Qu'est-ce qu'un certificat de signature électronique et pourquoi est-il indispensable ?

Qu'est-ce qu'un certificat de signature électronique ?

Un certificat de signature électronique est un document numérique qui atteste de l'identité d'un signataire et lui permet d'apposer une signature électronique ayant valeur juridique sur des documents dématérialisés. Il constitue la véritable carte d'identité numérique du signataire.

Ce certificat est délivré par une Autorité de Certification (AC), également appelée tiers de confiance, qui s'engage quant à l'identité du titulaire après avoir procédé à des vérifications rigoureuses : extrait Kbis, fiche INSEE, identité du dirigeant, contrôle de la pièce d'identité, voire face-à-face physique selon le niveau de sécurité requis.

Le certificat de signature électronique remplit trois fonctions fondamentales, qui correspondent aux exigences légales de toute signature :

• Authentification : garantir que le signataire est bien celui qu'il prétend être
• Intégrité : garantir que le document n'a pas été modifié après sa signature
• Non-répudiation : rendre impossible pour le signataire de contester avoir signé le document

Il est important de distinguer signature électronique et cachet électronique d'entreprise. La signature électronique est personnelle : elle engage une personne physique (un dirigeant qui signe un contrat, un responsable RH qui valide un document). 

Le cachet électronique engage l'entreprise en tant que personne morale : il s'applique automatiquement sur des documents émis au nom de la société (factures, attestations) sans nécessiter l'intervention d'un signataire identifié.

Comment fonctionne-t-il ?

Le certificat de signature électronique repose sur un système de cryptographie asymétrique, dit "à clé publique et clé privée". Ce mécanisme, qui peut sembler technique, est en réalité très intuitif dans ses effets :

• La clé privée appartient exclusivement au signataire. Elle ne doit jamais être partagée. C'est elle qui génère la signature au moment où le signataire signe le document
• La clé publique est accessible à tous. Elle permet à n'importe qui de vérifier que la signature a bien été réalisée par le détenteur de la clé privée correspondante

Concrètement, lorsqu'un document est signé électroniquement, un "condensé" cryptographique unique du document (appelé empreinte ou hash) est généré et chiffré avec la clé privée du signataire. Toute modification ultérieure du document, même d'un seul caractère, change cette empreinte et rend la signature invalide. C'est ce mécanisme qui garantit l'intégrité du document signé.

Le certificat est généralement stocké sur un support sécurisé : clé USB cryptographique, carte à puce, ou sur le cloud dans certains cas. Des solutions mobiles permettent désormais de signer depuis un smartphone via un lecteur Bluetooth, combinant sécurité et mobilité.

Les 4 niveaux de signature électronique selon eIDAS

Le règlement européen eIDAS (electronic IDentification, Authentication and Trust Services), en vigueur depuis le 1er juillet 2016, définit un cadre harmonisé pour toute l'Union européenne. Il distingue 4 niveaux de signature électronique, selon le degré de fiabilité de l'identification du signataire :

Niveau 1 : la signature électronique simple. C'est le niveau le plus basique : saisie d'un code SMS, signature manuscrite sur écran tactile, image d'une signature scannée. Elle apporte peu de garanties sur l'identité du signataire et a une valeur juridique limitée. Elle convient pour les processus internes à faible enjeu : accusés de réception, autorisations simples, commandes courantes.

Niveau 2 : la signature électronique avancée. C'est le niveau le plus utilisé en entreprise. Elle repose sur une clé privée accessible uniquement au signataire et permet d'identifier de façon fiable son auteur, de lier la signature au document et d'en garantir l'intégrité. Elle est utilisée pour les contrats de travail, factures dématérialisées, compromis de vente immobiliers, contrats d'assurance.

Niveau 3 : la signature avancée reposant sur un certificat qualifié. Elle ajoute à la signature avancée une vérification préalable rigoureuse de l'identité du signataire par un prestataire de services de confiance qualifié (face-à-face physique ou service de vérification d'identité à distance certifié). Ce niveau est généralement requis pour les marchés publics depuis l'arrêté du 22 mars 2019.

Niveau 4 : la signature électronique qualifiée. C'est le niveau le plus robuste, juridiquement équivalent à la signature manuscrite selon le Code civil. En plus des exigences du niveau 3, elle nécessite un dispositif qualifié de création de signature (clé USB ou carte à puce conforme aux exigences eIDAS). Elle est réservée aux actes à très forte valeur juridique : actes notariés, procédures judiciaires, certains actes administratifs.

Valeur juridique et force probante

La valeur juridique de la signature électronique est pleinement reconnue en droit français. L'article 1366 du Code civil dispose que "l'écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité".

Selon l'article 1367 du même code, un juge ne peut refuser une signature au seul motif qu'elle est électronique. La force probante varie cependant selon le niveau :

• La signature qualifiée (niveau 4) bénéficie d'une présomption de fiabilité : c'est à celui qui conteste l'acte d'apporter la preuve que la signature n'est pas valide
• Les signatures de niveaux inférieurs ont valeur de commencement de preuve par écrit, mais peuvent être contestées plus facilement en cas de litige

Pour les entreprises, les niveaux 3 et 4 sont fortement recommandés pour tout document engageant juridiquement. Un prestataire qualifié par l'ANSSI garantit la conformité au règlement eIDAS et au RGPD. La CCIAMP propose des services de certification matérielle de signature et légalisation de documents, complémentaires à la signature électronique pour les actes nécessitant une double authentification.

Les usages concrets en entreprise

Selon le Baromètre France Num 2024, 36 % des TPE/PME utilisent déjà une solution de signature électronique. 

Les documents les plus couramment signés électroniquement en entreprise :

• Contrats de travail et avenants
• Factures dématérialisées
• Bons de commande et devis
• Compromis de vente immobiliers
• Contrats commerciaux et partenariats
• Documents administratifs (déclarations sociales via Net Entreprises, dépôt sur Chorus Pro)
• Réponses aux appels d'offres de marchés publics
• Système d'Immatriculation des Véhicules (SIV)

La signature électronique s'intègre naturellement dans les démarches de transformation numérique des entreprises. Elle élimine les coûts d'impression, d'envoi postal et de déplacement, accélère les processus de validation et améliore l'expérience client et collaborateur. 

Pour aller plus loin dans cette démarche, l'accompagnement à la transformation numérique des entreprises proposé par la CCIAMP couvre l'ensemble des outils et pratiques liés à la dématérialisation. La signature électronique est également un prérequis dans la transition vers la facturation électronique obligatoire : comprendre les enjeux de la facturation électronique permet d'anticiper cette évolution réglementaire.

Marchés publics : les exigences spécifiques

La signature électronique peut être exigée pour répondre aux appels d’offres publics, selon les exigences de l’acheteur. Lorsqu’elle est requise, l’absence de signature entraîne le rejet du dossier. 

Sans elle, le dossier est automatiquement rejeté par les plateformes de dématérialisation. L'arrêté du 22 mars 2019 relatif à la signature électronique des contrats de la commande publique fixe les règles applicables.

Lorsqu’une signature est exigée dans le cadre des marchés publics, elle doit généralement reposer sur un certificat qualifié (signature avancée avec certificat qualifié ou signature qualifiée) :

• Signature avancée reposant sur un certificat qualifié (niveau 3)
• Signature qualifiée (niveau 4)

Cette obligation couvre l'ensemble du cycle de la commande publique, de l'appel d'offres à la facture finale déposée sur Chorus Pro. Les entreprises qui ne disposent pas encore de certificat qualifié et souhaitent répondre à des marchés publics doivent en faire l'acquisition auprès d'un prestataire qualifié par l'ANSSI avant de soumettre leur dossier.

Les formalités administratives liées à la vie de l'entreprise (immatriculation, modification, cessation) peuvent également nécessiter une signature qualifiée sur le guichet unique de l'État. Plus d'informations sur les formalités d'immatriculation et démarches administratives en ligne.

Comment obtenir un certificat de signature électronique ?

Les certificats de signature électronique qualifiés sont délivrés par des prestataires de services de confiance qualifiés, inscrits sur la liste de confiance européenne (Trusted List) publiée par la Commission européenne. Ces prestataires doivent respecter les exigences du règlement eIDAS pour figurer dans cette liste officielle.

La procédure d'obtention varie selon le niveau de certification :

• Pour un certificat de niveau 2 : inscription en ligne, vérification d'identité à distance (téléchargement d'une pièce d'identité sur la plateforme du prestataire)
• Pour un certificat de niveau 3 ou 4 : vérification d'identité renforcée, soit en face-à-face physique avec un agent qualifié (agent de La Poste, guichet CCI), soit via un service de vérification d'identité à distance certifié

Parmi les prestataires qualifiés référencés par l'ANSSI : CertEurope, ChamberSign France, Certigna, Certinomis, Docusign France, Goodflag (ex Lex Persona), Yousign, Vialink. La CCIAMP propose la solution d'obtenir un certificat de signature électronique sécurisée via ChamberSign, développée spécifiquement pour les entreprises et les collectivités et certifiée par l'ANSSI.

Archivage des documents signés électroniquement

La signature électronique ne dispense pas d'une politique d'archivage rigoureuse. Les documents signés doivent être conservés dans des conditions qui garantissent leur intégrité sur toute la durée légale de conservation, qui varie selon la nature du document.

Points de vigilance :

• Conserver le "fichier de preuve" associé à chaque signature : certificats des parties, horodatage, journal des événements de signature
• Ne pas modifier le format du document signé (conversion PDF vers un autre format, par exemple) : toute modification "casse" la signature et lui fait perdre sa valeur juridique
• La durée de conservation par défaut de 10 ans proposée par la plupart des prestataires ne correspond pas toujours aux obligations réelles. Vérifier les délais légaux propres à chaque type de document
• Pour les documents à longue durée de conservation, privilégier un service qualifié de conservation des signatures électroniques qualifiées

Pour les entreprises qui montent en puissance sur la dématérialisation et cherchent à optimiser leur financement de ces investissements numériques, un panorama des aides et financements disponibles pour les entreprises permet d'identifier les dispositifs mobilisables.

Questions fréquentes

Quelle est la différence entre signature numérique et signature électronique ?

Ces deux termes sont souvent utilisés comme synonymes, mais il existe une nuance. La signature numérique désigne le mécanisme cryptographique technique sous-jacent (clé publique/clé privée). La signature électronique est le terme juridique consacré par le règlement eIDAS et le Code civil pour désigner l'ensemble du dispositif permettant de signer un document de façon légalement reconnue. En pratique, une signature électronique repose toujours sur un mécanisme de signature numérique.

Un certificat de signature électronique peut-il être utilisé pour plusieurs fonctions dans l'entreprise ?

Oui. Le certificat qualifié est lié à la personne physique qui le détient, et non à une fonction spécifique. Un même certificat peut être utilisé pour signer des documents au nom de différentes entités ou dans le cadre de différentes fonctions, sauf si l'autorité de certification ou l'entreprise a expressément limité son utilisation à un contexte particulier dans les conditions générales d'utilisation.

Combien coûte un certificat de signature électronique qualifié ?

Le coût varie selon le prestataire et le niveau de certification. Un certificat de niveau 2 (avancé) est généralement accessible à partir de quelques dizaines d'euros par an. Un certificat de niveau 3 ou 4 (qualifié) coûte entre 80 et 200 euros par an selon le prestataire, auxquels s'ajoutent parfois des frais d'installation ou de support matériel. Les solutions cloud ou mobiles tendent à réduire ces coûts tout en maintenant un niveau de sécurité élevé.

La signature électronique est-elle reconnue dans toute l'Union européenne ?

Oui. Le règlement eIDAS, standard européen depuis le 1er juillet 2016, harmonise les règles de la signature électronique dans l'ensemble des États membres. Un certificat qualifié délivré par un prestataire certifié en France ou dans un autre pays de l'UE est reconnu et a la même valeur juridique dans tous les États membres. La Commission européenne publie la liste officielle des prestataires de services de confiance qualifiés de chaque pays.