Comment vérifier une signature électronique selon eIDAS

Non, et c'est le point qui fait trébucher le plus de monde. Ce qui compte, c'est que le certificat ait été valide au moment de la signature, pas qu'il le soit aujourd'hui. C'est précisément à cela que sert un horodatage de confiance : il prouve que la signature existait pendant que le certificat courait encore. Sans horodatage, sur une simple signature de niveau B, vous ne pouvez pas prouver la date de signature, et là un certificat expiré devient un vrai problème.

L'horodatage. L'heure de signature est un attribut auto-déclaré, écrit par la machine du signataire, et rien ne l'empêche d'être fausse, mal configurée ou modifiée. Un jeton d'horodatage, lui, provient d'une autorité de confiance. Quand les deux divergent, l'horodatage fait preuve et l'heure déclarée n'est qu'un indice.

C'est une réponse incomplète, pas un échec. Le validateur interroge le répondeur OCSP de l'autorité de certification ou télécharge une CRL, et il arrive que ce point d'accès soit hors ligne, bridé ou simplement lent. Vous obtenez alors un résultat indéterminé au lieu d'un succès net, ce qui est la réponse honnête. Réessayez plus tard. Sur les signatures LT et LTA, les données de révocation sont embarquées dans le fichier : la validation se fait hors ligne et la question ne se pose pas.

L'une de ces deux choses. Soit le certificat de signature vient d'un prestataire qui n'est pas un prestataire de services de confiance qualifié inscrit sur la liste de confiance de l'UE, soit il a été émis comme un certificat ordinaire et non comme un certificat qualifié. Dans les deux cas, vous avez une signature techniquement saine qui n'atteint pas le statut QES. Que cela pose problème dépend entièrement de la transaction. eIDAS 2.0 et signatures électroniques montre où le curseur se déplace.

Les deux peuvent avoir raison, parce qu'ils ne répondent souvent pas à la même question. Adobe Acrobat se fie à son propre magasin de certificats, qui n'est pas la liste de confiance de l'UE : une signature peut donc y être approuvée et rester non qualifiée ici. Certains outils se contentent en plus de contrôler l'intégrité et sautent complètement la révocation. Lisez le rapport détaillé plutôt que le verdict en une ligne, et comparez contrôle par contrôle : intégrité, chaîne, révocation, horodatage. ETSI EN 319 102-1 définit la procédure, y compris un troisième résultat que beaucoup d'outils cachent : indéterminé, c'est-à-dire des preuves incomplètes plutôt qu'une signature mauvaise. Un outil qui écrase cette nuance en croix rouge finira forcément par contredire celui qui la rapporte honnêtement.

Oui. Un cachet électronique qualifié passe par la même procédure de validation et le rapport se lit de la même façon. La différence tient à son titulaire : un cachet appartient à une organisation, donc le certificat nomme une personne morale et non un individu. Les factures et extraits de registre cachetés passent ici sans traitement particulier.