Une fiduciaire de Zoug ouvre un dossier client de 2026 : un contrat de vente d'actions signé et le certificat qui l'accompagnait. Nous sommes en 2036, la partie adverse veut la preuve que le contrat existait sous cette forme exacte avant une décision contestée du conseil d'administration, et le certificat qui a signé le PDF a expiré depuis des années. Qu'il se vérifie encore dépend de ce qui a été placé à l'intérieur le jour où il a été scellé.
Pourquoi une signature peut cesser de se vérifier
Une signature cryptographique se vérifie contre un certificat, et les certificats ont une date de fin. Une fois le certificat de signature expiré, un lecteur PDF qui doit aller chercher la chaîne de certificats et son statut de révocation sur internet peut constater que ces services ne répondent plus. La signature était valable au moment où elle a été créée. C'est le matériel nécessaire pour le prouver qui a disparu.
Un second problème, plus lent, se cache derrière. Sur une très longue période, un algorithme cryptographique peut vieillir, et une signature produite avec un algorithme vieilli est plus facile à contester qu'elle ne l'était à l'origine.
La validation à long terme répond aux deux problèmes à l'avance, en emballant les preuves dans le document tant qu'elles sont encore disponibles.
Les quatre niveaux de la norme
La norme européenne pour les signatures PDF, ETSI EN 319 142-1, définit quatre niveaux de base dans sa clause 6.
B-B est la signature elle-même, avec les attributs signés au moment de sa création.
B-T ajoute un jeton de confiance prouvant que la signature existait à une date et une heure données.
B-LT ajoute dans le document lui-même tout le matériel nécessaire à la validation de la signature : les certificats et les informations de révocation. Dix ans plus tard, personne n'a besoin d'aller chercher quoi que ce soit sur un serveur peut-être éteint.
B-LTA ajoute d'autres horodatages électroniques qui permettent une validation longtemps après la création. Les notes de la norme indiquent que les niveaux B-LT et B-LTA conviennent lorsque la validité doit être préservée après l'expiration ou la révocation du certificat, ou après l'obsolescence de l'algorithme, et que B-LTA peut aider à valider une signature au-delà de la faiblesse des algorithmes utilisés ou de l'expiration des données de validation.
En clair : B-LT garde les preuves avec le fichier. B-LTA réhorodate les preuves en continu pour qu'elles ne vieillissent pas elles-mêmes.
Ce qu'un document scellé contient aujourd'hui
Voici ce que Swiss Trust Layer produit, lu dans le code de signature et non dans une brochure.
Quand vous scellez un dossier, une empreinte cryptographique de chaque document est calculée, et c'est cette empreinte, pas le fichier, qui est envoyée à Swisscom Trust Services, le prestataire de services de confiance qualifié. Swisscom la signe avec une clé qui ne quitte jamais son matériel. La signature contient déjà un horodatage RFC 3161 de Swisscom, et elle est réintégrée dans le PDF. Le fichier original n'est pas modifié.
Après la signature, les certificats et les informations de révocation nécessaires à la validation sont intégrés dans le magasin de sécurité du document PDF. Un lecteur PDF affiche la signature comme LTV-enabled. Dans les termes de la norme, cela correspond au niveau B-LT.
Le produit n'ajoute pas d'horodatage d'archive séparé par-dessus, il n'est donc pas B-LTA aujourd'hui. Ce que cela signifie en pratique : l'expiration du certificat de signature est couverte, parce que la preuve qu'il était valable au moment de la signature voyage dans le fichier. Le lent vieillissement des algorithmes cryptographiques sur de très longues périodes est précisément ce pour quoi les horodatages d'archive existent, et le sceau seul ne le traite pas. La liste de contrôle ci-dessous montre comment apposer vous-même une nouvelle preuve datée sur le même fichier.
Ce que prouve l'horodatage
Un horodatage qualifié prouve que ce fichier exact existait à ce moment-là et n'a pas changé depuis. Il ne prouve pas qui a écrit le fichier. Il ne dit rien sur la véracité du contenu ni sur le titulaire des droits. Selon l'article 41, paragraphe 2, du règlement eIDAS, un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles cette date et cette heure sont liées. L'article 41, paragraphe 1, ajoute que l'effet juridique et la recevabilité d'un horodatage comme preuve ne peuvent être refusés au seul motif qu'il se présente sous forme électronique ou qu'il n'est pas qualifié.
La liste de contrôle sur dix ans
Rien de tout cela ne fonctionne si le fichier lui-même est perdu ou modifié. Une empreinte correspond aux octets exacts et à rien d'autre.
- Conservez le PDF scellé et son certificat sans modification, à deux endroits. Pas une copie réenregistrée, et pas une version avec un commentaire ajouté.
- Vérifiez-le une fois par an, et après chaque migration. Téléversez le PDF scellé dans le validateur public. Il accepte un PDF signé sans compte, vérifie la chaîne de signature, l'autorité de certification émettrice, l'expiration du certificat et l'intégrité de l'horodatage, et vous dit si le contenu a été modifié après la signature. Il ne conserve pas le document. Pour les documents commerciaux suisses, l'Ordonnance sur les livres de comptes (Olico) exige déjà à son article 10 que les supports d'information soient contrôlés régulièrement quant à leur intégrité et leur lisibilité, et que toute migration soit consignée. Un passage annuel dans le validateur est un moyen simple de produire cette entrée de journal.
- Rédigez une note sur chaque version ; le portail vous permet d'en attacher une à chacune. Dix ans plus tard, « exemplaire contresigné, scellé avant l'assemblée générale 2026 » vaut plus qu'un nom de fichier.
- Quand vous avez besoin d'une nouvelle preuve datée, scellez à nouveau une copie comme nouvelle version. La nouvelle version reçoit un nouvel horodatage de ce jour-là et son propre certificat. L'ancien horodatage reste valable tel quel, et rien n'est réécrit dans une version déjà émise.
Une étape cette semaine
Choisissez le document que vous aimeriez le moins avoir à expliquer en 2036, peut-être un contrat de vente d'actions ou un manuscrit, et passez-le dans le validateur aujourd'hui. S'il n'a jamais été scellé, scellez-le maintenant. Un horodatage ne s'ajoute pas rétroactivement, et un sceau de cette semaine est la date la plus ancienne que vous pourrez jamais présenter pour lui.
Scellez votre premier document sur Swiss Trust Layer ou lisez le mécanisme complet sur comment ça marche.
