Architecture de sécurité des signatures électroniques
Les signatures électroniques (e-signatures) vont du simple clic-wrap aux signatures numériques avancées. La sécurité dépend du niveau d'implémentation.
Trois niveaux (eIDAS / ESIGN / UETA)
| Niveau | Exemple | Niveau sécurité | Poids légal |
|---|
| Simple (SES) | Clic « J'accepte », nom tapé, signature scannée | Faible — pas de vérification identité | Recevable, mais contestable |
| Avancée (AdES) | DocuSign, Adobe Sign avec auth email | Moyen — unique au signataire, altération détectable | Présomption plus forte |
| Qualifiée (QES) | PKI certifié + dispositif qualifié (eIDAS) | Élevé — équivalent signature manuscrite (UE) | Maximum ; non-répudiation |
Mécanismes de sécurité fondamentaux
- Chiffrement (AES-256, TLS 1.2+) : Protège document en transit/stockage.
- Hachage (SHA-256) : Crée empreinte unique du document ; toute modification change le hash.
- Cryptographie asymétrique (RSA/ECDSA) : Clé privée du signataire chiffre le hash → signature. Clé publique vérifie.
- Certificats numériques (X.509) : Lient clé publique à identité vérifiée (émise par AC).
- Piste d'audit : Journal horodaté des vues, signatures, IPs, géolocalisation — infalsifiable.
- Non-répudiation : Le signataire ne peut nier avoir signé — clé privée qu'il possède seul.
Vulnérabilités et atténuations
| Risque | Atténuation |
|---|
| Prise de contrôle compte (hameçonnage identifiants) | 2FA/MFA sur plateforme e-sign ; SSO/SAML |
| Altération document pré-signature | Vérification hash ; « what you see is what you sign » (WYSIWYS) |
| Preuve identité faible | QES / auth basée connaissances (KBA) / biométrique |
| Malware sur appareil signataire | Protection endpoint ; environnements signature isolés |
| Validation long terme (LTV) | Horodatage (RFC 3161) ; archivage avec OCSP/CRL |
Bonnes pratiques
- Utilisez fournisseurs AdES/QES (DocuSign, Adobe Sign, OneSpan, GlobalSign, services de confiance qualifiés locaux).
- Exigez MFA pour tous signataires.
- Activez horodatage LTV pour archivage.
- Vérifiez chaîne de certificats avant de faire confiance.
- Conservez piste d'audit selon politique rétention archives.
