Une norme Signature numérique sur un PDF prouve qui a signé le document. Une signature numérique horodatée prouve quand ils l'ont signée. L’horodatage est émis par une autorité d’horodatage tierce de confiance et lié cryptographiquement à la signature. Ensemble, ils assurent la non-répudiation : le signataire ne peut pas nier avoir signé et l'horodatage prouve que le certificat était valide au moment de la signature, même s'il a expiré ultérieurement.
L'horodatage est essentiel lorsque la validité de la signature peut être contestée des années après la signature. Un contrat signé aujourd’hui avec un certificat expirant dans deux ans devra peut-être être vérifié dans cinq ans. Sans horodatage, la signature devient invalide lorsque le certificat expire ou est révoqué. Avec un horodatage, la vérification reste possible indéfiniment car l'horodatage fige la validité du certificat au moment de la signature.
Les outils Sign PDF de WukongPDF prennent en charge les signatures numériques basées sur des certificats avec une intégration d'horodatage fiable.
Comment fonctionnent techniquement les signatures horodatées
Lorsque vous signez un PDF avec l'horodatage activé, le logiciel de signature calcule un hachage du contenu du document et l'envoie à une autorité d'horodatage. La TSA combine le hachage avec l'heure actuelle provenant d'une horloge très précise et signe cette combinaison à l'aide de son propre certificat. L'horodatage signé est intégré dans le PDF à côté de vos données de signature.
Lorsque quelqu'un vérifie ultérieurement la signature, le lecteur PDF vérifie à la fois la validité de votre signature et la validité de l'horodatage TSA. Si votre certificat a expiré mais que l'horodatage indique qu'il était valide au moment de la signature, la signature s'affiche comme valide avec une mention indiquant que la validation à long terme est prise en charge. La TSA agit en tant que témoin de confiance avec un certificat de longue durée, généralement valable 10 à 20 ans.
Essayez de signer un PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.
Obtention d'un certificat numérique de signature
Dans la plupart des cas, un certificat numérique pour la signature de PDF peut être auto-signé ou émis par une autorité de certification commerciale. Les certificats auto-signés conviennent aux documents internes pour lesquels le destinataire connaît déjà et fait confiance à votre identité. Les certificats émis par l'autorité de certification auprès de fournisseurs tels que GlobalSign, IdenTrust ou DigiCert permettent une vérification de l'identité par des tiers pour les documents échangés avec des parties externes.
Le processus de délivrance d'un certificat émis par une autorité de certification nécessite une vérification d'identité. Les certificats individuels nécessitent une pièce d’identité avec photo émise par le gouvernement. Les certificats d'organisation nécessitent des documents d'enregistrement d'entreprise. La vérification prend entre quelques heures pour une validation de base et plusieurs jours pour une validation étendue. Après délivrance, le certificat est valable un à trois ans et doit être renouvelé avant expiration.
Conservez la clé privée du certificat avec le même soin que toute autre autorité de signature légale. La clé privée protégée par un mot de passe est ce qui crée la signature. Toute personne ayant accès au fichier de clé et au mot de passe peut signer des documents en votre nom. Utilisez un mot de passe fort et stockez la clé dans un endroit sécurisé distinct des documents signés.
Configurer une autorité d'horodatage dans Acrobat Pro
Ouvrez Acrobat Pro et accédez à Édition, Préférences, Signatures. Sous Horodatage du document, cliquez sur Plus pour ouvrir la liste des serveurs d'horodatage. Cliquez sur Nouveau et entrez l'URL d'un TSA de confiance. Plusieurs TSA publics gratuits sont disponibles pour une utilisation non critique. Pour les documents juridiques et réglementaires, les TSA commerciaux offrent une disponibilité garantie et des engagements contractuels de fiabilité.
Après avoir ajouté le TSA, sélectionnez-le comme serveur d'horodatage par défaut. Chaque signature appliquée après cette configuration inclura automatiquement un horodatage du TSA sélectionné. Les propriétés d'apparence de la signature contrôlent si l'horodatage est affiché visuellement à côté de votre nom et de la date de signature.
Vérification d'une signature horodatée
Ouvrez le PDF signé dans Acrobat Reader et cliquez sur le champ de signature. Le panneau Propriétés de signature affiche l'identité du signataire, l'heure de signature attestée par la TSA et l'état de validation. Une coche verte indique que la signature et l'horodatage sont valides. Le panneau affiche également la chaîne de certificats TSA et la date d'expiration du certificat TSA.
Si le certificat de signature a expiré mais que l'horodatage est valide, la signature affiche un triangle d'avertissement plutôt qu'une coche verte. Le texte d'avertissement explique que le certificat a expiré mais que le document a été signé alors que le certificat était valide. Il s'agit du comportement de validation attendu à long terme et n'indique pas un problème avec la signature.
Stratégie de validation de signature à long terme
Pour les documents nécessitant une vérifiabilité dans des décennies, combinez l’horodatage avec une nouvelle signature périodique. Avant l'expiration du certificat de signature actuel, appliquez une nouvelle signature avec un nouvel horodatage à l'aide d'un certificat actuel. La chaîne de signatures et d'horodatages crée un historique de validation continu. Chaque nouveau maillon de la chaîne atteste que tous les maillons précédents étaient valides au moment de l'ajout du nouveau maillon.
Stockez les PDF signés avec leurs informations de validation intactes. N'optimisez pas et ne compressez pas les PDF signés avec des outils qui suppriment les données de signature. Certaines opérations d'optimisation suppriment les informations de signature cryptographique tout en préservant uniquement l'apparence de la signature visuelle. Un PDF qui semble signé mais qui ne comporte aucune donnée de signature vérifiable est pire qu'un PDF non signé car il crée une fausse impression d'authenticité.
Dans la plupart des cas, une signature numérique horodatée sur un PDF constitue la forme d'authentification de document la plus solide disponible en dehors des plateformes spécialisées en matière de documents juridiques. La combinaison d'une vérification d'identité cryptographiquement solide et d'une synchronisation attestée de manière indépendante crée une signature qui résiste à un examen minutieux des années ou des décennies après l'événement de signature d'origine, fournissant ainsi l'authenticité du document à long terme que les contextes juridiques, financiers et réglementaires exigent pendant des années après que le certificat de signature d'origine a expiré depuis longtemps et ne peut plus être vérifié directement.
| Type de signature | Vérification d'identité | Prise en charge de l'horodatage |
|---|---|---|
| Certificat auto-signé | Aucun, basé sur la confiance | TSA publique gratuite ou aucune |
| Certificat délivré par une autorité de certification | ID gouvernemental/organisationnel | TSA commerciale recommandée |
| Service de signature cloud | Fournisseur de services vérifié | Inclus avec le service |
Au cours des flux de travail typiques, en ce qui concerne les flux de travail documentaires, pour les organisations qui signent régulièrement des documents, établissez une politique de signature qui spécifie quand l'horodatage est requis. Les documents internes de routine peuvent ne pas nécessiter d'horodatage. Les contrats, les dépôts réglementaires et les documents ayant une pertinence pluriannuelle bénéficient de l'horodatage. La politique supprime toute ambiguïté quant au moment où l'étape supplémentaire de configuration d'un TSA est justifiée.
D'un point de vue pratique, dans la pratique, l'effort marginal d'activation de l'horodatage est minime après la configuration initiale du TSA. Le paramètre d’horodatage par défaut s’applique automatiquement à chaque signature ultérieure. L’avantage de la vérifiabilité à long terme s’étend à chaque document signé sans effort par document.
Choisir entre les autorités d'horodatage gratuites et commerciales
Les TSA publics gratuits, tels que ceux gérés par les universités et les autorités de certification, fournissent un horodatage de base adéquat pour les documents non critiques. Ils peuvent avoir des limites d'utilisation, aucune garantie de disponibilité et aucune assistance si l'horodatage ne peut pas être vérifié ultérieurement. Les TSA commerciaux proposent des accords de niveau de service garantissant la disponibilité et une prise en charge de la vérification de l'horodatage à long terme.
Au point où, en ce qui concerne les flux de travail documentaires, pour les documents juridiques et les dépôts réglementaires, un TSA commercial avec un engagement contractuel à maintenir des services de vérification d'horodatage pendant 10 ans ou plus en vaut la peine. Les frais TSA sont négligeables par rapport à la valeur d'une signature vérifiable sur un contrat qui peut être contestée des années plus tard. Pour les approbations internes et les documents de routine, les TSA gratuits sont suffisants.
Dépannage des échecs de vérification de l'horodatage
Si une signature horodatée échoue à la vérification, vérifiez la chaîne de certificat TSA. Le certificat TSA doit être lié à un certificat racine de confiance installé dans le lecteur PDF. Si le lecteur ne fait pas confiance à la racine TSA, l'horodatage ne peut pas être vérifié. L'installation du certificat racine TSA dans le magasin de certificats approuvés du lecteur résout ce problème.
Vérifiez également que l'horloge système sur l'ordinateur de vérification est à peu près correcte. La vérification de l'horodatage consiste à comparer l'heure de l'horodatage à l'heure actuelle pour confirmer qu'elle n'est pas dans le futur. Une horloge système réglée des années dans le passé ou dans le futur peut entraîner l’échec de la vérification des horodatages valides. La correction de l'horloge système et la revérification résolvent les pannes liées à l'horloge.
Utilisation de services de signature basés sur le cloud avec horodatage intégré
La plupart des services de signature PDF basés sur le cloud incluent l'horodatage comme fonctionnalité par défaut. DocuSign, Adobe Acrobat Sign et Dropbox Sign appliquent tous automatiquement les horodatages de leurs propres TSA. L'utilisateur n'a pas besoin de configurer un TSA séparément. L'horodatage est inclus par défaut avec chaque signature.
Les services de signature cloud simplifient la gestion de l'horodatage en gérant la configuration TSA, le renouvellement des certificats et la vérification de l'horodatage en arrière-plan. Le PDF signé comprend un horodatage intégré que tout lecteur PDF peut vérifier. Pour les organisations qui préfèrent ne pas gérer les certificats numériques et les TSA en interne, les services de signature cloud fournissent des signatures horodatées avec une configuration minimale.
Les signatures numériques horodatées constituent la référence en matière d’authentification des documents PDF. Ils combinent une preuve d’identité cryptographique avec une preuve de timing attestée de manière indépendante. Pour les documents dont l'authenticité peut être contestée des années après la signature, l'horodatage est la différence entre une signature vérifiable et une signature invérifiable.
La configuration de l'horodatage prend quelques minutes et s'applique à chaque signature ultérieure. La protection qu’il offre dure toute la durée de vie du document signé. Pour les documents importants, le petit effort de configuration est amplement justifié par l'assurance de vérification à long terme.
Les signatures numériques avec horodatage fournissent l'authentification de document la plus forte disponible pour les PDF. La technologie est mature, largement prise en charge et accessible via les logiciels de bureau et les services cloud. Pour tout document dont l’authenticité devra être prouvée à l’avenir, la signature horodatée est la norme à respecter.
Dans ce contexte, en pratique, les pratiques décrites ici s'appliquent à tout flux de signature PDF. Les outils spécifiques varient, mais les principes de gestion des certificats, de configuration de l'horodatage et de validation à long terme sont universels dans toutes les implémentations de signature PDF. La combinaison de la vérification de l’identité cryptographique et de l’horodatage fiable permet une authentification des documents qui résiste à un examen minutieux des années ou des décennies après l’événement de signature initial.
Essayez de signer un PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.