Chaindoc
Validation de signature eIDAS

Comment vérifier une signature électronique selon eIDAS

Téléversez un fichier signé et obtenez un verdict en quelques secondes : intégrité, chaîne de certificats, état de révocation, horodatages, et la question qui compte vraiment, à savoir si la signature est réellement qualifiée au sens du règlement (UE) 910/2014. PAdES, XAdES, CAdES et ASiC passent tous par le même formulaire, et c'est gratuit.

Ce qu'il advient de votre fichier

Deux points qu'on mélange souvent. Premièrement : le fichier que vous téléversez n'est jamais conservé. Deuxièmement : le rapport de vérification, lui, est conservé de façon privée pendant 7 jours, puis supprimé. Ensuite il ne reste qu'une trace minimale dans votre compte (résultat, nombre de signatures, date).

VÉRIFIER UNE SIGNATURE

Vérifier une signature électronique

Téléversez n'importe quel fichier signé, PDF, XML, .p7m, .p7s ou conteneur ASiC, pour valider ses signatures selon les standards de vérification EU DSS.

  • Validation PAdES, XAdES, CAdES et ASiC
  • Vérification de la chaîne de certificats et de la révocation
  • Rapport détaillé en quelques secondes
  • Votre fichier n'est jamais conservé

Nous vous enverrons un code de vérification pour confirmer votre identité.

Quel format avez-vous ?

Quel est le format de votre signature ?

Quatre formats couvrent presque tout ce que vous croiserez dans l'UE, et le formulaire ci-dessus les accepte tous. Si vous ne savez pas lequel vous avez entre les mains, téléversez le fichier et laissez la détection trancher. Quand il vous faut le détail propre à un format, ces pages vont plus loin.

Fichiers PDF : PAdES

Une signature intégrée au PDF lui-même, profilée par la norme ETSI EN 319 142. C'est ce que produisent Adobe Acrobat, DocuSign et la plupart des portails publics européens. Rien ne circule à part, le fichier se valide donc tout seul. Le détail du profil se trouve sur vérification de signature PDF.

Fichiers XML : XAdES

Les signatures XML régies par ETSI EN 319 132, qui portent la facturation électronique européenne (FatturaPA, Facturae) et la plupart des télédéclarations du secteur public. Les extensions sont .xml et .xsig. Attention à la variante détachée, où la signature et les données signées vivent dans deux fichiers distincts. Voir vérification XAdES.

Fichiers .p7m et .p7s : CAdES

Des signatures CMS binaires issues d'ETSI EN 319 122. La firma digitale italienne utilise le .p7m, qui enveloppe le document à l'intérieur de la signature : si votre système refuse d'ouvrir le fichier, il n'est pas corrompu pour autant. Un .p7s est le cousin détaché et réclame le fichier original à côté. Plus de détail sur vérification CAdES.

Conteneurs .asice et .asics : ASiC

Un paquet ZIP décrit par ETSI EN 319 162, qui transporte documents et signatures ensemble. ASiC-S contient un seul objet de données, ASiC-E en contient plusieurs plus un manifeste. Les extensions .sce et .scs désignent ces deux mêmes cas. Le .bdoc estonien est un conteneur ASiC-E sous un nom plus ancien : renommez-le en .asice ou .zip si le téléversement le refuse. Voir vérification ASiC.

Niveaux baseline

Que signifient vraiment B, T, LT et LTA ?

Tous les formats AdES utilisent les mêmes quatre niveaux baseline. Vous les verrez écrits XAdES B-B, B-T, B-LT et B-LTA, ou PAdES-BASELINE-B jusqu'à PAdES-BASELINE-LTA, ou encore dans leur équivalent CAdES. Même échelle, emballage différent. Derrière tout cela, la procédure de validation reste ETSI EN 319 102-1, et le niveau dont vous avez besoin dépend de la durée pendant laquelle la signature doit rester prouvable, pas de l'importance que vous accordez au document.

B : la signature elle-même

Le certificat du signataire, les attributs signés et le lien cryptographique avec le document. Cela suffit à constituer une signature électronique avancée au sens d'eIDAS. Ce que le niveau B ne dit pas, c'est quand la signature a eu lieu. Et cette question revient plus souvent que les équipes ne l'imaginent.

T : un horodatage de confiance

Ajoute un jeton d'horodatage émis par une autorité de confiance, qui prouve que la signature existait avant un instant donné. Si une date de dépôt ou une date de contrat est un jour contestée, c'est ce niveau qui tranche. Sans le T, vous faites confiance à l'horloge de l'ordinateur de quelqu'un d'autre.

LT : données de validation long terme

Regroupe la chaîne de certificats et les réponses de révocation (CRL ou OCSP) dans le fichier lui-même. La signature se valide alors seule des années plus tard, même après que l'autorité émettrice a disparu ou cessé de publier ses données de révocation. C'est le niveau que la plupart des archives devraient réclamer.

LTA : horodatages d'archivage

Enveloppe l'ensemble dans un horodatage d'archivage renouvelé au fil du temps, pour que la signature reste vérifiable pendant des décennies à mesure que les algorithmes de hachage vieillissent. Franchement disproportionné pour un accord de confidentialité. Parfaitement justifié pour un prêt immobilier, un dossier médical ou tout ce qui relève d'une durée légale de conservation.

Confiance et qualification

Qu'est-ce qui rend une signature qualifiée ?

Valide et qualifiée sont deux verdicts différents, et les confondre reste l'erreur la plus fréquente en revue de conformité. Une signature peut être cryptographiquement parfaite sans être une QES pour autant. Voici ce qui les sépare, et qui en décide.

Qualifiée est un statut juridique, pas une note de qualité

Selon eIDAS, une signature électronique qualifiée exige un certificat qualifié et un dispositif qualifié de création de signature. Seule une QES bénéficie automatiquement de l'équivalence juridique avec la signature manuscrite dans tous les États membres. Une signature avancée reste recevable comme preuve, elle ne porte simplement pas cette équivalence automatique.

La liste de confiance de l'UE tranche

Savoir si un certificat est qualifié n'est pas une appréciation. Les États membres publient des listes de confiance nationales conformes à ETSI TS 119 612, agrégées dans la liste de confiance de l'UE (EUTL). Chaindoc confronte les certificats de signature à cette liste : le verdict de qualification est une consultation, pas un avis.

Les prestataires de services de confiance qualifiés

Un prestataire de services de confiance qualifié (QTSP) est un émetteur de certificats qu'un organisme de contrôle national a audité puis admis sur la liste de confiance. Les certificats issus d'un QTSP portent le statut qualifié. Une autorité de certification commerciale tout à fait sérieuse mais absente de la liste produira des signatures valides qui ne sont pas qualifiées, ce qui surprend plus de monde que de raison.

Les cachets électroniques appartiennent aux organisations

Un cachet électronique prouve l'origine et l'intégrité pour une personne morale, là où une signature exprime l'intention d'une personne physique. Factures, extraits de registre et dépôts automatisés portent en général un cachet, pas une signature. Les cachets qualifiés gravissent la même échelle de B à LTA et se valident ici de la même manière.

Après la vérification

Le rapport est arrivé. Et maintenant ?

Un verdict ne sert à rien si vous ne savez pas quoi en faire. Voici les quatre résultats que vous rencontrerez réellement, et la façon dont chacun se traite en pratique.

Valide et qualifiée

Vous avez terminé. Le rapport consigne le signataire, le certificat, l'horodatage et l'ancre de confiance tels qu'ils se présentaient au moment du contrôle, et il reste 7 jours dans votre compte. Si la signature n'est qu'au niveau B ou T, enregistrez votre propre copie avant l'échéance : les données de révocation sur lesquelles elle s'appuie ne resteront pas accessibles éternellement.

Valide mais non qualifiée

Fréquent, et généralement sans conséquence. La signature tient cryptographiquement ; c'est l'émetteur qui n'est pas sur la liste de confiance. Savoir si c'est acceptable relève de votre politique interne, pas de la technique. Le guide de la signature électronique qualifiée détaille où une signature avancée suffit et où une QES s'impose.

Invalide : échec d'intégrité

Le document a changé après la signature, ne serait-ce que d'un octet. Un aplatissement, un réenregistrement ou un passage OCR suffisent, et aucun de ces gestes n'est malveillant. Revenez vers l'expéditeur et demandez-lui le fichier signé d'origine plutôt qu'une copie passée par une GED.

Invalide : échec de confiance ou de révocation

La cryptographie est correcte, mais la chaîne n'atteint aucune racine de confiance ou un certificat a été révoqué. Ni l'un ni l'autre n'est fatal d'office. La FAQ ci-dessous explique comment lire chaque cas, et la conformité eIDAS, RGPD et NIST précise ce que vous devriez documenter. Des vérifications en volume ? Voir les tarifs et l'API.

FAQ

Quand la validation échoue, qu'est-ce que cela signifie ?

Les questions qui reviennent quand un rapport ne dit pas ce que vous attendiez. Plus d'aide sur notre page support.

Guides et ressources

Guides eIDAS et signature qualifiée

Où une signature avancée suffit, où une QES devient obligatoire, et ce qu'eIDAS 2.0 change pour les équipes qui collectent des signatures dans l'UE.

Voir tous les articles