Qu’est-ce qu’un certificat de signature électronique ?

Le certificat de signature électronique peut être vu comme une véritable carte d’identité numérique. Il s'agit d'une attestation électronique que seule une autorité compétente (le Prestataire de Services de Confiance) peut délivrer, aussi bien à une personne physique qu'à une entité morale. Il contient les éléments d’identification suivants :

  • nom,
  • adresse e-mail,
  • clé publique,
  • autorité émettrice.

Il sert à relier l’identité du signataire à la clé privée cryptographique utilisée pour signer. Le procédé repose sur la cryptographie asymétrique. Autrement dit, la clé privée sert à créer la signature, la clé publique permet de la vérifier. Ce mécanisme est si robuste que la moindre modification du document électronique invalidera immédiatement la signature. Le certificat garantit donc l’authenticité de l’auteur, son consentement sur le contenu et l’intégrité du contenu signé.

  • Pour recourir à un certificat de signature électronique ?

L’absence de contact physique crée une incertitude sur l'identité de l'auteur d'une signature électronique. Le certificat lève ce doute. Il apporte la preuve que la personne à l’origine de la signature est bien celle qu’elle prétend être. Il établit en effet un lien fiable entre le signataire et le document électronique. Ce dispositif renforce la sécurité des transactions et aide les entreprises à échanger, contractualiser ou répondre à des appels d’offres publics en toute conformité avec la réglementation européenne.

Quelle différence entre certificat qualifié et certificat non qualifié ?

Un certificat qualifié est délivré par un prestataire de services de confiance qualifié (PSCo) selon des exigences eIDAS renforcées. Il sert notamment à produire une signature électronique qualifiée, avec un dispositif de création de signature qualifié (QSCD), et apporte un haut niveau de fiabilité sur l’identité du signataire et l’intégrité du document. Le certificat non qualifié est un certificat de signature “standard”. Il lie aussi une identité à une clé cryptographique, mais sans répondre au cadre eIDAS du « qualifié ». Il est souvent utilisé pour des signatures avancées et des usages métier du quotidien.

Qui peut délivrer un certificat de signature électronique qualifié ?

  • Les Prestataires de Services de Confiance Qualifiés (PSCo)

Seuls les prestataires certifiés conformes au règlement eIDAS sont habilités à délivrer un certificat de signature électronique qualifié. Ces acteurs agissent comme autorités de certification (AC) et, à ce titre, ils sont tenus de se conformer à un ensemble d’exigences particulièrement rigoureuses. Cela englobe la protection stricte des données personnelles de l'utilisateur, mais aussi une sécurité informatique renforcée, un audit régulier et une totale transparence de leurs pratiques.

La liste officielle tenue par l’ANSSI (Agence nationale de la sécurité des systèmes d'information) recense les acteurs reconnus en France. Cette liste est reprise dans la European Union Trusted List (EUTL) qui est la référence européenne à considérer.

  • Des acteurs reconnus à l’échelle européenne

La qualification de prestataire de services de confiance confère une reconnaissance automatique dans toute l’Union européenne. Les acteurs reconnus figurent sur la European Union Trusted List (EUTL), publiée par la Commission européenne. Grâce à ce cadre harmonisé, un PSCo luxembourgeois tel que LuxTrust peut vous délivrer un certificat de signature électronique qualifié valable sur l’ensemble du territoire européen.

Cette reconnaissance facilite l’interopérabilité des systèmes, simplifie les échanges administratifs et renforce la sécurité juridique des transactions numériques transfrontalières.

Quels sont les niveaux de signature qui requièrent un certificat de signature électronique ?

  • La signature électronique qualifiée (SEQ)

La SEQ représente le niveau le plus élevé en matière de sécurité et de valeur juridique. Elle repose obligatoirement sur un certificat qualifié délivré par un PSCo. Pour créer une SEQ, vous utilisez un dispositif de création de signature qualifié (QSCD), généralement une clé USB sécurisée certifiée QSCD ou une carte à puce certifiée QSCD. Le processus garantit que seul votre appareil peut générer votre signature, sans intervention du fournisseur. Chaque SEQ laisse une trace cryptographique irréfutable. Sur le plan juridique, la SEQ a la même valeur probante qu'une signature manuscrite. C'est le niveau requis pour les actes les plus importants (contrats commerciaux de grande valeur, documents réglementaires, transactions immobilières).

  • La signature électronique avancée (SEA)

La signature électronique avancée (SEA) offre un niveau de sécurité intermédiaire. Elle peut s’appuyer sur un certificat électronique non qualifié, délivré par tout prestataire de confiance numérique, sans qu’il soit obligatoirement reconnu comme PSCo.

Certaines SEA ne requièrent pas de certificat. Elles reposent sur d'autres mécanismes de vérification d'identité (authentification biométrique, SMS sécurisé, etc.). Cependant, si la SEA s'appuie sur un certificat qualifié, elle bénéficie d'une protection renforcée. Dans ce cas, le certificat provient d'un PSCo et offre de meilleures garanties juridiques. La SEA convient aux contrats commerciaux courants, aux bons de commande ainsi qu'aux factures dématérialisées.

Bon à savoir : La signature électronique simple (SES) ne nécessite aucun certificat de signature électronique. Elle peut reposer simplement sur un identifiant et un mot de passe, ou une adresse email. Bien que légale, la SES offre peu de garanties sur l'authenticité du signataire. Elle est utilisée pour les documents de faible enjeu (consentement administratif, enregistrement en ligne).

Comment se déroule la délivrance d’un certificat de signature électronique ?

  • Préparez les documents justificatifs

Vous devez présenter votre pièce d’identité officielle. Ces informations permettent au prestataire de confirmer votre identité. Une vérification rigoureuse garantit la fiabilité du certificat et sa conformité avec les exigences du règlement eIDAS.

  • La vérification d’identité

Le prestataire procède ensuite à la vérification de votre identité. Selon le mode choisi, cette étape s’effectue en face à face, en ligne par vidéoconférence sécurisée. Les contrôles visent à s’assurer que les données fournies correspondent bien à la personne identifiée. Une fois la validation terminée, le prestataire de services de confiance qualifié peut émettre le certificat.

  • La réception et l’installation du certificat

Après validation, vous recevez le certificat de signature électronique sur un support sécurisé ou par téléchargement via un espace en ligne dédié. Le fichier doit être installé sur l’ordinateur ou inséré dans le dispositif cryptographique prévu, tel qu’une carte à puce. L’installation correcte conditionne le bon fonctionnement du certificat et la fiabilité de la signature électronique lors de son utilisation sur des documents professionnels ou administratifs.

Comment bien utiliser et protéger votre certificat ?

  • Conservez votre clé privée en sécurité

La clé privée associée au certificat de signature électronique ne doit jamais être communiquée. Le code PIN ou le mot de passe lié au dispositif de création de signature doit rester strictement confidentiel. La clé USB ou la carte à puce doivent être conservées dans un lieu sûr, à l’abri des accès non autorisés. Laisser un certificat installé sur un poste partagé vous expose à des risques de falsification. Toute utilisation engage la responsabilité juridique du titulaire.

  • Que faire en cas de perte ou de vol ?

En cas de perte ou de vol, il faut prévenir immédiatement le prestataire de services de confiance qualifié afin de révoquer le certificat. L’autorité émettrice inscrit alors le certificat sur une liste de révocation publique, ce qui en annule la validité. Le titulaire peut signaler la perte ou le vol auprès des autorités compétentes et demander l’émission d’un nouveau certificat pour reprendre ses activités. Une réaction rapide limite les risques d’usurpation d’identité numérique.

LuxTrust, votre partenaire de confiance pour la signature électronique

LuxTrust vous accompagne dans l'obtention et l'utilisation de certificat de signature électronique qualifié. En tant que PSCo certifié et présent dans l'EUTL, nous sommes en mesure de proposer une identification classique en face-à-face, en ligne par une vérification à distance par vidéo.

LuxTrust gère votre identité numérique, de la délivrance initiale jusqu'à la révocation si nécessaire. Bénéficiez d'une présence européenne reconnue et d'une expertise de plus de 20 ans. LuxTrust simplifie votre développement numérique en sécurisant vos signatures électroniques.

FAQ

  • Un certificat de signature électronique est-il obligatoire pour signer un contrat en ligne ?
    Son usage dépend du niveau de sécurité recherché. Pour une signature qualifiée ou un acte juridique à forte valeur probatoire, il devient indispensable. Les entreprises l’utilisent pour garantir l’identité du signataire, son consentement ainsi que la validité du document.
  • Peut-on utiliser un même certificat de signature électronique sur plusieurs ordinateurs ?
    Oui, si le certificat est installé sur un support sécurisé tel qu’une clé USB cryptographique ou un serveur de signature distant tel que LuxTrust le propose. Toutefois, l’accès doit rester personnel et protégé par un code confidentiel afin d’éviter tout risque d’usage frauduleux.
  • Quelle est la durée de validité d’un certificat de signature électronique ?
    Elle varie selon le prestataire. Les certificats LuxTrust ont une validité de 3 ans.
  • Comment vérifier la validité d’un certificat de signature électronique ?
    Chaque certificat comporte une signature de l’autorité émettrice. Il suffit de consulter la liste de révocation émise par l’autorité émettrice et vérifier que l’autorité émettrice est présente dans la European Union Trusted List (EUTL).