Signatures numériques : exigences légales et conformité mondiale
Les signatures numériques, formes sécurisées de signatures électroniques, utilisent le PKI pour authentifier les signataires et garantir l'intégrité des documents. Elles sont juridiquement valables selon les lois américaines (ESIGN Act) et les cadres internationaux comme eIDAS dans l'UE. Comparées à d'autres signatures électroniques, elles offrent une sécurité supérieure, assurant authenticité, non-répudiation et intégrité des données.
Qu'est-ce qu'une signature numérique ?
Les signatures numériques sont une catégorie spéciale de signatures électroniques sécurisées. Elles tirent parti de l'infrastructure à clé publique (PKI) pour authentifier et identifier l'auteur de divers éléments tels que des documents, des applications, des programmes ou d'autres types de fichiers électroniques.
Un certificat de signature numérique est un certificat basé sur la PKI qui authentifie l'identité du signataire et garantit que les documents transmis électroniquement et les messages numériques n'ont pas été falsifiés ou altérés. L'utilisation de la cryptographie à clé publique permet d'authentifier correctement un document. Les signatures numériques sont simplement des codes intégrés dans les fichiers, qui peuvent être visualisés si le cas d'utilisation l'exige.
Elles sont similaires aux signatures physiques sur les documents papier dans le sens où elles sont toutes deux uniques au signataire, sauf que dans le cas des documents signés numériquement, la signature offre en fait une sécurité bien plus grande et l'assurance de l'origine, de l'identité et de l'intégrité du document. Fondées sur les normes de sécurité les plus strictes, elles sont juridiquement contraignantes aux États-Unis et dans de nombreux autres pays.
Grâce à leurs méthodes cryptographiques sécurisées, les signatures numériques sont conformes aux réglementations les plus strictes, notamment la loi américaine sur les signatures électroniques dans le commerce mondial et national (Electronic Signatures in Global and National Commerce Act - ESIGN Act), la loi uniforme sur les transactions électroniques (Uniform Electronic Transactions Act - UETA) et d'autres lois internationales.
La différence entre une signature numérique et une signature électronique
Bien que de nombreuses personnes utilisent souvent ces termes de manière interchangeable, les signatures électroniques et les signatures numériques ne sont en fait pas les mêmes. La distinction est extrêmement importante d'un point de vue juridique.
Les signatures électroniques constituent l'ensemble le plus large de solutions qui utilisent un processus électronique pour apposer une signature sur un document ou une transaction. L'utilisation de ce type de signature s'est considérablement développée au fil du temps, à mesure que les documents et les communications passaient de plus en plus dans le domaine numérique, et que les entreprises et les consommateurs du monde entier adoptaient la rapidité et la commodité de cette solution. Mais il existe de nombreux types différents de signatures électroniques, chacun permettant aux utilisateurs de signer des documents numériquement et offrant un certain degré d'authentification de l'identité.
Les signatures numériques sont l'un des types de signatures électroniques, et ce sont les plus sûres. Les certificats numériques s'appuient sur des certificats PKI numériques émis par une autorité de certification (AC) de confiance telle que Sectigo, qui authentifie correctement l'identité du demandeur. Ce type d'authentification est nécessaire pour garantir l'intégrité des documents électroniques, et lier directement l'identité du signataire au document est le meilleur moyen de s'assurer de sa légitimité.
D'autres types de signatures électroniques utilisent des types d'authentification électronique différents et moins sûrs. Il peut s'agir d'adresses électroniques, de numéros de téléphone ou d'autres types d'informations de contact.
Pour qu'une signature numérique soit considérée comme légitime, elle doit répondre à quelques exigences. La condition la plus fondamentale est que l'identité du signataire soit liée à un certificat ou à un autre type de justificatif d'identité pouvant être crypté et authentifié. Un certificat numérique basé sur la PKI remplit cette fonction. Avec cette option, une paire de clés publiques/privées est générée via un algorithme pour authentifier l'identité du signataire et maintenir la validation du certificat. Lorsque cela est fait, la signature est considérée comme non répudiable et est liée à l'identité du signataire.
Le processus de signature numérique est beaucoup plus complexe que les simples signatures électroniques et dépend largement du cas d'utilisation.
Quel est l'objectif d'une signature numérique ?
Une signature numérique utilise une clé numérique sécurisée qui certifie l'identité de l'auteur d'un message numérique, d'un formulaire électronique ou d'un document. Les clients ont ainsi la certitude que les documents signés proviennent de la source reconnue et que leurs enregistrements électroniques n'ont pas été falsifiés ou altérés.
Plusieurs fournisseurs de services proposent des signatures numériques pour répondre à diverses situations. DocuSign est un fournisseur populaire, tout comme Adobe. Les certificats de signature de documents Adobe proposés par Sectigo permettent aux organisations de sécuriser les documents Adobe Acrobat à l'aide de signatures numériques. La certification provient d'Adobe Certified Document Services (CDS) ou des autorités de certification membres de l'Adobe Approved Trust List (AATL). La certification atteste que la conformité du signataire aux exigences d'Adobe a été vérifiée et que le certificat réside sur du matériel protégé.
Ces signatures, et par extension leurs certificats, ont été développées pour aider à résoudre le problème de l'identité et de la confiance. Elles constituent une modernisation de la signature notariée sur les documents physiques, qui jouit depuis longtemps d'une grande confiance. Un tiers de confiance, lui-même contrôlé par un organe directeur, valide et vérifie l'identité d'un signataire. Dans le cas des signatures numériques, le tiers de confiance, qui peut être une autorité de certification (AC) comme Sectigo, assume cette responsabilité.
Cas d'utilisation
Les signatures numériques sont utilisées de différentes manières sur Internet. Ces cas d'utilisation peuvent être classés en trois grandes catégories :
- Attribution : Si la signature est jointe à un fichier, un message ou un document, on peut légalement être sûr que le propriétaire de la signature était impliqué. Il n'y a pas de doute ou de risque de répudiation, et il y aura également une conservation des enregistrements qui laissera une piste d'audit.
- Authenticité : L'utilisation d'une signature signifie que l'identité du signataire a été validée par une autorité de certification tierce, telle que Sectigo. Ce niveau de validation et d'authentification soutient l'attribution de la signature.
- Intégrité : L'apposition d'une signature sur un fichier, en particulier sur un message ou un courriel, informe le destinataire (qu'il s'agisse d'un être humain ou d'un système) que les données n'ont pas été modifiées ou altérées au cours du transport. Il est important de noter que la signature elle-même ne comporte aucune mesure de protection, mais qu'elle indique au destinataire si une interférence a été détectée. Cela permet au destinataire et à l'expéditeur de prendre une décision éclairée sur la manière de réagir tout en comprenant mieux les vecteurs d'attaque possibles.
Une signature numérique est-elle juridiquement contraignante ?
Les règles et réglementations relatives à ce type de signature varient souvent d'une juridiction à l'autre. De nombreuses lois interprètent les signatures numériques comme des signatures électroniques qualifiées (SEQ) ou des certificats électroniques sécurisés. C'est pourquoi, dans la plupart des cas d'utilisation où les signatures électroniques simples sont acceptées, les signatures numériques le sont également. Un PDF signé numériquement est légal dans la plupart des juridictions. Toutefois, dans certaines situations, la signature numérique et le processus qui lui est associé peuvent être considérés comme superflus.
Avant de prendre une décision sur le type de signature le plus approprié pour vous ou votre organisation, veuillez vous référer à la réglementation locale et aux meilleures pratiques de votre secteur d'activité. Dans cette section, nous examinerons la légalité aux États-Unis et dans l'Union européenne.
Les États-Unis
Les signatures numériques, et les signatures électroniques en général, sont juridiquement contraignantes aux États-Unis. Cela est dû en grande partie à deux textes réglementaires, l'UETA (Uniform Electronic Transactions Act), rédigé en 1999, et l'ESIGN Act (Electronic Signatures in Global and National Commerce Act), adopté en 2000.
Lorsque la commission des lois uniformes a créé l'UETA, elle avait l'intention de créer un cadre juridique qui pourrait être utilisé par les États pour adopter des lois similaires concernant les signatures électroniques à tous les niveaux. Elle a jeté les bases de normes minimales pour tout ce qui concerne la création, le transfert et la conservation des documents, ainsi que les pistes d'audit requises à cet effet.
Avant l'adoption de ces lois fédérales, il n'existait que des lois et des cadres disparates au niveau des États concernant la légalité des signatures numériques et électroniques. Cela compliquait tout effort de normalisation nationale pour les organisations aux États-Unis.
À ce jour, l'UETA a été promulguée par 48 des 50 États américains. New York et l'Illinois n'ont pas adopté le cadre directement, mais ont leurs propres lois qui traitent des exigences en matière de signature de manière analogue.
Alors que l'UETA tentait de normaliser les exigences minimales pour les lois des États concernant les signatures électroniques, la loi ESIGN a tenté d'en faciliter l'adoption et l'acceptation. Cette loi garantit que les signatures électroniques qualifiées peuvent être utilisées dans presque toutes les situations où une signature à l'encre peut être utilisée. Cela inclut des situations aussi importantes que la preuve dans les affaires civiles ou pénales. Cette loi a essentiellement codifié la validité des signatures électroniques et les a établies comme des déclarations d'identité exécutoires.
La légalité des signatures électroniques et numériques aux États-Unis repose sur quatre piliers principaux :
- L'intention - Elle n'est pas différente de celle d'une signature manuscrite. Il doit être clair que le signataire a l'intention d'apposer son nom ou son identité sur le document électronique. Dans ce cas, vous ne pouvez pas forcer quelqu'un à se retirer et considérer qu'il s'agit d'une signature légale.
- Consentement - Lorsqu'un document ou un contrat électronique est signé, chaque partie signataire doit expressément consentir à autoriser une signature électronique. Sans cela, l'utilisation de signatures électroniques ne peut être considérée comme valide, à moins que le signataire n'ait opté pour la signature électronique à une date antérieure et qu'il n'ait jamais retiré son consentement.
- Exactitude - La méthode spécifique utilisée pour apposer la signature électronique doit non seulement faire l'objet d'un enregistrement, mais aussi d'un enregistrement dont l'exactitude peut être démontrée. Cet enregistrement doit également expliquer en détail la méthode utilisée pour créer et apposer la signature électronique.
- Conservation - L'enregistrement d'une signature électronique doit être reproduit avec précision et disponible pour les dossiers de toute partie ayant droit à ces données. Cela permet d'établir une piste d'audit et d'accéder à tous les documents nécessaires.
L'Union européenne
L'Union européenne (UE) a adopté en 2014 le règlement sur l'identification électronique, l'authentification et les services de confiance (eIDAS) afin de réglementer les signatures électroniques, les différents processus impliqués et les organismes de réglementation chargés de l'application. eIDAS a créé des normes minimales pour l'utilisation de plusieurs domaines, y compris les signatures numériques, appelées certifications de signatures qualifiées dans la législation.
Dans le cadre d'eIDAS, les signatures numériques offrent un degré d'assurance plus élevé et certaines ont le même effet juridique qu'une signature à l'encre humide. Pour se conformer aux exigences d'eIDAS, il faut un certificat qualifié stocké dans l'une des nombreuses solutions de signature qualifiées qui doivent être émises et gérées par un prestataire de services de confiance qualifié (QTSP) tel que Sectigo.
Les certificats qualifiés de Sectigo permettent aux individus et aux organisations de signer ou de sceller des documents et de répondre aux exigences eIDAS.
Les exigences de l'eIDAS en matière de signature numérique sont les suivantes
- Identité - Le signataire est identifié et validé
- Intention - Enregistrement de la compréhension du contenu par le signataire et de son intention de signer
- Fiabilité - Fiabilité et sécurité pour le cas d'utilisation spécifique. Cela peut signifier
- La falsification ou la modification du contenu ou de la signature est détectée et enregistrée.
- Le processus ou la solution utilisé(e) pour créer la signature numérique est uniquement géré(e) par le signataire et lié(e) à sa seule identité.
Assurez-vous de répondre aux exigences légales en matière de signatures numériques dans votre pays - découvrez les différentes offres de certificats de signature de Sectigo, y compris : Cryptage des emails S/MIME, signature de code et signature de documents. Découvrez également nos certificats eIDAS.