# EZparaph

> Parapheur électronique libre (AGPL v3) pour collectivités, services de l'État, universités, établissements publics et associations : circuits de validation et de signature, signature électronique eIDAS (PAdES), dossier de preuve ASiC-E vérifiable par un tiers. Installable chez vous avec Docker. Mis à jour le 2026-10-24.

Ce fichier résume la fiche technique pour les assistants et les outils de recherche. En cas d'écart, les pages liées font foi. Sont distingués ci-dessous ce qui est livré et ce qui est en recette ou en étude.

## Pages

- [Présentation](https://ezparaph.com/presentation): parcours décideur (leviers de gain, mesure du retour sur investissement pendant un pilote d'un à deux mois, réversibilité) et parcours technique, fonctions par étape, état de livraison (livré, en recette, à l'étude, non fourni), licence AGPL v3.
- [Fiche technique](https://ezparaph.com/presentation/technique): niveaux de signature, normes et formats, identité, API, exploitation.
- [Modèle de CCTP](https://ezparaph.com/static/presentation/modeles/modele_cctp_parapheur_electronique.docx): grille d'exigences téléchargeable (.docx, .odt) pour un cahier des charges de parapheur électronique ; références normatives publiques suivies de « ou équivalent », moyens de preuve vérifiables par un validateur indépendant ; section facultative sur l'assistance par IA (données envoyées, fournisseur, aide à la relecture sans effet sur le circuit) ; rédigée par l'éditeur d'EZparaph. Présentée dans la fiche technique, section modèle de CCTP.
- [RGPD](https://ezparaph.com/presentation/rgpd): durées de conservation paramétrables (aucune par défaut), anonymisation d'un compte et chaîne du journal d'audit, flux réseau sortants dont ceux de l'assistance par IA (pré-contrôle réservé par défaut aux fournisseurs souverains, synthèse sans cette règle), mesures de l'article 32, limites connues ; annexe et registre des traitements pré-remplis à télécharger (.docx, .odt).
- [Votre SI](https://ezparaph.com/presentation/integration): Publik, ProConnect, Pastell, API, signature sur carte, téléphone ou hors ligne.
- [Migrer](https://ezparaph.com/presentation/migration): reprise depuis i-Parapheur, SEDA ou archive ZIP, avec simulation à blanc.
- [Offre](https://ezparaph.com/presentation/offre): version communauté (libre) et version pro (souscription), tarifs de lancement de la solution hébergée en Europe (XS moins de 5 signataires 49 € HT/mois, S 5 à 9 signataires 129 € HT/mois, M 10 à 50 signataires 390 € HT/mois, au-delà sur étude ; mise en place facturée une fois ; visas et lecteurs illimités ; certificats qualifiés non compris), installation.
- [Horodatage EBSI](https://ezparaph.com/presentation/ebsi): ancrage européen des dossiers signés.
- [Portefeuille EUDI](https://ezparaph.com/presentation/eudi): identité vérifiée par portefeuille européen, ce qui fonctionne et ce qui est à l'étude.
- [Associations](https://ezparaph.com/presentation/associations): usage pour associations et fondations.
- [Démonstrations](https://ezparaph.com/presentation/demonstrations): quatre vidéos courtes.
- [Contrôler un dossier de preuve](https://ezparaph.com/verifier): outil gratuit, dans le navigateur : empreinte SHA-256 d'un fichier, cohérence d'un conteneur ASiC-E (chaque pièce contre son manifeste, rien d'ajouté ni de retiré) et intégrité mathématique des signatures PAdES et CAdES, puis marche à suivre avec le validateur européen DSS. L'outil ne juge ni la confiance dans les certificats, ni leur révocation, ni leur qualification.

## Circuits, délégations, traitement par lot

- Circuits conditionnels : une étape peut dépendre de la valeur du montant, du type d'acte, du service de l'émetteur, de l'urgence ou d'un champ de métadonnées du type d'acte (opérateurs : supérieur, inférieur, égal, différent, appartient à une liste). Condition non remplie : l'étape est sautée.
- Circuits parallèles : des étapes d'un même groupe sont sollicitées en même temps, le circuit avance quand le groupe est traité. Circuit libre (à la volée) possible. Éditeur visuel sans code, export BPMN 2.0 et import/export des modèles de circuits en JSON pour les mutualiser entre collectivités.
- Pilotage des délais : tableaux de bord statistiques mesurant la durée moyenne de traitement par circuit et par étape afin de repérer les goulots d'étranglement (édition communauté).
- Délégations : un agent délègue visas et signatures à un collègue de son service pour une période (hors service : habilitation « superdélégataire »). Chaque acte fait par délégation porte « pour X, par délégation » au journal d'audit et au dossier de preuve. L'arrêté de délégation associé (visé par un administrateur, dates de validité, plafond financier et types d'actes contrôlés lors de la signature) est figé dans le dossier de preuve (`10_delegations/`) avec un vérificateur autonome (ou son empreinte seule).
- Visa et signature par lot : depuis le tableau de bord, sélection de plusieurs dossiers, un seul code à usage unique pour toute la signature. Les dossiers qui exigent un examen individuel (circuit libre, clé d'accès pour le certificat personnel, code propre à l'étape) sont exclus avec leur motif. Chaque dossier est journalisé. Non disponible pour les signataires extérieurs.
- Apparence de la signature : paraphe visuel automatique (initiales) au bas de chaque page, tampon visuel (« Vu et validé », « Bon pour accord », « Refusé ») placé sur n'importe quelle page du PDF et cartouche de signature finale configurable par circuit (identités, fonctions, dates, QR code de vérification).
- Administration déléguée : une installation peut regrouper plusieurs structures, chacune avec son administrateur délégué cloisonné (pro).

## Signature et niveaux eIDAS

- Le niveau obtenu dépend du certificat et de l'endroit où sa clé est conservée, pas du logiciel seul.
- Sans certificat configuré : PDF signé en PAdES avec un certificat auto-signé généré par l'instance pour le dernier signataire. Signature avancée avec un second facteur à l'étape de signature (code à usage unique par mail ou SMS, ou clé d'accès WebAuthn) ; simple sans.
- Certificat personnel (PKCS#12) : signature avancée, clé logicielle, protégeable par une clé d'accès WebAuthn.
- Carte ou clé de signature (agent Fortify sur le poste, la clé ne quitte pas la carte) : qualifiée si le certificat est qualifié, avancée sinon.
- Cachet de l'organisation (certificat d'établissement, HSM PKCS#11 ou fichier) : cachet qualifié si le certificat et son dispositif le sont, avancé sinon. En droit administratif français (article L. 212-1 du CRPA et avis du Conseil d'État n° 489189 du 5 mars 2024), une décision administrative requiert l'identification nominative et la signature personnelle de son auteur : l'étape « Cachet automatique » (pro) vient sceller le document à la clôture du circuit en complément de la signature de l'élu ou du délégataire.
- Signature à distance chez un prestataire de confiance qualifié : ETSI TS 119 432 V1.3.1, API Cloud Signature Consortium CSC v2.2 ; niveau du certificat du prestataire, jusqu'à qualifié.
- Signataires extérieurs sans compte : portail invité (code par courriel ou SMS), leur propre certificat (signature contrôlée par le validateur DSS), ou FranceConnect (identification de niveau eIDAS faible, pas une signature qualifiée).

## Normes et formats

- Signature des PDF : PAdES, ETSI EN 319 142-1, profils B-B, B-T, B-LT, B-LTA (B-LTA par défaut dès qu'une autorité d'horodatage est raccordée).
- Dossier de preuve : ASiC-E, ETSI TS 102 918 / EN 319 162. Contenu : PDF signé, jeton d'horodatage, journal d'audit chaîné, chaîne de certificats, bordereau et arrêtés de délégation figés (`10_delegations/`). Notice, rapport lisible et rapport DSS dans le dossier pour l'expert.
- Conservation : PDF/A-2b (ISO 19005-2), vérifié par veraPDF, annoncé PDF/A seulement si veraPDF le confirme.
- Horodatage : RFC 3161, ETSI EN 319 421 / 422, toute autorité qualifiée ou non.
- Validation : validateur DSS de la Commission européenne et listes de confiance, pour les signatures reçues et les documents repris.
- Ancrage : OpenTimestamps (Bitcoin), quotidien, arbre de Merkle. Horodatage EBSI (API Timestamp v4) implémenté selon la spécification ; le premier dépôt réel attend un établissement enrôlé.
- Archivage : versement SEDA 2.1, 2.2 et 2.3 (chaque version validée contre le schéma officiel), Vitam, SAE générique (modules pro). La conformité NF Z42-013 relève du système d'archivage.

## Intégration et API

- Dépôt de documents : API REST, clés d'API cloisonnées par permission, liste d'adresses autorisées, plafond de débit.
- Suivi : webhooks signés (HMAC SHA-256, renvois pendant 32 h), lecture de l'état, du PDF signé, du dossier de preuve et du dossier pour l'expert (option sans appel DSS, plafond de débit dédié) ; provisionnement des agents depuis le SIRH, statistiques, administration par API, gestion des abonnements webhooks par API (pro). L'écran d'administration des webhooks est communautaire.
- Télétransmission : Pastell (Libriciel), API v2, type de dossier ls-actes : remise de l'acte signé, des annexes et des métadonnées à la clôture, suivi de l'accusé de réception (pro). Livré ; recette sur une instance Pastell en cours.
- Démarches en ligne : raccordement direct à Publik et Colibris.
- Dépôt par courriel : boîte IMAP dédiée relevée par EZparaph, brouillon à confirmer par l'agent avant le démarrage du circuit (messagerie existante conservée ; mot de passe d'application, XOAUTH2 pas encore pris en charge).
- Gestion du courrier (GEC) : aucun connecteur livré ; interconnexion sur mesure via l'API.
- Gestion documentaire : CMIS, Nextcloud, partage réseau. Édition en ligne : Collabora Online (WOPI), chez vous.
- Supervision : journal d'audit exporté en temps réel vers un SIEM (Syslog, RFC 5424) ; métriques Grafana et DigDash (pro).
- Reprise : i-Parapheur (SOAP v3/v4, REST v5), SEDA 2.1 à 2.3, archive ZIP inventoriée ; essai à blanc et annulation. Connecteur i-Parapheur 5 livré, recette sur une instance réelle en cours. Un connecteur esup-signature est à l'étude.

## Identité et sécurité

- Connexion : comptes locaux, LDAP ou Active Directory, SAML 2.0, OpenID Connect, CAS, ProConnect (une méthode active à la fois).
- Second facteur : code à usage unique (mail ou SMS) ou clé d'accès WebAuthn, exigible à chaque étape de signature ; la méthode utilisée est inscrite au dossier de preuve.
- Portefeuille européen d'identité (EUDI, eIDAS 2), version pro : savoir qui signe sans service d'authentification intermédiaire (détail : https://ezparaph.com/presentation/eudi). Livré, pour les agents (connexion et étape de signature) : demande de présentation OpenID4VP (QR code, lien openid4vp://, requête DCQL), vérification cryptographique des attestations SD-JWT VC et mdoc par le serveur de l'exploitant (chaîne de certificats de l'émetteur jusqu'à une ancre de confiance fournie par l'exploitant, signature, éléments divulgués, preuve de possession de la clé, anti-rejeu ; rejet à la moindre anomalie), identité de vérificateur côté EZparaph, mention au dossier de preuve. Une présentation identifie, elle ne vaut jamais signature qualifiée. À l'étude, sans date engagée : signataires extérieurs identifiés par portefeuille, réception de signatures qualifiées issues du portefeuille. À livrer : contrôle de révocation, alimentation automatique des ancres depuis les listes de confiance européennes, certificat d'accès délivré par l'État pour l'enregistrement comme vérificateur (mise à disposition du portefeuille attendue d'ici le 24/12/2026) ; sans ce certificat, l'usage reste limité aux essais. En secteur public, FranceConnect et ProConnect sont la voie à privilégier.
- Journal d'audit chaîné : chaque entrée est liée à la précédente.

## Licence, offre, exploitation

- Licence : AGPL v3. Version communauté libre : circuits (import/export JSON et BPMN 2.0), signature (paraphe de chaque page et cartouche sur mesure), dossier de preuve, horodatage, ancrage, identité (fédérations, WebAuthn), journal d'audit, statistiques de délais, outils RGPD, édition en ligne, synthèse par IA (Albert DINUM, Mistral, Ollama local), dépôt par API.
- Version pro, sur souscription : PostgreSQL, MariaDB et SQL Server ; cachet électronique automatique à la clôture ; versement SEDA et Vitam ; intégration au SI (SIRH, gestion des webhooks par API, statistiques, administration par API, remise à Pastell) ; export SIEM ; Grafana et DigDash ; pré-contrôle par IA ; plusieurs structures dans une installation.
- Commande publique : souscription éligible aux marchés sans publicité ni mise en concurrence préalables sous le seuil de 60 000 € HT en vigueur depuis le 1er avril 2026 (article R. 2122-8 du code de la commande publique, apprécié sur la durée totale du besoin).
- Auto-hébergement : aucun bridage technique ; un module pro utilisé sans souscription affiche un bandeau d'information dans l'administration, sans bloquer le service.
- Déploiement : conteneurs Docker (Docker Compose), HTTPS automatique par Caddy ; installation sur un serveur Linux avec Docker et un nom de domaine en moins d'une demi-journée, avec authentification locale.
- Bases : SQLite ; PostgreSQL, MariaDB, SQL Server (pro). Langues : français, anglais, allemand.
- Accessibilité : contrôle axe-core (WCAG 2.1 A/AA) sans défaut sur les pages contrôlées ; ce n'est pas un audit RGAA, et la mention légale affiche « non conforme » tant que l'organisme déployant n'a pas fait réaliser son audit.

## Contact

- Courriel : contact@ezparaph.com (devis, question technique, démonstration).
- WhatsApp (messages écrits uniquement) : https://wa.me/ezparaph.contact (@ezparaph.contact).