Les termes « signature électronique » et « signature numérique » sont souvent utilisés de façon interchangeable dans le langage courant, y compris par des professionnels qui utilisent ces technologies au quotidien. Pourtant, ils désignent des réalités technologiques et juridiques distinctes. Comprendre cette différence est essentiel pour choisir la solution adaptée à vos besoins et garantir la validité juridique de vos documents signés.
Chez Namirial (Signaturit – Universign en France), Prestataire de Services de Confiance Qualifié (QTSP) accrédité sous eIDAS, nous proposons les deux types de solutions et nous vous aidons à choisir celle qui correspond à votre cas d’usage.
Dans cet article, nous définissons chaque terme, expliquons leur relation, et clarifions comment le règlement eIDAS encadre ces différentes technologies.
Signature électronique : la définition juridique large
Selon le règlement eIDAS (UE) 910/2014, article 3(10), la signature électronique est définie comme : « des données sous forme électronique, qui sont jointes ou associées logiquement à d’autres données sous forme électronique et que le signataire utilise pour signer. »
Cette définition est intentionnellement large. Elle englobe une multitude de mécanismes très différents, du simple « j’accepte » coché dans un formulaire en ligne à une signature qualifiée avec certificat émis par un prestataire accrédité. Le règlement eIDAS établit ensuite trois niveaux de signature électronique, selon les garanties apportées :
Signature électronique simple (SES)
La SES est le niveau de base. Elle n’impose aucune exigence technique spécifique. Un nom tapé au bas d’un email, une image de signature scannée collée dans un PDF, ou un clic sur « J’accepte les conditions » : tous ces éléments sont des signatures électroniques simples. La valeur probatoire de la SES est faible car elle ne garantit ni l’identité du signataire ni l’intégrité du document.
Signature électronique avancée (SEA/AdES)
La SEA répond à des exigences précises définies à l’article 26 eIDAS :
- Elle doit être liée de façon univoque au signataire (identifiabilité),
- Elle doit permettre d’identifier le signataire,
- Elle doit avoir été créée à partir de données de création de signature que le signataire peut utiliser sous son contrôle exclusif,
- Elle doit être liée aux données signées de telle sorte que toute modification ultérieure soit détectable.
Les signatures OTP (code envoyé par SMS), les signatures biométriques et les signatures avec certificat satisfont ces exigences. La SEA a une valeur probatoire élevée.
Signature électronique qualifiée (SEQ)
La SEQ est le niveau le plus élevé. Elle doit être créée par un dispositif de création de signature qualifié (QSCD) et reposer sur un certificat qualifié émis par un QTSP accrédité. En vertu de l’article 25(2) eIDAS, la SEQ a un effet juridique équivalent à celui d’une signature manuscrite, avec reconnaissance automatique dans tous les États membres.
Signature numérique : la définition technique précise
La « signature numérique » (digital signature en anglais) est un concept technique, pas juridique. Elle désigne spécifiquement un mécanisme cryptographique basé sur la cryptographie asymétrique (PKI : Public Key Infrastructure).
Le fonctionnement d’une signature numérique :
1. Calcul du condensat (hash) : un algorithme de hachage (SHA-256, SHA-3, etc.) calcule une empreinte unique du document. Toute modification du document, même d’un seul caractère, produit un hash complètement différent.
2. Chiffrement asymétrique : le signataire utilise sa clé privée pour chiffrer ce hash. Ce chiffrement constitue la signature numérique proprement dite.
3. Vérification : le destinataire utilise la clé publique du signataire (disponible dans son certificat X.509) pour déchiffrer la signature et obtenir l’empreinte cryptographique originale (Hash). Il calcule ensuite lui-même le hash du document reçu. Si les deux hash correspondent, la signature est valide : le document n’a pas été modifié et seul le détenteur de la clé privée a pu créer cette signature.
Ce mécanisme garantit deux propriétés fondamentales : l’intégrité du document (toute modification est détectable) et l’authenticité du signataire (seul le détenteur de la clé privée peut créer cette signature).
Quelle est la relation entre les deux termes ?
La signature numérique est un mécanisme technique parmi d’autres pour implémenter une signature électronique. Autrement dit :
Toute signature numérique est une signature électronique (elle correspond au moins à la SEA eIDAS lorsqu’elle utilise un certificat).
Mais toutes les signatures électroniques ne sont pas numériques au sens technique. Une signature OTP (code SMS), par exemple, est une signature électronique avancée mais n’utilise pas de mécanisme de cryptographie asymétrique directement sur le document : elle repose sur l’authentification du numéro de téléphone.
Voici un tableau récapitulatif :
| Mécanisme | Type technique | Niveau eIDAS |
|---|---|---|
| Clic « J’accepte » | Aucun (comportemental) | Simple (SES) |
| Signature OTP (SMS) | Authentification + hash | Avancée (SEA) |
| Signature biométrique | Biométrie + hash | Avancée (SEA) |
| Signature avec certificat (clé privée/publique) | Numérique (PKI) | Avancée (SEA) ou Qualifiée (SEQ) |
Les formats de signature numérique normalisés
Pour garantir l’interopérabilité entre systèmes, les signatures numériques appliquées aux documents sont normalisées selon les formats définis par l’ETSI (European Telecommunications Standards Institute) :
PAdES (PDF Advanced Electronic Signatures) : signature numérique intégrée directement dans le fichier PDF. La signature est visible dans Adobe Acrobat Reader et les outils de visualisation PDF. C’est le format standard pour la signature de contrats, factures, et documents de tout type en format PDF.
XAdES (XML Advanced Electronic Signatures) : signature numérique pour documents XML. Utilisé dans l’échange de données structurées (facture électronique, documents administratifs, déclarations).
CAdES (CMS Advanced Electronic Signatures) : signature numérique pour tout type de fichier, qui génère un fichier séparé contenant la signature. Utilisé dans les échanges de fichiers binaires et dans certains contextes d’administration électronique.
ASiC (Associated Signature Containers) : conteneur de signature qui regroupe le document original et sa signature dans un fichier unique (format .asice ou .asics).
Ces formats peuvent inclure des variantes long terme (LT/LTA) qui incorporent dans le fichier toutes les informations nécessaires à la vérification de la signature à long terme : chaîne de certification complète, preuves de révocation, timestamp d’archivage permettant de vérifier la signature même des décennies après sa création.
Quand utiliser quel mécanisme ?
Signature OTP : idéale pour les clients externes, les processus mobile-first, et les documents de risque modéré où l’on veut minimiser la friction (contrats commerciaux, assurances, RH, immobilier). Rapide à mettre en œuvre, aucune infrastructure PKI requise pour le signataire.
Signature biométrique : idéale pour les signatures en présentiel sur tablette ou écran tactile. Remplace naturellement le stylo par le doigt ou le stylet, avec capture de données comportementales (pression, vitesse, trajectoire) chiffrées et intégrées au document.
Signature numérique avec certificat : idéale pour les professionnels qui disposent déjà d’un certificat, pour la signature massive de documents (un seul certificat, des milliers de documents), pour les échanges avec les administrations, et pour les documents à forte valeur juridique.
Signature qualifiée avec certificat : recommandée pour les actes à fort enjeu juridique : mandats, pouvoirs, résolutions d’assemblée, accords de règlement, documents notariés complémentaires.
Conclusion
La différence entre signature numérique et signature électronique n’est pas qu’une question de terminologie : elle reflète des choix techniques et juridiques qui ont des conséquences sur la valeur probatoire de vos documents.
La signature numérique (PKI) est le mécanisme technique le plus robuste, associé aux niveaux avancé et qualifié d’eIDAS. Mais une signature OTP ou biométrique qui n’est pas « numérique » au sens strict peut parfaitement répondre aux exigences légales de la grande majorité des contrats, avec l’avantage d’une adoption beaucoup plus facile par vos clients et partenaires.
Contactez Namirial pour analyser vos besoins et choisir la solution de signature adaptée à chaque type de document dans votre organisation.
