- Vérifier une signature ne coûte rien. Inutile d’acheter un logiciel ou Adobe Acrobat : un outil de vérification en ligne gratuit ou Adobe Acrobat Reader, lui aussi gratuit, suffit.
- Une signature est vérifiable parce qu’elle porte ses propres preuves : une empreinte du document, un certificat et, idéalement, un horodatage.
- Un outil de vérification répond à quatre questions : le document est-il intact, qui a signé, le certificat était-il valable à ce moment-là, et de quel niveau est la signature ?
- Contrairement à l’encre sur le papier, une signature électronique se rompt de façon visible dès qu’un seul caractère change.
Une signature manuscrite vous demande de lui faire confiance. Une signature électronique vous permet de la vérifier. Toute la différence est là, et c’est pourquoi toute signature électronique sérieuse contient tout ce dont un tiers a besoin pour la contrôler, sans avoir à interroger le signataire, l’expéditeur ou le prestataire qui l’a créée.
La réponse courte : c’est gratuit, sans logiciel à acheter
Faut-il un logiciel payant ? Non. Vérifier une signature est gratuit. Ce qui coûte, c’est de signer, car un prestataire de services de confiance doit vérifier les identités et se porter garant de ses certificats. La vérification, elle, se contente de lire ce qui se trouve déjà dans le fichier.
Faut-il Adobe Acrobat ? Non. Adobe Acrobat Reader, gratuit, vérifie les signatures de manière fiable et constitue une option parmi d’autres. Un outil de vérification en ligne fonctionne dans n’importe quel navigateur, sur n’importe quel appareil, et beaucoup expliquent chaque contrôle en termes simples.
Trois voies s’offrent donc à vous, de la plus rapide à la plus formelle :
- Un outil de vérification en ligne. Chargez le PDF et lisez le rapport. Le nôtre, c’est la vérification de signature PDF gratuite : sans compte, et le fichier n’est pas conservé.
- Adobe Acrobat Reader. Ouvrez le PDF et consultez le panneau Signatures. Nous détaillons chaque étape dans Vérifier une signature dans Adobe Reader.
- Un service de validation qualifié. Lorsqu’il vous faut un résultat qui ait lui-même une valeur juridique, pour un tribunal ou une administration, certains prestataires de services de confiance proposent la validation en tant que service qualifié au sens d’eIDAS.
Ce qui rend une signature vérifiable
Une signature ne peut être vérifiée que si elle apporte ses propres preuves. Imaginez un cachet de cire sur une lettre, accompagné d’une copie certifiée conforme de la pièce d’identité de l’expéditeur et d’un tampon de la poste indiquant la date. Une signature électronique moderne réunit les trois, sous forme numérique :
- 1Une empreinte du document
Le logiciel de signature calcule d’abord un hash : une courte valeur tirée de chaque octet du fichier. Changez une seule virgule, et l’empreinte change du tout au tout.
- 2Un sceau sur cette empreinte
L’empreinte est ensuite scellée avec la clé privée du signataire, une clé que lui seul contrôle. Chacun peut ouvrir le sceau avec la clé publique correspondante, mais personne ne peut le contrefaire sans la clé privée.
- 3Un certificat qui nomme le signataire
La clé publique voyage dans un certificat : une carte d’identité numérique délivrée par un prestataire de services de confiance après vérification de l’identité du signataire. Le prestataire signe à son tour le certificat, que l’on peut ainsi remonter jusqu’à sa source.
- 4Un horodatage par une horloge indépendante
Une autorité d’horodatage confirme à quel moment la signature existait. Sans elle, l’heure provient de l’ordinateur du signataire, que chacun peut régler sur n’importe quelle date.
- 5La preuve pour plus tard
Avec la validation à long terme (LTV), le fichier conserve aussi les certificats et les réponses de révocation valables au moment de la signature. La signature reste ainsi vérifiable bien après l’expiration de ces certificats.
Dans un PDF, tout cela se trouve dans le fichier lui-même, selon une norme européenne ouverte appelée PAdES. C’est pourquoi n’importe quel outil de vérification peut la lire : vous ne dépendez ni du logiciel, ni même de l’entreprise qui a créé la signature.
Ce que fait vraiment un outil de vérification
Un outil de vérification est un programme qui lit les preuves contenues dans le fichier et les teste une à une. Il ne se fie pas à ce que le document affirme de lui-même : il recalcule, remonte et interroge. Voici l’ordre dans lequel procède un bon outil :
- 1Recalculer l’empreinte
L’outil calcule à nouveau le hash du document et le compare à celui contenu dans la signature. S’ils concordent, pas un seul bit n’a changé depuis la signature.
- 2Ouvrir le sceau
Avec la clé publique tirée du certificat, il vérifie que le sceau a bien été apposé avec la clé privée correspondante.
- 3Remonter la chaîne de certificats
Il remonte le certificat, d’émetteur en émetteur, jusqu’à une racine en laquelle il a confiance, en général une racine figurant sur les listes de confiance de l’UE ou sur l’AATL d’Adobe.
- 4S’informer de la révocation
Il demande à l’émetteur si le certificat a été révoqué, et compare la réponse avec le moment de la signature.
- 5Confirmer l’heure
Il contrôle l’horodatage : la question « valable quand ? » trouve ainsi une réponse qui ne dépend de la parole de personne.
- 6Déterminer le niveau
À partir du certificat et des listes de confiance, il vous indique si la signature est qualifiée (QES), avancée (AdES) ou ni l’une ni l’autre.
Les listes de confiance de l’UE méritent qu’on s’y arrête. Chaque État membre publie une liste officielle et signée des prestataires de services de confiance qu’il supervise, et la Commission européenne les relie toutes dans une liste des listes. Quand un outil de vérification indique « qualifiée », c’est là qu’il l’a vérifié : non pas dans la communication du prestataire, mais dans un registre tenu par les autorités de contrôle.
Comment fonctionne la révocation
Un certificat peut être annulé avant son expiration, un peu comme une carte bancaire que l’on déclare perdue. Peut-être une clé a-t-elle été compromise, une personne a-t-elle quitté l’entreprise, ou des informations du certificat étaient-elles erronées. L’émetteur le révoque alors, et à partir de ce moment, il ne devrait plus servir à signer.
Les outils de vérification l’apprennent de deux manières :
- Une liste de révocation (CRL). L’émetteur publie régulièrement une liste signée de tous les certificats qu’il a révoqués. L’outil la télécharge et y recherche le certificat concerné.
- Une requête en temps réel (OCSP). L’outil interroge directement l’émetteur sur un certificat précis et reçoit une réponse signée : valide, révoqué ou inconnu. En cas de révocation, la réponse en précise la date.
C’est ce « quand » qui compte. Un certificat révoqué après la signature ne remet pas celle-ci en cause : le jour de la signature, le certificat était valable. Un certificat révoqué avant, c’est une autre histoire. Voilà pourquoi l’horodatage est si précieux : sans heure de confiance, personne ne peut dire de quel côté de la révocation se situe la signature.
Lire le résultat
La plupart des outils de vérification résument leurs constats en l’une de trois réponses. Chacune dit quelque chose de précis, et passe sous silence autre chose :
| Résultat | Ce que cela signifie | Que faire |
|---|---|---|
| Valide | Le document est intact, le certificat remonte à une source de confiance et était valable au moment de la signature. | Rien. C’est le résultat normal. |
| Non fiable / inconnu | Le document est intact, mais l’outil ne connaît pas l’émetteur du certificat : souvent un certificat interne à une entreprise ou étranger. | Confirmez l’identité du signataire par un autre canal, ou vérifiez avec un outil qui s’appuie sur les listes de confiance de l’UE. |
| Non valide | Le document a été modifié après la signature, ou le certificat a été révoqué avant que la signature ne soit apposée. | Ne vous y fiez pas. Demandez l’original à l’expéditeur. |
Une limite vaut pour tous les outils de vérification : ils contrôlent la signature, pas l’affaire. « Valide » vous dit qui a signé, quoi et quand. Cela ne vous dit pas si le contenu est exact, ni si le signataire avait le pouvoir d’engager son entreprise. Cette partie-là reste votre affaire, ou celle de votre avocat.
Pourquoi une signature électronique surpasse une signature manuscrite
On est tenté de voir dans la signature électronique une copie pratique de l’original. Techniquement, c’est l’inverse. Une signature à l’encre prouve étonnamment peu, et même ce peu ne se prouve qu’avec l’aide d’un expert.
| Question | Manuscrite | Électronique (QES) |
|---|---|---|
| Le texte a-t-il été modifié ? | Remplacez la page 3 d’un contrat agrafé, et personne ne s’en aperçoit. | La moindre modification d’un seul caractère rompt la signature, de façon visible. |
| Qui a signé ? | Un paraphe, comparé à l’œil nu ou par un expert en écritures. | Un certificat délivré après vérification d’identité par un prestataire sous contrôle. |
| Quand ? | La date qui a été inscrite à côté, quelle qu’elle soit. | Un horodatage issu d’une horloge indépendante et de confiance. |
| Qui peut vérifier ? | Un expert, muni de l’original papier. | N’importe qui, avec un outil gratuit, en quelques secondes, à partir de n’importe quelle copie du fichier. |
Le droit en a tiré les conséquences. Selon l’article 25, paragraphe 2, du règlement eIDAS, une signature électronique qualifiée a un effet juridique équivalent à celui d’une signature manuscrite dans tous les États membres de l’UE. En pratique, c’est la plus solide des deux : plus facile à vérifier, et bien plus difficile à contester.
“L’encre peut s’imiter. Une signature électronique qualifiée, elle, se vérifie : soit elle tient, soit elle ne tient pas.”
Quel outil de vérification choisir
Tous les bons outils de vérification testent les mêmes preuves. Ils diffèrent par les listes de confiance qu’ils consultent, par la façon dont ils expliquent le résultat et par ce qu’il advient de votre fichier :
- Vérification de signature PDF swipesign : gratuite, sans compte, le fichier est traité en mémoire et n’est pas conservé. Elle contrôle la signature d’après les listes de confiance de l’UE et l’AATL d’Adobe, révocation, horodatage et niveau de qualification compris, avec un rapport rédigé en termes simples.
- Vérification de signature de la RTR (Autriche) : l’autorité de contrôle autrichienne est tenue par la loi de proposer un service gratuit de validation des signatures et cachets qualifiés. Un choix naturel pour les documents signés avec un certificat autrichien ou portant une signature officielle.
- Démo DSS de la Commission européenne : fondée sur la bibliothèque de validation open source de la Commission, avec des rapports très détaillés. La Commission la présente comme une démonstration destinée aux tests : évitez donc d’y charger des documents sensibles.
- Adobe Acrobat Reader : gratuit, hors ligne, déjà installé sur de nombreux ordinateurs. Il affiche le résultat dans le panneau Signatures, et le détail dans les propriétés de chaque signature.
- Swisscom Validator : pour les signatures relevant de la loi suisse sur la signature électronique (ZertES), le bon endroit pour les vérifier.
Quel que soit votre choix, une vérification prend moins d’une minute. Si un document signé compte pour vous, vérifiez-le. C’est précisément à cela que sert la signature.
Adobe, Acrobat et Reader sont des marques ou des marques déposées d’Adobe Inc. aux États-Unis et/ou dans d’autres pays. swipesign n’est ni affiliée à Adobe ni approuvée par Adobe.
Signez en QES ou en AES, vérifiable par tous.
swipesign signe selon la norme ouverte PAdES, avec un horodatage qualifié : n’importe quel outil de vérification peut confirmer vos documents, aujourd’hui comme dans vingt ans.