Le règlement eIDAS distingue 3 niveaux de signature électronique, mais un seul bénéficie automatiquement de la même valeur qu’une signature manuscrite. Pour un dirigeant, le bon choix dépend du risque financier, de la nature du document et de la capacité à prouver qui a signé, quoi, quand et comment.
Comment fonctionne une signature électronique ?
Une signature électronique n’est pas une reproduction visuelle de la signature manuscrite. C’est un procédé technique et juridique qui relie un signataire à un document numérique. Il sert à identifier la personne, à matérialiser son consentement et à protéger l’intégrité du fichier signé.
Le parcours paraît souvent simple : le signataire ouvre un lien, consulte le document, confirme son identité puis valide. En arrière-plan, plusieurs mécanismes enregistrent les éléments nécessaires à la preuve. Leur robustesse varie selon le niveau de signature et la solution utilisée.
L’identification du signataire
Le service de signature doit associer l’action à une personne déterminée. Selon le niveau de sécurité recherché, cette identification repose sur une adresse électronique, un numéro de téléphone, un code à usage unique, une pièce d’identité, une vérification vidéo ou un certificat électronique.
Une adresse électronique ne prouve pas, à elle seule, l’identité civile du signataire. Elle constitue toutefois un indice lorsqu’elle est complétée par d’autres données : numéro de téléphone connu, compte utilisateur protégé, historique des échanges ou code confidentiel transmis sur un second canal.
L’empreinte numérique du document
Le système calcule une empreinte cryptographique, aussi appelée hash, à partir du contenu du document. Cette suite de caractères est propre à la version signée. La modification d’une date, d’un montant ou d’une seule lettre produit une empreinte différente.
Ce mécanisme permet de vérifier que le fichier présenté plusieurs mois plus tard correspond bien au document accepté. L’intégrité concerne le PDF, mais aussi les éventuelles annexes incluses dans l’enveloppe de signature.
Le certificat électronique et l’horodatage
Un certificat électronique relie des données de validation à une identité. Il est délivré par un prestataire de services de confiance après un contrôle plus ou moins poussé. Les signatures simples ne reposent pas nécessairement sur un certificat personnel. Les signatures qualifiées exigent, au contraire, un certificat qualifié répondant aux règles européennes.
L’horodatage associe une date et une heure au processus. Un horodatage fiable aide à démontrer que la signature existait à un instant donné. Il ne suffit toutefois pas à identifier la personne ni à établir son consentement.
La piste d’audit
La piste d’audit, parfois appelée dossier de preuve, retrace le parcours de signature. Elle rassemble notamment les invitations envoyées, les étapes d’authentification, les adresses électroniques, les numéros de téléphone partiellement masqués, les heures de consultation, les validations et les empreintes des fichiers.
À retenir : la force d’une signature ne dépend pas de son apparence dans le PDF. Elle repose sur la qualité de l’identification, l’intégrité du document et les preuves conservées autour du parcours.
Les trois niveaux de signature électronique du règlement eIDAS
Le règlement européen eIDAS organise les signatures selon trois niveaux : simple, avancée et qualifiée. Le choix ne correspond pas seulement à une préférence technique. Il doit suivre le niveau de risque du document, les obligations applicables et les conséquences d’une contestation.
| Niveau | Identification | Protection du document | Usages adaptés | Force probante |
|---|---|---|---|---|
| Simple | Basique à intermédiaire | Variable selon le parcours | Devis, commandes, validations internes | Recevable, mais preuves à consolider |
| Avancée | Renforcée | Altérations détectables | Contrats de travail, baux, contrats commerciaux | Forte si le dossier de preuve est complet |
| Qualifiée | Vérification stricte de l’identité | Certificat et dispositif qualifiés | Actes à fort enjeu ou soumis à une exigence élevée | Équivalente à la signature manuscrite |
La signature électronique simple
La signature simple couvre un ensemble très large de procédés. Il peut s’agir d’un bouton d’acceptation, d’un code reçu par SMS, d’une validation depuis un espace client ou d’un parcours associant l’adresse électronique à une trace technique.
Signature électroniqueFaire signer un devis ou un contrat en ligne : le parcours côté clientCe niveau convient aux opérations courantes présentant un risque limité. Un devis de faible montant, un bon de commande récurrent ou une validation interne entrent souvent dans cette catégorie. Pour renforcer la preuve, mieux vaut utiliser une authentification à deux facteurs et conserver une piste d’audit complète.
Le terme « simple » ne signifie pas « sans valeur ». En cas de litige, l’entreprise devra toutefois présenter des éléments suffisamment cohérents pour relier l’action au signataire et démontrer l’intégrité du document.
La signature électronique avancée
Une signature avancée respecte quatre critères définis par eIDAS. Elle est liée au signataire de manière univoque, permet de l’identifier, reste sous son contrôle avec un niveau de confiance élevé et rend détectable toute modification ultérieure des données signées.
Elle repose généralement sur une authentification renforcée, une vérification d’identité et des mécanismes cryptographiques. Elle constitue un choix adapté aux documents engageants : contrat commercial significatif, contrat de travail, avenant, accord de confidentialité, bail sous signature privée ou mandat.
La signature avancée n’est pas automatiquement assimilée à une signature manuscrite. Sa force dépend du procédé et du dossier de preuve. Face à une contestation, le juge examine les éléments techniques, contractuels et factuels produits par les parties.
La signature électronique qualifiée
La signature qualifiée est une signature avancée créée au moyen d’un dispositif qualifié et fondée sur un certificat qualifié. L’identité du signataire fait l’objet d’une vérification stricte. Le certificat est délivré par un prestataire de services de confiance qualifié, inscrit dans une liste de confiance officielle.
Le dispositif de création peut être physique ou géré à distance dans un environnement sécurisé. Pour le signataire, le parcours inclut souvent la présentation d’un titre d’identité, une vérification biométrique ou vidéo et une authentification forte.
Effet juridique majeur : une signature électronique qualifiée produit dans l’Union européenne un effet juridique équivalent à celui d’une signature manuscrite. En droit français, elle bénéficie également d’une présomption de fiabilité dans les conditions prévues par les textes.
Quelle est la valeur juridique d’une signature électronique en France ?
Le droit français reconnaît l’écrit électronique. L’article 1366 du Code civil lui accorde la même force probante que l’écrit sur papier lorsque l’auteur est dûment identifiable et que le document est établi et conservé dans des conditions garantissant son intégrité.
L’article 1367 précise que la signature identifie son auteur et manifeste son consentement aux obligations découlant de l’acte. Lorsqu’elle est électronique, elle doit utiliser un procédé fiable d’identification garantissant son lien avec le document.
Recevabilité ne signifie pas preuve incontestable
Le règlement eIDAS interdit de refuser l’effet juridique ou la recevabilité d’une signature au seul motif qu’elle est électronique ou qu’elle n’est pas qualifiée. Une signature simple ou avancée est donc recevable devant un tribunal.
Cette recevabilité ne garantit pas que la preuve emportera la conviction du juge. Si le signataire conteste, l’entreprise doit produire un faisceau d’éléments : dossier de preuve, certificat, empreinte du document, journaux techniques, échanges préparatoires et conditions d’utilisation du service.
Avec une signature qualifiée, la fiabilité est présumée. La personne qui la conteste doit apporter des éléments capables de remettre cette présomption en cause. Cette différence de charge de la preuve explique l’intérêt du niveau qualifié pour les engagements sensibles.
Le consentement reste indispensable
Un procédé techniquement solide ne corrige pas un défaut de consentement. Le signataire doit avoir accès au document complet, comprendre l’action demandée et valider sans contrainte. Les cases précochées, les annexes absentes ou les boutons ambigus fragilisent le dossier.
Le parcours doit aussi permettre de distinguer une simple consultation d’une acceptation. Un bouton clairement libellé, une étape récapitulative et l’envoi immédiat d’un exemplaire signé réduisent les contestations.
Certains actes suivent des règles particulières
La signature électronique ne dispense pas de respecter les exigences propres au contrat. Certains actes requièrent une mention, un formalisme spécifique, l’intervention d’un professionnel habilité ou la forme authentique. La dématérialisation reste alors possible uniquement dans le cadre prévu.
Signature électroniqueSigner un contrat de travail électroniquement : ce que dit le droitUn acte notarié électronique ne se résume pas à un PDF signé avec un certificat qualifié par les parties. Il est reçu par le notaire selon une procédure réglementée, puis signé et conservé dans une infrastructure dédiée. La signature qualifiée d’un dirigeant ne transforme donc pas un contrat privé en acte authentique.
Quel niveau choisir selon le document à signer ?
Devis et bons de commande
Pour un devis courant, une signature simple accompagnée d’un code à usage unique et d’une piste d’audit offre souvent un niveau cohérent. Le document doit préciser le prix, les délais, les conditions d’exécution et les conditions générales applicables.
Pour un chantier coûteux, une commande stratégique ou un engagement pluriannuel, la signature avancée réduit le risque d’usurpation et renforce la preuve du consentement.
Contrat de travail et avenant
Un contrat de travail peut être signé électroniquement. La signature avancée constitue un choix prudent, notamment pour un contrat à durée déterminée, une clause sensible, une rémunération variable ou un avenant modifiant les fonctions.
L’employeur doit remettre au salarié un exemplaire accessible et conserver la version signée pendant la durée requise. Le fichier final, le dossier de preuve et les annexes doivent rester associés. Imprimer uniquement la page comportant les signatures détruit une partie du contexte probatoire.
Bail professionnel, commercial ou d’habitation
Un bail sous signature privée se prête à la signature avancée. Ce niveau aide à identifier les bailleurs, locataires, cautions et représentants de sociétés. Chaque annexe doit être intégrée à l’enveloppe ou reliée sans ambiguïté au document signé.
Lorsque l’opération exige une forme authentique ou une publicité particulière, un parcours ordinaire de signature en ligne ne suffit pas. Le professionnel chargé de l’acte détermine alors la procédure applicable.
Acte notarié
L’acte authentique électronique relève d’un environnement contrôlé par le notaire. Celui-ci vérifie l’identité, recueille le consentement, appose sa signature dans les conditions réglementaires et assure la conservation de l’acte. Une entreprise ne doit pas choisir seule un outil standard pour remplacer cette procédure.
Les erreurs qui affaiblissent une signature électronique
Coller une image de signature dans un PDF
Une image scannée ou dessinée avec la souris n’est pas, à elle seule, une véritable signature électronique sécurisée. Elle se copie facilement, n’identifie pas son auteur et ne protège pas le document contre une modification ultérieure.
Une image peut apparaître dans un parcours de signature, mais la preuve doit provenir des mécanismes techniques associés. Sans piste d’audit, authentification ni contrôle d’intégrité, sa valeur reste très faible.
Envoyer le document depuis une boîte partagée
Une adresse générique telle que direction@ ou comptabilite@ ne permet pas d’attribuer clairement l’action à une personne. Chaque signataire doit utiliser un accès individuel et une méthode d’authentification personnelle.
Modifier le PDF après la signature
Toute modification du fichier signé rompt normalement la validation cryptographique. Ajouter une annexe, corriger une faute ou insérer une page après signature impose de générer une nouvelle version et de relancer le parcours.
Conserver uniquement le PDF visible
Le PDF signé ne contient pas toujours toutes les preuves nécessaires. L’entreprise doit aussi conserver le dossier de preuve, les certificats, les journaux disponibles et les données de validation. Leur durée de conservation doit suivre la durée du contrat, les délais de prescription et les obligations sectorielles.
Choisir systématiquement le niveau le plus faible
Le niveau de signature doit suivre une analyse du risque. Le montant n’est pas le seul critère. La durée de l’engagement, la difficulté d’identifier le signataire, le risque social, la présence d’une caution et les conséquences d’une usurpation comptent aussi.
Mettre en place un parcours de signature fiable dans une petite entreprise
Une procédure interne simple évite les choix improvisés. Elle doit définir les documents concernés, le niveau de signature attendu, les personnes autorisées à envoyer les demandes et les règles d’archivage.
- Classer les documents par risque : opération courante, engagement significatif ou acte à forte contrainte juridique.
- Vérifier les signataires : identité, fonction, délégation de pouvoir et capacité à engager la société.
- Choisir le niveau eIDAS : simple pour les validations peu risquées, avancé pour les contrats engageants, qualifié lorsque la présomption de fiabilité est recherchée ou exigée.
- Préparer un document définitif : annexes incluses, champs complétés, version verrouillée et ordre de signature défini.
- Utiliser une authentification personnelle : code unique, compte individuel ou vérification d’identité selon le risque.
- Remettre un exemplaire signé : chaque partie doit pouvoir télécharger et conserver le document final.
- Archiver les preuves : PDF, piste d’audit, certificats et données de validation doivent rester lisibles, intègres et accessibles.
Règle opérationnelle : plus une contestation aurait de conséquences financières, sociales ou juridiques, plus l’identification du signataire et la conservation de la preuve doivent être renforcées.
Contrôler l’outil avant son déploiement
Le responsable doit vérifier le niveau de signature réellement fourni. La présence du mot « sécurisé » dans une interface ne prouve aucune conformité particulière. Le contrat du prestataire doit décrire les mécanismes d’identification, l’horodatage, la génération du dossier de preuve, la localisation des données et les modalités de restitution.
- Le niveau eIDAS est-il clairement indiqué pour chaque parcours ?
- Le service fournit-il un dossier de preuve téléchargeable ?
- Les altérations du document sont-elles détectables ?
- Les certificats restent-ils vérifiables après plusieurs années ?
- Une authentification renforcée est-elle disponible ?
- Les données personnelles sont-elles protégées selon le RGPD ?
- Les documents et preuves restent-ils récupérables en cas de changement de prestataire ?
