Une organisation qui delivre des certificats a un probleme qu'elle ne decouvre generalement que lorsqu'un tiers le trouve. Le certificat quitte les locaux sous forme de PDF, et des cet instant l'emetteur n'a plus aucun controle sur lui.
Pourquoi un certificat PDF prouve peu de choses
Un PDF ordinaire ne porte aucune preuve de sa propre origine. Le sceau, la signature scannee et le numero de reference ne sont que des pixels. Le contenu peut etre modifie, la date deplacee, et l'emetteur n'est pas lie cryptographiquement au document.
Ce qui rend un certificat verifiable
Un certificat verifiable porte sa propre preuve. Une empreinte cryptographique garantit l'integrite: si un caractere change, la verification echoue. Un horodatage qualifie emis par une autorite accreditee etablit le moment et beneficie d'une presomption legale au titre du reglement eIDAS. Un cachet electronique qualifie lie le document a l'organisation plutot qu'a une personne.
Le fondement juridique
En Suisse, la ZertES (RS 943.03) regit les certificats qualifies et les prestataires accredites. Par ailleurs, les supports de cours et contenus d'evaluation sont proteges automatiquement en tant qu'oeuvres au titre de la Convention de Berne. Prouver qu'une version precise existait a une date donnee reste un probleme distinct, que resout un document scelle et horodate.
