Qu'est-ce qu'une signature numérique et comment vérifier si un PDF est vraiment signé

Vous recevez un PDF avec l'en-tête « Signé numériquement ». Mais comment savoir si cette signature est réellement valide ? Et quelle est la différence entre un document portant une signature numérique et un autre avec l'image d'une signature manuscrite collée ? Ces questions reviennent chaque semaine dans les cabinets juridiques, comptables et les services RH — et la confusion a un coût : des documents sans valeur traités comme valides, et des documents valides rejetés faute de compréhension du mécanisme.

Ce guide explique, sans jargon inutile, comment fonctionne la signature numérique, comment vérifier la signature d'un PDF correctement, quels sont les standards acceptés, et que faire quand le résultat de la vérification est négatif.

La différence qui définit tout : signature numérique vs. image de signature

Avant toute vérification, il est essentiel de dissiper la confusion la plus répandue :

L'image de signature (aussi appelée signature numérisée ou scannée) est une photo ou une image de la signature manuscrite insérée comme élément graphique dans le PDF. Elle ressemble à une signature, mais techniquement c'est juste un rectangle de pixels — elle peut être copiée d'un document à un autre, n'est pas liée mathématiquement au contenu, et ne garantit rien sur l'intégrité ni l'authenticité.

La signature numérique est un mécanisme cryptographique : la signature est calculée à partir du contenu du document et de la clé privée du signataire, et est mathématiquement vérifiable par toute personne disposant de la clé publique correspondante. Elle prouve deux choses à la fois : que le signataire a effectivement signé (authenticité) et que le document n'a pas été modifié depuis (intégrité).

Comment fonctionne une signature numérique en interne

Chaque signataire dispose d'une paire de clés cryptographiques : une clé privée, qui reste sous la garde exclusive du titulaire, et une clé publique, qui peut être librement distribuée.

Lorsque quelqu'un signe numériquement un PDF, voici ce qui se passe :

1. Le logiciel calcule le hash SHA-256 du document (une séquence de 64 caractères représentant de façon unique ce contenu — ce qu'est un hash, expliqué en détail) ;
2. Ce hash est chiffré avec la clé privée du signataire — le résultat est la signature ;
3. La signature, accompagnée du certificat numérique du signataire (qui contient la clé publique et les données d'identité), est incorporée dans le fichier PDF.

Pour vérifier la signature, le vérificateur fait le chemin inverse :

1. Déchiffre la signature avec la clé publique du signataire ;
2. Obtient le hash original qui a été signé ;
3. Recalcule le hash du document actuel ;
4. Compare les deux hashes : s'ils correspondent, la signature est valide — le document n'a pas changé depuis la signature. S'ils diffèrent, le document a été modifié après la signature.

Certificats numériques : ICP-Brasil et gov.br

Une signature numérique ne prouve l'authenticité que si le certificat qui l'accompagne est digne de confiance. ICP-Brasil est l'Infrastructure à Clé Publique Brésilienne. Les certificats les plus courants :

• A1 (logiciel) : installé directement sur l'ordinateur, valable 1 an, protégé par mot de passe ;
• A3 (matériel) : stocké sur un token USB ou une carte à puce, valable jusqu'à 3 ans. La clé privée ne quitte jamais le dispositif physique ;
• e-CPF et e-CNPJ : les noms populaires des certificats de personne physique et morale en ICP-Brasil.

Signature gov.br : service de signature numérique du gouvernement fédéral brésilien, lié au compte gov.br. Trois niveaux de fiabilité (bronze, argent, or). Acceptée pour la plupart des actes avec les organismes publics.

DocuSign, ClickSign et plateformes similaires : plateformes de signature électronique qui peuvent opérer avec des certificats ICP-Brasil, la signature gov.br ou des mécanismes propriétaires à force probante moindre.

Comment vérifier si un PDF est signé numériquement — étape par étape

Dans Adobe Acrobat Reader (gratuit)

1. Ouvrez le PDF dans Adobe Acrobat Reader ;
2. Si le document porte une signature numérique, un panneau Signatures apparaîtra dans la barre latérale gauche ou une barre colorée en haut de l'écran ;
3. Cliquez pour voir les détails : nom du signataire, date et heure de la signature, autorité de certification, statut de validité ;
4. L'icône verte avec coche (✓) indique que la signature est mathématiquement valide et que le document n'a pas été altéré ; l'icône d'avertissement indique un problème.

Sur le Validateur ITI (référence officielle brésilienne)

L'ITI met à disposition le Validateur de Signatures sur validar.iti.gov.br :

1. Accédez au portail et uploadez le fichier ;
2. Le rapport indique : qui a signé, quand, quelle autorité a émis le certificat, si le certificat était valide à la date de signature, et si le document n'a pas été modifié après.

Pour vérifier l'intégrité du fichier sans dépendre des signatures, le vérificateur d'intégrité de RoseLab calcule le hash SHA-256 localement, sans envoyer le fichier à aucun serveur.

Ce que signifient les alertes de signature

« Document modifié après la signature » C'est l'alerte la plus grave. Elle peut indiquer une manipulation, mais aussi résulter d'une compression de PDF, d'un découpage en parties, d'une suppression de pages ou même d'un ré-export inadvertant. Pour identifier ce qui a changé par rapport à la version originalement signée, ouvrez les deux versions dans le comparateur de PDF avec le surlignage automatique des différences activé.

« Certificat inconnu » ou « Certificat non approuvé » Le lecteur PDF n'a pas pu vérifier la chaîne de certification. Solution : installez les certificats racine ICP-Brasil disponibles sur le site de l'ITI et revérifiez.

« Certificat révoqué » Si révoqué avant la signature, la signature n'est pas valide. Si révoqué après, la signature peut rester valide — ce qui compte, c'est le statut à la date de signature. Plus de détails dans le guide de cryptographie des documents.

« Certificat expiré » Ce qui compte, c'est si le certificat était valide au moment de la signature, pas à la date de vérification.

Signature numérique et flux correct de manipulation de PDF

Une fois que vous comprenez comment fonctionne la signature numérique, la règle opérationnelle est claire :

Toute manipulation du PDF vient avant la signature. Si le document doit être compressé, divisé en parties, avoir des pages supprimées, être fusionné avec d'autres fichiers ou avoir des images converties — tout cela doit se faire avant de recueillir les signatures numériques.

Après la signature, le fichier est intouchable. Conservez l'original signé avec son hash enregistré (vérificateur) et ne travaillez que sur des copies.

Pour une vue d'ensemble du flux de préparation, comparaison et dépôt de documents, lisez le guide complet pour comparer des documents et prouver ce qui a changé.

Questions fréquentes

La signature numérique a-t-elle une valeur juridique au Brésil sans ICP-Brasil ? La Loi n° 14.063/2020 établit que les documents électroniques sont valables comme preuve. La signature ICP-Brasil bénéficie d'une présomption légale d'authenticité. Les signatures par d'autres mécanismes ont une valeur contractuelle entre les parties qui les ont acceptées.

Puis-je signer un PDF gratuitement ? La signature gov.br est gratuite et juridiquement reconnue pour la plupart des actes. Le certificat ICP-Brasil a un coût d'émission. Des plateformes comme DocuSign et ClickSign proposent des plans gratuits avec des limites de documents.

Comment savoir si mon PDF a une signature numérique ou juste une image de signature ? Le moyen le plus simple : ouvrez le PDF dans Adobe Acrobat Reader. Si aucun panneau Signatures ni barre de statut de signature n'apparaît, ce que vous voyez est juste une image — sans valeur cryptographique.

Combien de personnes peuvent signer le même PDF ? Plusieurs signatures numériques peuvent être incorporées dans le même PDF. Si le document est modifié après la première signature, seules les signatures antérieures à la modification deviennent invalides.