Fiche technique : normes et niveaux de signature

Niveaux de signature eIDAS selon l'architecture

Le règlement européen eIDAS distingue la signature simple, avancée et qualifiée. Le niveau obtenu ne dépend pas du logiciel seul, mais du certificat utilisé et de l'endroit où sa clé est conservée. EZparaph prend en charge ces trois niveaux selon les dispositifs cryptographiques raccordés :

Configuration	Ce que fait EZparaph	Prérequis	Niveau obtenu
Sans certificat configuré	Chaque visa et chaque signature est tracé dans le journal d'audit, dont chaque entrée est liée à la précédente. Le PDF final est signé en PAdES avec un certificat auto-signé, généré par l'instance pour le dernier signataire du circuit.	Un second facteur sur l'étape de signature (code à usage unique envoyé par mail ou par SMS, ou clé d'accès WebAuthn (smartphone, ordinateur ou clé de sécurité)), qui identifie le signataire.	Signature avancée avec le second facteur ; simple sans. Un certificat auto-signé n'a aucun tiers pour garantir l'identité de son titulaire.
Certificat personnel	Le PDF final est signé avec le certificat personnel (fichier PKCS#12) du dernier signataire du circuit. Il peut être protégé par une clé d'accès WebAuthn (smartphone, ordinateur ou clé de sécurité) : le signataire la présente au moment de signer et seule elle déverrouille le certificat. Si le cachet serveur de l'organisation est activé, il prévaut pour le scellement final du document.	Un certificat délivré à l'agent par une autorité de certification, importé dans son profil.	Signature avancée (clé logicielle, hors dispositif qualifié)
Carte ou clé de signature	La signature est calculée par la carte de l'agent, sur son poste. La clé ne quitte jamais la carte. EZparaph contrôle que le certificat est émis au nom de la personne connectée : son adresse électronique, ou à défaut son nom ou son matricule.	L'agent Fortify installé sur le poste, avec un lecteur de carte, une clé USB ou le magasin de certificats de Windows.	Signature qualifiée si le certificat de la carte est qualifié (délivré par un prestataire de la liste de confiance européenne, sur dispositif qualifié) ; avancée sinon
Cachet de l'organisation	Le PDF final est scellé avec le certificat de l'établissement, conservé dans un module matériel (HSM, PKCS#11) ou dans un fichier.	Un certificat de cachet délivré à l'organisation ; un HSM pour une conservation matérielle.	Cachet qualifié si le certificat de cachet est qualifié et conservé dans un dispositif qualifié ; avancé sinon
Signature à distance	La signature ou le cachet du PDF final est calculé chez un prestataire de services de confiance qualifié (PSCo), par l'interface normalisée ETSI TS 119 432 V1.3.1 (2026-03), reprise de l'API du Cloud Signature Consortium (CSC v2.2). Depuis l'écran d'administration d'EZparaph, on choisit le prestataire parmi des profils préconfigurés ou on saisit ses adresses, puis EZparaph liste les certificats du compte et indique pour chacun s'il s'agit d'un cachet ou d'une signature, s'il est qualifié et conservé dans un dispositif qualifié, son titulaire (avec SIREN ou SIRET) et sa date d'expiration.	Un contrat avec un prestataire compatible ETSI TS 119 432 (API CSC v2.2).	Identique au niveau du certificat délivré par le PSCo (jusqu'au niveau qualifié).

Pour les signataires extérieurs

Mode	Ce que fait EZparaph	Niveau
Portail invité	Le signataire s'identifie par un code reçu par courriel ou par SMS, puis signe en ligne. Le document est scellé avec le cachet de l'organisation s'il est configuré ; sinon, avec un certificat auto-signé généré à cet instant, au nom du signataire.	Celui du cachet de l'organisation s'il est configuré (voir ci-dessus) ; sinon avancée, un certificat auto-signé n'ayant aucun tiers pour garantir l'identité de son titulaire
Son propre certificat	Il télécharge le document, le signe chez lui et le dépose. EZparaph vérifie la signature ajoutée par le validateur européen DSS avant de poursuivre le circuit.	Celui de son certificat, jusqu'à qualifié
FranceConnect	L'identité du signataire est vérifiée par FranceConnect et inscrite au dossier de preuve.	Identification de niveau eIDAS faible : ce n'est pas une signature qualifiée. Mise en production soumise à habilitation (DataPass)

Que vaut chaque niveau de signature devant un juge ?

Simple et avancée. Une signature électronique ne peut pas être écartée au seul motif qu'elle est électronique (article 25 du règlement eIDAS). Elle est recevable, mais c'est à celui qui s'en prévaut d'en établir la fiabilité : c'est à cela que servent le journal d'audit et le dossier de preuve ASiC-E.

Qualifiée. Elle est présumée fiable (article 1367 du Code civil et décret n° 2017-1416). C'est à celui qui la conteste de prouver qu'elle ne l'est pas : la charge de la preuve est inversée.

Cachet. Il répond à un régime juridique distinct, détaillé ci-après.

Signature ou cachet ?

Bien que tous deux reposent sur des certificats X.509 et génèrent des signatures PAdES, leur portée juridique diffère. La signature engage une personne ; le cachet atteste qu'un document vient d'une organisation et n'a pas été modifié.

	Signature électronique	Cachet électronique (e-seal)
Qui l'appose	Une personne physique : le maire, la directrice générale des services, un agent.	Une personne morale : la commune, le département, l'université.
Ce qu'elle établit	L'engagement de cette personne sur le contenu du document.	L'origine du document et son intégrité.
Certificat	Au nom de la personne, souvent sur sa carte ou sa clé.	Au nom de l'organisation, souvent dans un module matériel (HSM) sur le serveur.
Version qualifiée	Même effet juridique qu'une signature manuscrite et présumée fiable jusqu'à preuve du contraire.	Présumée garantir l'intégrité du document et l'exactitude de son origine. Elle ne remplace pas la signature de la personne compétente.
Textes	Règlement eIDAS, article 3 (définitions), articles 25 et 26 ; Code civil, articles 1366 et 1367 ; décret n° 2017-1416.	Règlement eIDAS, article 3 (définitions), articles 35 et 36.

Cas pratique : un arrêté municipal requiert la signature du maire ou de son délégataire. Un simple cachet électronique de la commune garantit l'origine et l'intégrité du fichier, mais ne prouve pas le consentement personnel de l'élu. Dans EZparaph, les deux peuvent se compléter : l'élu signe à son étape du circuit, avec sa carte par exemple, puis le document final reçoit le cachet de l'organisation si un certificat d'établissement est configuré.

Ce cachet se règle dans le circuit comme une étape « Cachet automatique », sans intervenant humain : il est posé à la clôture, avec le certificat de l'établissement (HSM ou service de signature à distance CSC) et le document n'est terminé qu'une fois le cachet posé. Si la pose échoue, l'échec reste visible sur l'étape et l'administrateur peut la relancer.

Le règlement eIDAS a été modifié en 2024 (règlement (UE) 2024/1183, dit « eIDAS 2 ») ; ces articles restent en vigueur dans leur numérotation.

Formats et normes

Domaine	Norme ou format	Implémentation dans EZparaph
Signature des PDF	PAdES, ETSI EN 319 142-1 : profils B-B, B-T, B-LT, B-LTA	B-LTA par défaut dès qu'une autorité d'horodatage est raccordée. Les signatures successives s'ajoutent sans invalider les précédentes.
Dossier de preuve	ASiC-E, ETSI TS 102 918 / EN 319 162	Produit à la clôture du circuit : PDF signé, jeton d'horodatage, journal d'audit, chaîne de certificats, bordereau.
Conservation	PDF/A-2b, ISO 19005-2 ; vérification veraPDF	Le document assemblé est converti en PDF/A-2b avant la signature finale (Ghostscript), puis vérifié par veraPDF. Il n'est annoncé PDF/A (preuve, page du document, versement) que si veraPDF le confirme ; sinon il reste un PDF ordinaire, présenté comme tel.
Horodatage	RFC 3161, ETSI EN 319 421 / 422	Raccordement à toute autorité d'horodatage, qualifiée ou non.
Signature à distance	ETSI TS 119 432 V1.3.1 (2026-03) ; API CSC v2.2 (Cloud Signature Consortium)	Méthodes `info`, `credentials/list`, `credentials/info` et `signatures/signHash`, jeton OAuth 2.0. Signature ou cachet du PDF final chez un prestataire de services de confiance qualifié.
Validation	Validateur DSS de la Commission européenne, listes de confiance	Vérifie les signatures reçues de l'extérieur et les documents repris d'un autre parapheur.
Ancrage	OpenTimestamps (Bitcoin) ; horodatage EBSI (API Timestamp v4)	Ancrage quotidien par arbre de Merkle. EBSI : implémenté selon la spécification ; le premier dépôt réel attend un établissement enrôlé (dossier EBSI).
Archivage	SEDA 2.1, 2.2 et 2.3 ; Vitam ; SAE générique	Versement des dossiers clos vers votre système d'archivage (pro), dans la version SEDA qu'il accepte. En 2.3, signatures et horodatages décrits dans le bloc `SigningInformation`. Chaque version est validée contre le schéma officiel. La conformité NF Z42-013 relève du système d'archivage.
Télétransmission	Pastell (Libriciel), API v2 ; type de dossier `ls-actes`	À la clôture, remise de l'acte signé, de ses annexes et de ses métadonnées à Pastell, qui télétransmet (ACTES), dépose en GED et verse au SAE. Mise en file sans appel réseau dans la requête, renvois à délais croissants, reprise sans doublon, suivi de l'accusé de réception (pro). Livré ; recette sur une instance Pastell en cours.
Reprise de l'existant	i-Parapheur (SOAP v3/v4, REST v5), SEDA 2.1 / 2.2 / 2.3, archive ZIP	Import depuis un autre parapheur, avec essai à blanc et annulation. Connecteur i-Parapheur 5 livré ; recette sur une instance réelle en cours. Détails

Identité et authentification

Connexion des agents

Comptes locaux, annuaire LDAP ou Active Directory, SAML 2.0, OpenID Connect, CAS, ProConnect. Une seule méthode active à la fois, choisie dans l'écran d'administration.

Second facteur (2FA)

Code à usage unique envoyé par mail ou par SMS, ou clé d'accès WebAuthn (smartphone, ordinateur ou clé de sécurité), que l'on peut exiger à chaque étape de signature. La méthode utilisée est inscrite au dossier de preuve.

Signataires extérieurs

Code par courriel ou par SMS, certificat personnel, ou FranceConnect. Aucun compte n'est créé pour eux.

Intégration au système d'information

Besoin	Ce qu'EZparaph propose
Dépôt de documents	API REST, clés d'API cloisonnées par permission, liste d'adresses autorisées, plafond de débit.
Suivi et notifications	Webhooks signés (HMAC SHA-256, renvois pendant 32 h), lecture de l'état, du PDF signé et du dossier de preuve, provisionnement des agents depuis le SIRH, statistiques, administration par API (pro). Aucun connecteur de gestion du courrier n'est livré : l'interconnexion avec une GEC s'effectue sur mesure via cette API.
Démarches en ligne	Raccordement direct à Publik et Colibris.
Édition des documents	Collabora Online (protocole WOPI), hébergé chez vous : correction et conversion des fichiers bureautiques en PDF.
Pièces justificatives	Pièces attendues par type d'acte (acte d'engagement, CCAP…), bloquantes ou en simple alerte. Le déposant indique la pièce que fournit chaque annexe ; sans pièce bloquante, le dépôt est refusé, y compris par l'API. L'état des pièces figure sur la page du document.
Notifications	Courriel (immédiat ou résumé quotidien), notification sur téléphone, SMS par votre passerelle (à chaque action ou pour les urgences seulement), destinataires en copie pour information prévenus du dépôt et de la signature.
Métadonnées des actes	Champs définis par type d'acte (n° de marché, montant, date de séance…), saisis lors du dépôt des documents ou transmis par l'API. Ils orientent le circuit, figurent dans le dossier de preuve et dans le versement SEDA et s'exportent en CSV.
Gestion documentaire	Connecteurs CMIS, Nextcloud et partage réseau.
Sécurité et supervision	Journal d'audit exporté en temps réel vers un SIEM (Syslog, RFC 5424) ; métriques pour Grafana et DigDash (pro).

Ce que ça change pour votre SI →

Exploitation

Déploiement	Conteneurs Docker (Docker Compose), HTTPS automatique par Caddy ; installation derrière Apache documentée.
Hébergement	Chez vous ou chez l'hébergeur de votre choix. Le validateur DSS et Collabora Online s'installent eux aussi dans vos conteneurs.
Bases de données	SQLite ; PostgreSQL, MariaDB et Microsoft SQL Server (pro).
Plusieurs structures	Une installation, un administrateur délégué par structure (pro).
Langues	Français, anglais, allemand.
Accessibilité	Lien d'évitement en tête de page, déclaration d'accessibilité publique (`/accessibilite`) sur le modèle de la DINUM et contrôle automatique axe-core (WCAG 2.1 A/AA) sans défaut sur les pages contrôlées. Ce contrôle ne remplace pas un audit RGAA : en l'absence d'audit RGAA formel réalisé par l'organisme déployant l'instance, la mention légale affiche par défaut « non conforme ».
Licence	AGPL v3. Les modules pro relèvent d'une souscription, sans bridage d'une installation chez vous.

Une question technique ?

Un point de votre cahier des charges n'apparaît pas ici, ou vous voulez vérifier une configuration : écrivez-nous.

contact@ezparaph.com WhatsApp @ezparaph.contact

Messages écrits uniquement, pas d'appels. Si le lien ne s'ouvre pas, cherchez @ezparaph.contact dans WhatsApp.

Normes, formats et niveaux de signature.