Une signature électronique n’a de valeur que si l’on peut démontrer qui l’a apposée. Le chiffrement, l’horodatage et le scellement du PDF protègent le document, mais ils ne disent rien de la personne qui a cliqué sur « Signer ». En cas de litige, c’est pourtant la première question posée par le juge.
Ce que dit le droit
En France, l’article 1367 du Code civil rattache la valeur d’une signature électronique à un procédé fiable d’identification. Le règlement européen eIDAS précise ce que cela recouvre. Une signature électronique avancée (AdES) doit être liée au signataire de manière univoque, permettre de l’identifier, être créée sous son contrôle exclusif et rendre détectable toute modification ultérieure du document. Les juridictions françaises examinent ces critères de près, en particulier le volet identification.
La signature qualifiée (QES) va plus loin, avec un certificat qualifié délivré après une vérification d’identité en face à face ou par vidéo. Elle seule équivaut légalement à une signature manuscrite, mais elle reste lourde à déployer pour la plupart des contrats commerciaux ou documents RH.
Pourquoi le lien e-mail ne suffit pas toujours
Le schéma le plus courant consiste à envoyer au signataire un lien unique par e-mail, si bien que l’authentification repose entièrement sur l’accès à la boîte de réception. Si celle-ci est compromise, partagée par une équipe ou si le message a été transféré, n’importe qui peut signer à la place du destinataire prévu.
Les faux e-mails de demande de signature figurent d’ailleurs parmi les leurres de phishing les plus efficaces, car les utilisateurs cliquent par réflexe sur ce type de notification. Un circuit sérieux doit donc prouver l’identité du signataire et limiter la valeur d’un lien intercepté.
Ajouter un second facteur proportionné au risque
L’approche la plus pragmatique consiste à graduer l’authentification selon l’enjeu du document. Pour un bon de commande courant, le lien unique avec une durée de validité courte peut suffire. Pour un contrat de travail ou un engagement financier, un code à usage unique (OTP) envoyé au signataire et vérifié avant l’ouverture de la session ajoute un facteur indépendent du simple clic. Pour les actes soumis à un formalisme strict, il faudra passer par une QES et un prestataire qualifié.
L’important est que chaque vérification laisse une trace exploitable. Un OTP dont la validation n’apparaît nulle part dans le dossier de preuve n’aide personne le jour où la signature est contestée.
Ce que le dossier de preuve doit contenir
Un certificat de complétion solide documente, pour chaque signataire, la méthode d’authentification utilisée (lien seul ou lien plus code), l’heure de validation du code, l’adresse IP, l’horodatage de chaque consultation et de chaque signature. Le document final doit ensuite être scellé, idéalement au format PAdES, avec un horodatage de confiance intégré, afin que toute modification soit détectable et vérifiable sans dépendre du logiciel de l’éditeur.
Bonnes pratiques pour les équipes techniques
Côté implémentation, quelques réflexes réduisent nettement la surface d’attaque :
- limiter la durée de validité des liens de signature et les invalider après usage ;
- activer l’OTP par défaut sur les documents sensibles plutôt qu’au cas par cas ;
- envoyer les invitations depuis un domaine authentifié (SPF, DKIM, DMARC) pour que les destinataires puissent distinguer une vraie demande d’un leurre ;
- vérifier la signature HMAC des webhooks avant de déclencher la moindre action métier.
Chez Firma.dev, nous avons conçu notre API autour de ces principes : la vérification de l’identité du signataire par OTP e-mail est activable par espace de travail ou par demande, et elle est consignée dans la piste d’audit comme sur le certificat de complétion. L’API de signature électronique Firma.dev est facturée 0,049 € par enveloppe, sans abonnement ni minimum mensuel, pour que ce niveau d’exigence ne soit pas réservé aux grands comptes.
Authentifier le signataire n’est pas une option cosmétique. C’est ce qui transforme un clic en preuve opposable.
Note : article publi-rédactionnel rédigé par le partenaire.