Un certificat de preuve tient sur une page, un PDF issu d'un dossier que vous avez scellé vous-même ou envoyé par une contrepartie qui veut que vous fassiez confiance à un fichier. Chaque ligne répond à une question différente, et chaque ligne a une limite. Voici la page de haut en bas, avec ce que chaque entrée prouve et ce qu'elle laisse ouvert.
L'en-tête
On y lit "CERTIFICATE" (certificat) et, en dessous, "Copyright Original" (original protégé par le droit d'auteur). Cela nomme le type de document : un certificat pour une version scellée d'un dossier. Cela ne tranche rien sur la question de savoir qui détient le droit d'auteur sur les fichiers listés. Selon l'article 6 de la Loi sur le droit d'auteur (LDA), l'auteur est la personne physique qui a créé l'oeuvre, et un en-tête ne peut pas en décider.
"Sealed for" et le nom
"Sealed for" (scellé pour) désigne le titulaire du compte, la personne dont le compte contenait le dossier au moment où la version a été scellée. Cela prouve quel compte a scellé ces fichiers. Cela ne prouve pas que la personne nommée les a écrits. L'article 8 alinéa 1 de la LDA présume que l'auteur est la personne dont le nom figure sur les exemplaires de l'oeuvre ou lors de sa publication. Un certificat est un enregistrement distinct, lisez donc le nom comme celui du titulaire du compte et rien de plus.
La date et l'heure du scellement
Écrites sous la forme YYYY-MM-DD HH:MM:SS, en UTC, pour qu'un même instant se lise de la même façon dans chaque fuseau horaire où le PDF est ouvert.
L'heure provient du moment du scellement. Une empreinte cryptographique du fichier a été envoyée à Swisscom Trust Services, le prestataire de services de confiance qualifié, qui l'a signée avec une clé qui ne quitte jamais son matériel. La signature porte un horodatage RFC 3161 et est intégrée dans le PDF. Selon l'article 41, paragraphe 2, du règlement eIDAS, un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles il est lié.
Cette ligne prouve donc que les fichiers existaient exactement sous cette forme à cet instant et n'ont pas changé depuis. Elle ne prouve pas quand ils ont été écrits ni par qui, et elle ne prouve pas que ce qu'ils disent est vrai.
Le bloc d'identité
Certains certificats portent "Surname" (nom), "Name" (prénom), "DOB" (date de naissance), "Country" (pays) et "Passport No" (numéro de passeport), le numéro masqué par des astérisques. D'autres non. Le bloc apparaît lorsque cette version a été scellée après que le titulaire du compte a passé la vérification d'identité, un contrôle de passeport via DIDIT fourni par Swisscom Trust Services. Sans cela, le bloc est absent.
Le bloc est un instantané pris au scellement ; une modification ultérieure du dossier d'identité du titulaire ne réécrit jamais un certificat émis. Il prouve qu'une personne vérifiée détenait ce compte lorsque cette version a été scellée, pas que cette personne est l'auteur.
Le tableau "Copyright-sealed documents"
"Copyright-sealed documents" (documents scellés au titre du droit d'auteur) : une ligne par fichier, lue de gauche à droite.
"File name" (nom du fichier). Le nom que portait le fichier au moment du scellement. Renommer votre copie plus tard ne casse rien ; la preuve repose sur l'entrée suivante.
"Hash" (hachage). Une empreinte cryptographique du contenu du fichier. Toute personne disposant du fichier et d'un outil de hachage peut calculer la même empreinte et comparer. Une correspondance signifie que le fichier en main est le fichier scellé ; un seul caractère modifié donne une empreinte différente. Le scellement ne modifie jamais l'original, votre copie devrait donc correspondre. Le hachage prouve l'identité du contenu, rien sur sa signification.
ISCC Codehash et ISCC. Un code de contenu selon ISO 24138:2024, affiché lorsque le format du fichier est pris en charge. Un fichier dont le format ne peut pas recevoir cette empreinte reste scellé et horodaté, et conserve son hachage ; sa ligne n'a simplement pas d'entrée ISCC. Les codes ISCC et les labels de contenu exigent une vérification d'identité.
"AI Declaration" (déclaration IA). Lorsque le fichier porte une déclaration, ses labels s'affichent ici. Il existe six labels de contenu, et chaque contenu et chaque version porte exactement un label IA. HUMAN AUTHORED va avec AI FREE et aucun autre label IA. HUMAN APPROVED peut accompagner n'importe quel label IA et doit venir d'une personne différente de l'auteur. Les deux labels HUMAN sont liés à une identité vérifiée. Un label est une déclaration du titulaire du compte. Le sceau la fixe dans le temps et ne la vérifie pas.
"Human authors" (auteurs humains), "Approved by" (approuvé par), "Rights claimed" (droits revendiqués), "Other rights holders" (autres titulaires de droits). Ce que le titulaire a déclaré au scellement. Selon l'article 7 de la LDA, lorsque plusieurs personnes ont concouru en qualité d'auteurs, le droit d'auteur leur appartient en commun, de sorte que "Other rights holders" mérite une lecture attentive. Chaque entrée ici est auto-déclarée : le certificat prouve que la déclaration a été faite, et quand, pas qu'elle est vraie.
Le code QR, le Cert ID et les marques
Le code QR ouvre la page publique de vérification pour ce dossier et cette version, sans connexion. La ligne "Cert ID" (identifiant du certificat) est l'identifiant du dossier auquel cette page appartient.
En bas se trouvent les marques : Swiss, ZertES, eIDAS, UAE PASS et ProLitteris. ZertES est la Loi sur la signature électronique (SCSE) suisse, eIDAS son équivalent dans l'UE, et ProLitteris le partenaire d'escrow du Registre suisse du droit d'auteur. Le pied de page indique "Issued by Swiss Trust Layer" (émis par Swiss Trust Layer). Une marque est une marque, pas un verdict sur les fichiers au-dessus.
Deux façons de le vérifier
Le certificat est un résumé. La preuve se vérifie de deux façons, et aucune ne nécessite de compte. Scannez le code QR et comparez la page avec le papier. Ou téléversez le PDF scellé lui-même dans le validateur public : aucune inscription, et il montre qui a signé, quand, avec quel certificat, et si le contenu a été modifié après la signature. Il reconnaît les signatures qualifiées selon eIDAS et ZertES, traite les métadonnées de signature et ne stocke pas le document.
Si une contrepartie envoie le certificat sans le fichier scellé, demandez le fichier. Un certificat seul peut être lu, pas validé.
Ce qui peut changer plus tard, et ce qui ne le peut pas
Un certificat peut être mis à jour pour la même version, avec les données ISCC de ses fichiers et l'identité vérifiée du titulaire, sans qu'une nouvelle version soit créée. Les hachages et les labels déclarés d'une version émise ne changent jamais lors d'un nouveau scellement. De nouveaux fichiers ou de nouvelles déclarations signifient une nouvelle version scellée avec son propre certificat.
Une étape cette semaine
Prenez un certificat, le vôtre ou un que l'on vous a envoyé, et parcourez-le avec cette page ouverte. Scannez le code QR, puis téléversez le PDF scellé dans le validateur. Si les deux concordent avec le papier, vous savez ce que vous tenez. Pour les questions que la partie adverse posera à tout PDF, lisez dix questions qu'un avocat posera sur votre PDF. Pour remettre la page de vérification à d'autres, voyez le lien de vérification dans votre signature d'e-mail.
Scellez votre premier document sur Swiss Trust Layer ou lisez le mécanisme complet sur comment ça marche.
