Valider et conserver les documents cachetés

Une création réussie ne dispense pas de vérifier le résultat reçu. Validez d’abord vos cas de recette, puis prévoyez une politique de contrôle adaptée au risque et aux exigences des destinataires.

Automatisez la validation avant conservation avec le CCFN

L’option Validation de signatures et cachets du CCFN est une option de service de confiance eIDAS pour contrôler les cachets déjà présents dans vos documents avant leur conservation. Définissez vos critères de certificat qualifié et de QSCD, sélectionnez sign_type=seal, puis retrouvez le résultat associé au dépôt.

Découvrir et intégrer l’option de validation →

Contrôles essentiels

Contrôle	Question à résoudre
Conteneur et profil	Le résultat correspond-il au format et au niveau demandés ?
Signature cryptographique	Les données couvertes sont-elles intègres ?
Contenu détaché	Le validateur utilise-t-il les octets exacts du document d’origine ?
Identité et certificat	Le certificat est-il celui de l’organisation attendue et adapté au cachet ?
Confiance et révocation	La chaîne et le statut sont-ils acceptables à la date pertinente ?
Horodatage	Le jeton et son lien à la valeur de signature sont-ils valides ?
Qualification	Le certificat, le dispositif et le service satisfont-ils le niveau revendiqué ?
Modifications PDF	Les modifications ultérieures respectent-elles les règles de certification ?

Qualification et profils

Le règlement eIDAS distingue le cachet avancé et le cachet qualifié. L’article 35 attache au cachet qualifié une présomption concernant l’intégrité des données et leur origine. Il ne transforme pas le cachet en signature d’une personne physique. Règlement eIDAS.

Les profils B-T, B-LT et B-LTA ajoutent des éléments techniques de date et de validation. Ils ne changent pas à eux seuls la nature du certificat ou la qualification du dispositif. Vérifiez les politiques, certificats et décisions publiés.

Selon le format

Pour PAdES, utilisez un lecteur ou validateur qui analyse les signatures, horodatages, restrictions et révisions du PDF. Un tampon visible n’est pas un résultat de validation.

Pour XAdES détaché, le validateur doit résoudre les références vers les données exactes. Pour CAdES .p7s, fournissez le fichier original ; pour .p7m, contrôlez le contenu encapsulé. Pour JAdES, retenez un validateur compatible avec les propriétés ETSI du résultat.

OpenSSL peut servir à certains contrôles CMS/CAdES, par exemple sur une signature détachée DER :

openssl cms -verify -binary -inform DER \
  -in signature.p7s -content document.bin \
  -CAfile racines-de-confiance.pem \
  -certfile certificats-intermediaires.pem \
  -out contenu-verifie.bin

Cette commande est un outil de contrôle CMS, pas une validation exhaustive du profil CAdES, des horodatages, de la révocation historique et de la qualification eIDAS. Utilisez les certificats et une politique de validation appropriés ; n’ajoutez pas d’option supprimant la vérification pour contourner un échec.

Conserver le dossier

Conservez le résultat final, les originaux nécessaires aux signatures détachées, le certificat et la chaîne, les preuves de date et de révocation, le rapport de validation et la référence métier. Protégez ces éléments contre les altérations et définissez une durée de conservation adaptée.

B-LTA fournit une protection d’archive initiale pour les PDF concernés. La surveillance de l’état cryptographique et le renouvellement éventuel de cette protection nécessitent une politique de conservation ; ils ne sont pas implicitement fournis par chaque appel de création.

Pour la conservation documentaire, voir CCFN. Évitez de soumettre des documents confidentiels à un validateur public sans vérifier les conditions de traitement.