Trois outils sont en lice, les demonstrations se sont bien passees, et les tableaux de fonctionnalites se ressemblent assez pour que la decision glisse vers celui qui a le mieux presente. Tous promettent une preuve : preuve qu'un document a existe, preuve qu'il n'a pas ete modifie, preuve que quelqu'un l'a signe. Une seule question separe les outils qui tiennent de ceux qui ne tiennent pas, et elle ne figure sur aucune grille comparative.
La voici. Une personne qui n'a aucun compte chez le fournisseur peut-elle verifier la preuve par elle-meme, et cela fonctionne-t-il encore si le fournisseur disparait ?
Ce qu'une page produit appelle preuve, et ce qu'un litige appelle preuve
Sur une page produit, la preuve veut dire que l'outil vous montre quelque chose : un badge vert, une piste d'audit dans le tableau de bord du fournisseur. C'est le fournisseur qui fait une declaration sur ses propres registres. Dans un litige, le mot est plus etroit. Un tiers sans lien avec vous ni avec le fournisseur, un arbitre ou l'avocat de la partie adverse, doit examiner un artefact et en tirer une conclusion sans croire personne sur parole.
La faille apparait au moment ou quelqu'un demande la preuve, vous envoyez un lien, et cette personne arrive sur une page de connexion.
Premiere moitie : un inconnu peut-il verifier
Posez le meme scenario a chaque fournisseur, avec les memes mots. Je confie votre artefact a quelqu'un qui a un ordinateur portable et aucun compte. Que peut-il etablir, et avec quel logiciel ? Les reponses se rangent en trois groupes.
- La verification ne fonctionne que dans le produit, pour les utilisateurs connectes. La preuve et le fournisseur ne font qu'un, donc la preuve n'est disponible que tant que le compte l'est.
- La verification passe par une page publique hebergee par le fournisseur. C'est mieux, et utile au quotidien, mais cela depend encore de la disponibilite de ce fournisseur le jour ou quelqu'un verifie.
- La verification fonctionne hors ligne avec un logiciel standard. Le fichier porte son propre materiel cryptographique, et un lecteur PDF courant ou un utilitaire de verification ouvert le confronte a des certificats publies par une autorite de certification.
Seule la troisieme est independante au sens ou un juriste l'entend. Demandez un artefact d'exemple et ouvrez-le sur une machine qui n'a jamais vu le logiciel du fournisseur.
Deuxieme moitie : la preuve survit-elle au fournisseur
Une preuve sert des annees plus tard. Elle doit survivre a trois disparitions distinctes.
- L'abonnement. Si votre organisation cesse d'utiliser le service, les artefacts deja crees restent-ils verifiables, ou la verification s'arrete-t-elle avec le compte ?
- Le fournisseur. Les entreprises sont rachetees, changent de cap, ferment. Si ces serveurs s'eteignaient demain, lesquels de vos artefacts auraient encore un sens ?
- Le format. Les algorithmes s'affaiblissent a mesure que la puissance de calcul augmente. Demandez si la preuve peut etre renouvelee, et si l'artefact suit une norme publique documentee plutot qu'un conteneur que seul ce fournisseur sait lire.
Ce qui est reellement atteste
Le mot preuve rassemble trois affirmations differentes, et les outils different sur celles qu'ils portent vraiment.
| Affirmation | Ce qu'elle etablit | Ce qu'elle n'etablit pas |
|---|---|---|
| Identite d'un signataire | Une personne verifiee a appose une signature | Quand le contenu a ete cree |
| Integrite d'un fichier | Le contenu n'a pas change depuis le scellement | Qui l'a produit, ni s'il en avait le droit |
| Existence a un instant donne | Ce contenu exact existait au plus tard a ce moment | Qui en est l'auteur, sauf si l'identite est liee aussi |
| Les trois, lies ensemble | Une partie nommee detenait ce contenu a cet instant | Un litige sur les droits eux-memes |
La combinaison necessaire depend du probleme. Un contrat exige l'identite du signataire. Un fichier de creation ou un manuscrit demande plutot l'existence a un instant donne et l'integrite, car selon la Convention de Berne le droit d'auteur nait automatiquement de la creation de l'oeuvre et n'exige aucun enregistrement pour exister. Ce qui manque a un createur est rarement un enregistrement. C'est une trace datee et verifiable de ce qui existait, et quand.
Qui delivre l'attestation
Il y a une vraie difference entre un fournisseur qui affirme quelque chose dans ses propres journaux et une attestation delivree sous un cadre juridique supervise. Selon le reglement (UE) no 910/2014, dit eIDAS, l'article 41 accorde a l'horodatage electronique qualifie une presomption d'exactitude de la date et de l'heure qu'il indique et d'integrite des donnees auxquelles il est lie. En Suisse, la SCSE, dite ZertES, regit les services de certification qualifies, et l'equivalence avec la signature manuscrite figure dans le Code des obligations, a l'art. 14 al. 2bis CO.
Pour un acheteur, cela deplace la charge de l'argumentation. Posez donc deux questions simples : qui est le prestataire de services de confiance derriere tout cela, et sous quel regime de surveillance est-il inscrit ? Un fournisseur adosse a un prestataire accredite le nomme sans hesiter.
Les questions a envoyer par ecrit
Rien de ce qui se dit en demonstration n'est retrouvable six mois plus tard. Envoyez ces questions par courriel et gardez la reponse.
- Envoyez un artefact d'exemple que nous puissions verifier hors ligne, sur une machine sans aucun de vos logiciels.
- Nommez le prestataire de services de confiance derriere l'attestation et le regime qui le supervise.
- Precisez ce que chaque artefact atteste : identite, integrite, existence a un instant, ou une combinaison.
- Decrivez ce qu'il advient des artefacts deja crees si notre compte est ferme.
- Decrivez ce qu'un tiers peut verifier si votre service est indisponible.
- Confirmez que nous pouvons exporter tous les artefacts en masse dans un format documente, et dites si l'export contient le materiel de verification ou seulement un resume.
- Expliquez comment une preuve peut etre renouvelee a mesure que les algorithmes vieillissent.
Appliquez cette liste a chaque candidat, y compris celui que vous preferez deja. Swiss Trust Layer repond aux sept points : ses artefacts portent des horodatages et des signatures qualifies suisses qui se verifient dans un logiciel PDF ordinaire sans compte nulle part, et la page sur le fonctionnement detaille ce chemin de verification. La liste compte plus que n'importe quelle reponse particuliere. Un fournisseur qui ne repond a ces questions qu'au telephone vous a dit quelque chose d'utile sur le comportement de la preuve le jour ou vous en aurez besoin.
