé, le premier prend deux minutes : vérifier une signature numérique en ligne et garder le rapport.

L'apostille est un autre contrôle

Pour un acte public destiné à l'étranger, on parle d'apostille. Entre les États parties à la convention de La Haye, elle remplace la chaîne de légalisations : elle atteste qui a signé, en quelle qualité et sous quel sceau. Elle ne dit rien de l'exactitude du contenu.

Les types de vérification diffèrent moins par la technique que par l'endroit où se trouve la vérité. Pour un PDF signé, la preuve est dans le fichier. Pour une facture, elle est dans votre propre fichier fournisseurs. Pour vérifier un diplôme ou un certificat, il faut aller chez l'émetteur : seul un contrôle auprès de lui compte.

La pièce d'identité est le cas à part. Le document est un passeport ou une carte d'identité, et la question est de savoir si la personne devant l'écran lui correspond. Il faut un outil spécialisé, qui lit la zone de lecture automatique (MRZ) et la puce et contrôle la vivacité. Beaucoup d'entreprises ne l'activent que pour la personne qui signe un contrat de forte valeur.

Un validateur répond à une seule question : cette signature tient-elle, et selon quelles règles ? Pour les signatures qualifiées dans l'UE, l'article 32 du règlement eIDAS fixe la liste. La validation doit confirmer que le certificat était qualifié, délivré par un prestataire de services de confiance qualifié et valide au moment de la signature ; qu'un dispositif de création de signature qualifié a produit la signature ; que les données signées n'ont pas été compromises ; et que les données d'identification du signataire vous parviennent correctement, avec mention de tout pseudonyme.

Les validateurs européens, bibliothèque DSS de la Commission européenne comprise, suivent la norme ETSI EN 319 102-1. Une même procédure couvre PAdES (signatures dans les PDF), XAdES (XML), CAdES (fichiers .p7m et .p7s) et les conteneurs ASiC, et elle aboutit à l'un de trois verdicts. Les outils les formulent chacun à leur façon ; en dessous, c'est toujours l'un d'eux.

La Commission publie aussi une application de démonstration de DSS, mais elle précise qu'elle sert aux tests. Pour un usage professionnel, passez par un service de validation et gardez son rapport.

Valide ne veut pas dire qualifié

Un rapport peut afficher TOTAL-PASSED pour une signature avancée, pas qualifiée. Le caractère qualifié est une vérification dans une liste : l'émetteur figure-t-il dans la liste de confiance de l'UE comme prestataire qualifié ? La note de l'ETSI elle-même avertit qu'un résultat positif ne rend pas forcément la signature utile pour un usage donné. Lisez donc deux lignes : a-t-elle été validée, et à quel niveau ? Si votre contrat exige une signature qualifiée, vous pouvez contrôler des fichiers XAdES, CAdES et ASiC avec la liste de confiance de l'UE, pas seulement des PDF.

Une habitude rapporte : enregistrez le rapport le jour où vous le produisez. Les données de révocation d'une signature qui ne les embarque pas peuvent disparaître, et le rapport d'aujourd'hui vaut mieux qu'une nouvelle exécution dans deux ans.

Une empreinte est une courte signature calculée à partir de chaque octet d'un fichier. La norme Secure Hash Standard du NIST en donne l'usage sans détour : les condensés servent à détecter si un message a changé depuis leur calcul. Modifiez une virgule, et la valeur SHA-256 devient entièrement différente.

La comparaison d'empreintes est donc le moyen le moins cher de vérifier l'authenticité d'un document entre deux copies. Demandez à l'expéditeur de vous lire, au téléphone, l'empreinte du fichier qu'il a envoyé, et comparez-la à celle de l'étape deux. Même valeur, même fichier. Les tribunaux américains suivent la même logique : les notes de 2017 du comité sur les Federal Rules of Evidence disent que des empreintes identiques montrent de façon fiable qu'une copie et un original sont des doublons exacts.

La limite est tout aussi nette. Une empreinte identique prouve que la copie est identique. Elle ne prouve pas que l'original était honnête.

Les deux marques derrière la plupart des PDF signés se contrôlent sans compte chez l'une ni chez l'autre.

DocuSign. Assurez-vous d'abord que l'enveloppe vient bien de DocuSign. Les conseils de sécurité de DocuSign invitent à vérifier que le courriel provient d'un domaine officiel comme @docusign.net, et à ouvrir le document sur le site de DocuSign avec le code de sécurité du courriel plutôt que par un lien. Regardez ensuite ce qu'on vous a envoyé :

• Le PDF finalisé, qui s'ouvre dans n'importe quel validateur comme tout PDF signé.
• Le Certificate of Completion : le dossier de DocuSign sur l'enveloppe, avec l'ID d'enveloppe, chaque signataire et les événements horodatés de la signature. C'est un journal d'audit, pas la signature numérique du PDF ; traitez les deux comme des preuves distinctes.
• L'ID d'enveloppe imprimé sur les pages, une référence à citer quand vous demandez le certificat à l'expéditeur.

Adobe Acrobat. Ouvrez le panneau Signatures, choisissez la signature et validez-la. Acrobat décide de la confiance d'après ses propres réglages, qui ne correspondent pas à ceux d'un validateur européen : une signature peut réussir dans Acrobat et ressortir non qualifiée ailleurs, ou l'inverse. Devant un bandeau jaune, voici ce que signifient les alertes jaunes d'Acrobat.

Soyons francs : l'échec le plus courant ici n'est pas une fraude. C'est un document que quelqu'un a retouché après la signature.

Le KYB (Know Your Business) est le KYC au niveau de l'entreprise. Pour les assujettis à la lutte contre le blanchiment, c'est une obligation légale. Un règlement unique s'appliquera à eux dans l'UE à partir du 10 juillet 2027, le règlement (UE) 2024/1624. Pour tous les autres, le KYB relève de la prudence ordinaire, et il coûte moins cher qu'il n'y paraît :

1. 1.
   Retrouvez vous-même l'entreprise dans le registre officiel. L'Annuaire des entreprises, service public alimenté notamment par le registre national des entreprises que tient l'INPI, suffit pour un contrôle rapide ; pour une preuve officielle, commandez l'extrait Kbis chez Infogreffe. Les registres du commerce de tous les pays de l'UE sont interconnectés et consultables depuis juin 2017 via le portail e-Justice.
2. 2.
   Rapprochez la dénomination, le SIREN et l'adresse du document de ceux du registre. Un nom commercial sur la facture et une autre personne morale dans le contrat méritent une question.
3. 3.
   Vérifiez qui peut engager la société. Les dirigeants figurent au Kbis ; un « head of partnerships » en général non.
4. 4.
   S'il s'agit d'un sous-traitant, exigez l'attestation de vigilance de l'Urssaf et contrôlez son code de sécurité sur le site de l'Urssaf. Le Code du travail le demande dès 5 000 € HT, à la signature puis tous les six mois, et sans ce contrôle le donneur d'ordre peut être tenu solidairement des dettes sociales du sous-traitant en cas de travail dissimulé.
5. 5.
   Si l'entreprise a un identifiant d'entité juridique (LEI), cherchez-le comme second enregistrement, tenu par un autre.

Pour une contrepartie étrangère, les règles changent. Au Royaume-Uni, Companies House impose depuis le 18 novembre 2025 la vérification d'identité des dirigeants et des personnes exerçant un contrôle important. Aux États-Unis, les banques doivent identifier selon 31 CFR 1010.230 les bénéficiaires effectifs à partir de 25 % et une personne de contrôle ; les sociétés créées aux États-Unis sont dispensées depuis mars 2025 de déclarer leurs bénéficiaires effectifs à FinCEN, donc inutile de chercher une déclaration fédérale.

Reste la personne. Pour une affaire importante, ajoutez un contrôle KYC du signataire : document d'identité, contrôle de vivacité, filtrage sanctions et PPE. Comment contrôler l'identité de la personne qui signe figure sur la page du service. Notre guide sur le contrôle d'un client avant de signer dit qui y est tenu par la loi et qui devrait simplement le faire.

Le faux papier attire l'attention, mais les plus grosses pertes documentées viennent de vrais documents, ou de vraies conversations, dont un détail a été modifié. Le rapport 2024 sur la criminalité sur Internet du FBI américain recense 21 442 plaintes pour compromission de messagerie professionnelle et 2,77 milliards de dollars de pertes, sur 16,6 milliards déclarés cette année-là. À l'intérieur des entreprises, la fraude dure : le rapport 2026 de l'ACFE, fondé sur 2 402 cas dans le monde, donne une perte médiane de 104 000 dollars et, typiquement, 12 mois avant la détection.

Les schémas à enseigner à votre équipe :

• RIB modifié. Un vrai fil avec un fournisseur, une facture vraisemblable, un nouveau compte. C'est la fraude au faux fournisseur ; avec un faux courriel de dirigeant, on parle de fraude au président. C'est le schéma le plus coûteux et le plus facile à arrêter, par un appel.
• Un PDF modifié qui affiche encore une signature. Un PDF peut porter des révisions ajoutées après la signature, de sorte qu'une signature reste valide pour une version antérieure alors que la page que vous lisez est postérieure. Les validateurs indiquent quelle révision chaque signature couvre. Lisez cette ligne.
• Une image de signature collée : elle ressemble à une signature et ne contient aucune cryptographie.
• Un domaine ressemblant : une lettre changée dans l'adresse de l'expéditeur, souvent dans un fil commencé de façon légitime.
• Un vrai certificat qui n'est pas le leur, retouché pour afficher un autre nom d'entreprise ou un autre périmètre. Le registre de l'émetteur le démasque.
• Un faux Kbis ou un faux justificatif : demandez un extrait récent à la source, ou lisez le 2D-Doc, le code-barres signé que portent beaucoup de justificatifs français et dont la lecture révèle l'émetteur et toute modification des données, plutôt que de vous fier au PDF reçu.
• Les pièces d'identité et fiches de paie générées. Les repérer relève d'outils spécialisés, et nous avons traité à part ce que cherchent les modèles d'IA dans une fausse pièce d'identité.

Le faux est aussi un délit : selon l'article 441-1 du Code pénal, le faux et l'usage de faux sont punis de trois ans d'emprisonnement et de 45 000 € d'amende. Cela vous aide après coup, pas avant.

Aucun de ces schémas ne résiste à une routine qui contrôle le canal et une source indépendante. Ils résistent aux gens pressés.

Un rapport de validation est une preuve sur une signature. Son poids dépend de l'endroit où vous l'utiliserez et de ce qui est arrivé au fichier avant que vous le contrôliez.

Dans l'UE, l'article 25, paragraphe 1, du règlement eIDAS dit qu'on ne peut refuser à une signature électronique son effet juridique ni sa recevabilité comme preuve en justice au seul motif qu'elle est électronique ou qu'elle ne satisfait pas aux exigences de la signature qualifiée. Cela ouvre la porte. L'article 33 ajoute un palier : seul un prestataire de services de confiance qualifié peut offrir un service de validation qualifié des signatures qualifiées, valider selon l'article 32 et rendre le résultat sous une forme automatisée portant sa propre signature ou son propre cachet avancé. Un tel rapport est plus difficile à contester que la capture d'écran d'une coche verte.

En droit français, l'écrit électronique a la même force probante que l'écrit sur support papier, à condition que la personne dont il émane soit dûment identifiée et qu'il soit établi et conservé dans des conditions qui en garantissent l'intégrité (Code civil, art. 1366). La fiabilité d'un procédé de signature électronique est présumée, jusqu'à preuve contraire, quand il met en œuvre une signature qualifiée (art. 1367 et décret n° 2017-1416). Sans signature qualifiée, il vous revient de démontrer cette fiabilité ; à défaut de texte ou de convention, le juge règle les conflits de preuve en déterminant par tous moyens le titre le plus vraisemblable (art. 1368). C'est là que servent l'original, l'empreinte, le rapport et le journal de réception.

Aux États-Unis, la règle 901(a) des Federal Rules of Evidence exige de quoi appuyer la conclusion qu'un élément est ce que son auteur prétend. Depuis décembre 2017, les alinéas 902(13) et 902(14) de la règle 902 permettent à une preuve électronique de s'authentifier par l'attestation d'une personne qualifiée ; les notes citent l'empreinte comme méthode habituelle.

Deux réserves, et elles comptent. Authentique ne veut pas dire vrai : un rapport prouve le fichier et la signature, pas les faits qui y sont écrits, et la partie adverse peut encore contester le contenu. Et rien de tout cela n'est un conseil juridique pour votre litige ; c'est le cadre dont part un avocat. Autant le dire : si l'original a été retouché avant que quiconque en calcule l'empreinte, aucune règle ne le répare, ce qui explique que la vérification commence à l'arrivée du fichier.

Chaindoc intervient des deux côtés du processus de vérification, alors soyons précis sur chacun.

Pour les fichiers que vous recevez, le service de vérification de Chaindoc exécute les contrôles de la section sur le rapport, sur des signatures PDF, XML, CAdES et ASiC. Vous confirmez votre e-mail avec un code à usage unique avant le premier contrôle. La validation s'appuie sur la bibliothèque DSS de la Commission européenne, la confiance repose sur la liste de confiance de l'UE et les grandes autorités de certification commerciales, et l'intégrité et la confiance reviennent comme des résultats séparés, de sorte qu'un émetteur non reconnu ne passe pas pour un document falsifié. Pour une validation qualifiée au sens de l'article 33, il faut un prestataire de services de confiance qualifié qui en propose une.

Quand vous envoyez un document par Chaindoc, le serveur calcule l'empreinte du fichier au téléversement. Sa publication pour signature inscrit l'empreinte de cette version dans une blockchain publique, et la preuve de chaque signataire y est enregistrée quand il termine. Les contrôles d'identité des signataires sont facultatifs et réservés aux offres payantes : vous les activez pour les documents qui le justifient.

Ce que Chaindoc ne fait pas, c'est l'appel de l'étape trois ni la recherche au registre de l'étape cinq. Cela reste chez vous. Si vous comparez des services de vérification, c'est un test honnête pour chacun : quelles étapes l'outil couvre-t-il, et lesquelles laisse-t-il discrètement à votre équipe ?

Imprimez-la, épinglez-la dans le canal de la finance, adaptez-la. Une routine de vérification ne fonctionne que si elle tourne aussi pour la facture banale du mardi, pas seulement pour le gros contrat.

• Original enregistré intact, empreinte notée
• Expéditeur, domaine et demande normaux pour cette contrepartie, ou confirmés par un contact connu
• Signature validée, rapport conservé, niveau comparé à ce dont l'affaire a besoin
• Contenu confronté à une source indépendante : registre de l'émetteur, registre officiel, fichier fournisseurs
• Entreprise retrouvée dans son registre officiel, et signataire habilité à engager la société
• Contrôle d'identité du signataire quand la valeur de l'affaire le justifie
• Tout classé ensemble, avec la note de qui a confirmé quoi et quand

Si une étape n'est pas faisable, écrivez pourquoi. Une lacune consignée est une décision. Une lacune que personne n'a remarquée est le début des dossiers coûteux.