Le service de vérification de signature a pour objet de fournir à ses clients un rapport de validité technique de la signature électronique présente dans le document qui lui est soumis. Ce rapport est à interpréter par le client du service afin de déterminer si la signature du document est valide ou non dans son contexte d’utilisation.

 

Le service vérifie les signatures de type XAdES (document XML ou tout autre document) ou PAdES (document PDF). Pour tous les cas où la signature est de type XAdES et où la signature est détachée du document, un second bloc intitulé "Signature(s) complémentaire(s)" est fourni pour permettre de charger le fichier de signature.

Prérequis

Pour vérifier une signature en ligne sur le site web Chorus PRO, vous devez disposer d’un navigateur sur PC (Windows 10 et ultérieur) / Mac / téléphone / tablette accédant à Internet (Edge (minimum version 125.0.2535.51) et Firefox (minimum version 115.9.1esr (64 bits)), Chrome (version non précisée))

Accès au service

Le service de vérification de signature électronique Chorus PRO est mis à disposition gratuitement sur la page web suivante :

https://esignature.chorus-pro.gouv.fr/#/verifier/process

Pour vérifier la signature d’un document avec ce service, rendez-vous sur cette page web avec votre navigateur.

Politique de vérification de signature

Vous pouvez télécharger la politique de vérification de signature appliquée à l’aide d’un lien en bas à droite de la fenêtre de vérification.

Figure 20 : Vérification avec Chorus PRO : Politique de vérification

Passez la souris sur le texte « NOTRE POLITIQUE » puis cliquez sur la flèche noire descendante pour télécharger le document décrivant la politique de vérification de signature.

Sélection de la signature à vérifier

A l’ouverture de la page, le service vous demande de désigner le document dont la signature est à vérifier :

Figure 21 : Vérification avec Chorus PRO : Sélection du document signé

Cliquez sur une zone « Choisissez un fichier » pour sélectionner un fichier sur votre poste :

• Contrat : Sélectionnez ici le document signé (typiquement un contrat)
• Signature(s) complémentaire(s) : Uniquement lorsque la signature à vérifier est au format XAdES détachée ou CAdES détachée, sélectionnez ici le fichier de signature détachée.

Remarque : Lorsque le document signé est au format PDF, il doit être chargé sur la zone « Contrat » et la deuxième zone doit être ignorée.

Vue générale du rapport de vérification

Le rapport de vérification se décompose en plusieurs parties :

• Date de génération du rapport
• Table des matières du rapport
• Synthèse de la vérification
• Informations concernant successivement chacune des signatures trouvées
• Bouton de téléchargement du rapport

Chacune de ces parties est détaillée ci-dessous.

Date de génération du rapport

La date de génération du rapport est indiquée dans le bandeau supérieur de l’écran de présentation des résultats :

Figure 22 : Vérification avec Chorus PRO : Date de génération du rapport

La date est indiquée au format jour/mois/année et heure/minutes/secondes avec une indication du fuseau horaire utilisé (heure de Paris).
Attention : Lorsque le service Chorus Pro a déjà réalisé la vérification de signature du même document dans les 24 dernières heures, le rapport de vérification n’est pas regénéré mais reprend uniquement les résultats obtenus lors de cette précédente vérification. Dans ce cas, la date indiquée à l’écran est cette de cette vérification antérieure et ne correspond donc pas à la date actuelle.

Table des matières du rapport

La table des matières du rapport est affichée en haut à droite du rapport. Elle permet de naviguer rapidement vers les différentes sections du rapport, notamment lorsqu’un document contient plusieurs signatures.

Figure 23 : Vérification avec Chorus PRO : Table des matières du rapport

Cliquez sur l’une des lignes de la table des matières afin de faire afficher directement la section désirée.

Synthèse de la vérification

La synthèse de la vérification résume le statut des signatures du document :

Figure 24 : Vérification avec Chorus PRO : Synthèse du rapport

Les informations suivantes sont indiquées :

• Contrat : nom du fichier signé
• Bilan des vérifications : synthèse du statut de la vérification :
  • Aucune erreur trouvée : toutes les vérifications sont positives
  • Erreur(s) trouvée(s) : au moins une signature est invalide
  • Statut Indéterminé : certaines informations sont manquantes (par exemple le statut de révocation ou une date fiable de signature) pour donner un résultat certain. La signature pourrait être correcte ou incorrecte, seules ces informations manquantes permettraient de fournir un statut définitif.
• Nombre de signatures trouvées : un document peut contenir une ou plusieurs signatures.

Il se peut que le service ne détecte pas la signature s’il n’y en a pas (par exemple vous n’avez pas joint la signature détachée d’un document) ou bien son format ne respecte pas les standards et n’a donc pas été reconnue.

Informations concernant chacune des signatures trouvées

Les informations présentes dans le rapport pour chaque signature sont réparties sur plusieurs sections :

• Informations de la signature
• Propriétés de la signature
• Certificat du signataire
• Propriétés du jeton d'horodatage (optionnel)
• Certificat du jeton d'horodatage (optionnel)

 

Informations de la signature

Les informations de la signature sont de la forme suivante :

Figure 25 : Vérification avec Chorus PRO : Informations de la signature

Les informations indiquées sont :

• Identifiant de la signature : Identifiant technique qui peut s’avérer utile lorsque le document contient plusieurs signatures et que l’un d’elle pose problème
• Signataire : Attributs désignant le porteur du certificat de signature. Les champs indiqués dépendent du format du certificat
• Emetteur du certificat de signature : Attributs désignant l’Autorité de Certification qui a émis le certificat de signature. Les champs indiqués dépendent du nom de cette AC.

Propriétés de la signature

Les propriétés de la signature sont de la forme suivante :

Figure 26 : Vérification avec Chorus PRO : Propriétés de la signature

Les informations indiquées sont :

• Date indicative : Date de la signature telle qu’indiquée dans la signature, indépendamment de la présence ou non d’un jeton d’horodatage. Cette date est celle de la machine qui a créé la signature, elle peut donc s’avérer ne pas être fiable.
• Format de la signature : Le format comporte deux informations
  • Format général de la signature
    • PDF
    • XML
    • CMS (pour tout type de document)  : Cryptographic Message Syntax
  • Niveau du format de signature
    • aucune mention : signature sans horodatage
    • horodatée : document signé et horodaté
    • horodatée long terme : document signé et horodaté avec des informations de vérification sur le long terme
    • horodatée long terme pour archivage : document signé et horodaté avec des informations horodatées de vérification sur le long terme, à but d’archivage de la signature
  • Niveau de la signature : Il s’agit du niveau au titre du règlement eIDAS
    • Signature qualifie : le niveau le plus élevée de signature par une personne physique, reconnu juridiquement équivalent à la signature manuscrite
    • Signature avancée : niveau de signature garantissant l’identification du signataire par son certificat et l’intégrité du document signé
    • Signature avancée avec un certificat qualifié : niveau de signature garantissant l’identification du signataire par son certificat et l’intégrité du document signé. La signature n’est pas qualifiée du fait du support de la clé privée qui n’est pas qualifié
    • Cachet qualifié : le niveau le plus élevée de cachet par une personne morale, reconnu juridiquement comme garantissant l’intégrité et l’origine des données
    • Cachet avancé : niveau de cachet garantissant l’identification du signataire par son certificat et l’intégrité du document signé
    • Cachet avancé avec un certificat qualifié : niveau de cachet garantissant l’identification du signataire par son certificat et l’intégrité du document signé. Le cachet n’est pas qualifié du fait du support de la clé privée qui n’est pas qualifié
  • Intégrité des données signées : Résultat de la vérification d’intégrité des données réalisée à partir de l’empreinte signée

 

Certificat du signataire

Les propriétés du certificat du signataire sont données sous la forme suivante :

Figure 27 : Vérification avec Chorus PRO : Propriétés du certificat de signature

Les informations indiquées sont :

• Date de validité du certificat : date de début et de fin de validité du certificat, exprimées dans le fuseau spécifié au bas du rapport
• Usage prévu du certificat : Usage du certificat, tel que signature, cachet ou autre
• Type de support : Niveau de qualification du support de la clé privée de signature. Seul un support qualifié eIDAS permet (en association avec un certificat qualifié) de créer une signature qualifiée
• Signataire : Attributs désignant le porteur du certificat de signature. Les champs indiqués dépendent du format du certificat
• Emetteur du certificat de signature : Attributs désignant l’Autorité de Certification qui a émis le certificat de signature. Les champs indiqués dépendent du nom de cette AC
• Statut de révocation du certificat : le service effectue une recherche de ce statut de révocation au moment de la signature. Ce moment est soit l’heure indiquée par un jeton d’horodatage incorporé à la signature, soir l’heure de vérification (la date indicative de signature n’est pas prise en compte du fait d’une fiabilité non établie). Le statut peut être :
  • Non révoqué
  • Révoqué, avec dans ce cas la précision de la date de révocation
  • Indéterminé, lorsque le service n’a pas pu accéder à une information de révocation
• Identifiant de la politique de certification : Identifiant sous la forme d’un OID (Object Identifier) de la politique de certification selon laquelle le certificat a été émis. L’Autorité de Certification doit publier le document décrivant cette politique.
• Chaîne de certification : Statut de la vérification de la chaine de certification
• Niveau de sécurité : Niveau du certificat au titre du règlement eIDAS :
  • Qualifié eIDAS : Seul un certificat qualifié eIDAS permet (en association avec un support qualifié) de créer une signature qualifiée
  • Non qualifié eIDAS : dans ce cas, un niveau de sécurité peut être précisé entre parenthèse s’il a pu être identifié, parmi
    • ETSI NCP+ ou NCP ou LCP : certificat certifié conforme à une norme ETSI
    • RGS * ou ** ou *** : certificat qualifié RGS

Propriétés du jeton d'horodatage

Les propriétés du jeton d’horodatage sont de la forme suivante :

Figure 28 : Vérification avec Chorus PRO : Propriétés du jeton d’horodatage

Les informations indiquées sont :

• Intégrité des données horodatées : Statut de la vérification d’intégrité de la signature, calculé à partir de l’empreinte des données horodatées.
• Niveau de sécurité : Niveau de sécurité du jeton d’horodatage au titre du règlement eIDAS
  • Jeton d’horodatage qualifié eIDAS (QTSA) : juridiquement présumé fiable
  • Jeton d’horodatage qualifié RGS : jeton non qualifié eIDAS mais qualifié selon le RGS
  • Jeton d'horodatage non reconnu : jeton d’horodatage non qualifié ni eIDAS ni RGS
• Date : Date et heure données par le jeton d’horodatage, exprimées dans le fuseau spécifié au bas du rapport

La date et l’heure du jeton d’horodatage sont prises en compte pour établir la date de signature (influant sur le statut de validité du certificat), et ce que le jeton d’horodatage soit qualifié ou non.

Certificat du jeton d'horodatage

Les propriétés du certificat du signataire sont données selon le même format que celui utilisé pour le certificat du signataire :

Figure 29 : Vérification avec Chorus PRO : Propriétés du certificat d’horodatage

Les informations portent ici sur le certificat utilisé par le service d’horodatage pour signer le jeton d’horodatage, ainsi que sur le certificat de l’Autorité de Certification qui a émis le certificat d’horodatage.

Bouton de téléchargement du rapport

Ce bouton de téléchargement apparaît en haut à droite, au-dessus de la table des matières.

Figure 30 : Vérification avec Chorus PRO : Téléchargement du rapport

Cliquez sur bouton pour télécharger le rapport de vérification au format PDF.

Accès à la fonction de vérification de signature de documents

Le logiciel IDOPTE permet de vérifier localement la ou les signatures présentes dans un ou plusieurs fichiers de son choix.

Pour accéder à la fonction de vérification signature, cliquer sur le bouton  du bandeau vertical de menu, puis sur la commande « Ouvrir ».

L’écran de sélection des documents à vérifier s’affiche :

Figure 31 : Vérification avec IDOPTE : Sélection des fichiers à vérifier

Sélection des documents à vérifier

Vous pouvez sélectionner les documents à vérifier en cliquant sur l'icône . Pour vérifier plusieurs documents en une seule opération, il faut sélectionner plusieurs fichiers simultanément dans la boîte de sélection proposée par votre poste.

Vérification de signature

La vérification est déclenchée automatiquement dès la validation de la sélection des fichiers à vérifier.

L’outil vérifie tous les fichiers sélectionnés et le résumé des résultats de vérification est affiché :

Figure 32 : Vérification avec IDOPTE : Résultat des vérifications de signature

Pour chacun des fichiers, le logiciel indique :

• Le format des signatures identifiées dans le document
• Le statut :
  • Coche verte : la signature est valide
  • Coche rouge : un problème a été rencontré dans la validation
• Un lien vers le document signé
• Le nom du signataire et, en dessous, le nom de l’Autorité de Certification qui a émis le certificat du signataire.

La signature peut être déclarée invalide lorsque la chaîne de certification du certificat du signataire n’est pas déclarée localement sur votre poste. Un ajout des certificats des Autorités de Certification de cette chaîne est alors nécessaire (cf. Sélection du certificat de signature).

Vous pouvez générer un rapport de validation en cliquant sur l'icône . Le rapport généré sera ouvert sur l'application PDF par défaut de votre poste.

Vous pouvez afficher les détails de vérification d’une signature avec le bouton . Un nouvel écran est affiché :

Figure 33 : Vérification avec IDOPTE : Résultat détaillé d’une vérification

Cet écran présente des détails supplémentaires concernant la signature et le certificat du signataire :

• Informations détaillées concernant la signature
  • Nom du fichier contenant le document vérifié
  • Date de signature présumée indiquée dans la signature (indépendamment de la présence ou non d’un jeton d’horodatage)
  • Fuseau horaire dans lequel est exprimée la date présumée de signature
  • Statut de vérification d’intégrité des données signées
  • Identifiant technique de la signature
• Informations détaillées concernant le certificat du signataire
  • Date de début de validité du certificat
  • Date de fin de validité du certificat
  • Usage du certificat
  • Statut de validité de la chaine de certification du certificat
  • Type de support : qualifié ou non
  • Niveau de qualification du certificat : qualifié ou non
  • Détails des attributs d’identification du sujet du certificat (le signataire)
  • Détails des attributs d’identification de l’émetteur du certificat (l’Autorité de Certification)

 

Vérifier une signature avec d’autres outils

Les signatures respectant les formats du règlement européen eIDAS peuvent être vérifiées avec des outils tiers qui sont conformes aux mêmes standards.

En particulier :

• la vérification de signature de documents peut être un outil ou un service proposé par le fournisseur du certificat électronique de signature ;
• la vérification de signature de documents PDF est possible dans certains outils de lecture ou d’édition de documents PDF, tel que Acrobat Reader.

Lorsque vous utilisez un outil tiers, il vous revient de vous assurer que la politique de vérification est conforme aux attentes des services de l’Administration. Le magasin de certificats de confiance doit correspondre aux services qualifiés au titre du règlement eIDAS.

Devant la complexité des configurations d’une fonction de vérification de signature, il vous est fortement recommandé de vérifier la signature électronique sur le site Web Chorus PRO.