Document final sécurisé

Le fichier obtenu à la fin n’est pas le PDF d’origine avec des images collées par-dessus. C’est un document scellé cryptographiquement, dont chaque révision est vérifiable, et qui contient tout le nécessaire pour le valider même dans plusieurs années — sans la plateforme, sans connexion à Internet, et sans notre concours.

Cette page décrit, couche par couche, ce qu’il contient.

Les couches, d’un seul coup d’œil

Couche	Quand elle est appliquée	Ce qu’elle garantit
Cachet de certification de la plateforme (AATL, DocMDP=3)	À l’envoi, avant que quiconque ne signe	Intégrité : le contenu des pages est verrouillé
Signatures visuelles (annotations)	Au fur et à mesure que chaque signataire signe	Apparence et auteur visible, sans briser le cachet
Signature qualifiée CMD	Si le signataire signe avec la Chave Móvel Digital	QES — équivalence avec la signature manuscrite
Cachets SCAP	Lorsque les attributs professionnels sont intégrés	La qualité professionnelle, attestée par l’entité de certification
Données LTV + horodatage d’archivage	Au scellement et à la finalisation	Vérifiabilité à long terme, hors ligne
Cachet du rapport de finalisation (AATL, DocMDP=1)	À la finalisation, sur le rapport — pas sur le document	Le rapport de preuves n’admet aucune modification

Le cachet de certification, appliqué avant toute signature

Les documents publiés via l’assistant sont scellés au moment de l’envoi, avant que le premier signataire n’y touche — sauf ceux qui arrivent déjà signés : un PDF importé qui contient déjà des signatures ne reçoit pas de cachet, car le cachet devrait être la première signature du fichier, et il n’accepte qu’une cosignature avec la Chave Móvel Digital. Le cachet est une signature de certification invisible, appliquée sur le serveur.

Certificat	Sectigo AATL Document Signing (rmb-aatl-signing)
Délivré à	RMB - SISTEMAS DE INFORMACAO LDA — l’entité qui exploite AssinaJá
Clé privée	Azure Key Vault Premium HSM, clé non exportable — elle ne quitte jamais le module
Niveau eIDAS	AES (Art. 26)
Profil PAdES	PAdES-BES, ou PAdES-LTV avec l’horodatage d’archivage (ETSI TS 102 778). Ce n’est pas un profil baseline de l’EN 319 142-1 — voir ci-dessous

AATL est l’Adobe Approved Trust List. Adobe Reader lui fait confiance par défaut, et c’est pourquoi le document s’ouvre avec la coche verte sans que le lecteur ait quoi que ce soit à installer ou à configurer.

Ce que DocMDP=3 autorise et interdit

Le cachet inscrit /Perms/DocMDP avec /P 3. Dès lors, le PDF n’accepte que trois choses : le remplissage de champs de formulaire, des signatures supplémentaires et des annotations. Toute modification du contenu des pages invalide le cachet, et le lecteur PDF affiche alors le document comme modifié.

Adobe Reader l’annonce ainsi :

L’auteur a indiqué que le remplissage de formulaires, les signatures et les commentaires sont autorisés pour ce document. Aucune autre modification n’est autorisée.

Pourquoi cela compte même pour un document à signatures simples

Un document signé uniquement avec des signatures visuelles sort malgré tout sous forme de PDF scellé cryptographiquement, avec horodatage qualifié et détection des modifications. La signature du signataire reste une SES — ce qui change, c’est que le document ne peut plus être altéré sans que cela se voie.

Les signatures visuelles sont ajoutées sous forme d’annotations

Chaque signature visuelle — image de la signature ou du paraphe, nom, date — est écrite comme une annotation dotée de son propre flux d’apparence, et non dessinée sur la page.

La raison tient à la règle ci-dessus : sous DocMDP=3, les annotations sont une modification autorisée, le contenu des pages ne l’est pas. Écrire la signature sur la page invaliderait le cachet de la plateforme ; l’écrire comme annotation le laisse intact.

Chaque signature est ajoutée dans une révision incrémentale : rien de ce qui était déjà écrit n’est réécrit. C’est pourquoi plusieurs signataires qualifiés successifs fonctionnent — la signature de la troisième personne ne touche pas la plage d’octets couverte par celle de la première.

Si Adobe indique « annotations modifiées »

Chaque signature visuelle porte son propre identifiant, et Adobe ne les signale pas. Un document plus ancien peut encore afficher « annotations modifiées » : c’est une note informative, pas une invalidation — le contenu signé reste identique octet par octet, et le /P 3 autorise l’ajout de signatures.

La signature qualifiée avec la Chave Móvel Digital

Lorsqu’un signataire signe avec la Chave Móvel Digital, le PDF contient une signature QES produite avec un certificat qualifié délivré par l’ARTE (anciennement AMA), prestataire de services de confiance qualifié inscrit sur la liste de confiance portugaise de l’UE (EU Trust List). La clé privée réside dans un HSM de l’ARTE — jamais sur le téléphone du signataire ni dans AssinaJá.

Techniquement, il s’agit d’un conteneur CAdES-BES (ETSI.CAdES.detached, avec les attributs signés content-type, message-digest et signing-certificate-v2, en SHA-256) scellé par un horodatage qualifié. Le validateur DSS de la Commission européenne classe le résultat comme QESig / TOTAL_PASSED, dans le profil PAdES-BASELINE-T.

Voir Signature qualifiée avec la CMD.

Les cachets SCAP, lorsque les attributs sont intégrés

Avec les attributs professionnels (SCAP), le document reçoit une signature supplémentaire par entité de certification, qui atteste la qualité en laquelle le signataire a signé. Ce que cela prouve, et ce qui est inscrit sur le tampon, est décrit dans CMD et CMD avec attributs professionnels.

Le rapport de finalisation porte son propre cachet

Le rapport de preuves est scellé avec le même certificat AATL, mais en DocMDP=1 — il n’admet aucune modification, alors que le document conserve le DocMDP=3 décrit plus haut. Son contenu est décrit dans Ce que contient le rapport de finalisation.

Validation à long terme (LTV)

Une signature ne peut être validée que si, au moment de la vérification, il est encore possible de savoir que le certificat était valide lorsqu’il a été utilisé. Au bout de quelques années, les services qui répondent à cette question peuvent avoir disparu. C’est ce problème que résout la LTV : conserver les réponses à l’intérieur du fichier.

Au scellement, AssinaJá recueille les réponses OCSP/CRL et les certificats de la chaîne, et les inscrit dans le PDF, dans un Document Security Store (/DSS) comportant une entrée par signature (/VRI). Ce sont ces données qui font qu’Adobe affiche la signature comme compatible LTV.

Une précision honnête sur le nom du profil. Le validateur de la Commission européenne (EU DSS) classe le cachet comme PAdES-BES — ou PAdES-LTV lorsque l’horodatage d’archivage est présent — qui sont des profils de la norme ETSI TS 102 778, et non comme un profil baseline (B-T, B-LT, B-LTA) de l’EN 319 142-1. Les données techniques sont présentes ; c’est la classification qui diffère. La politique de signature dit la même chose.

À la finalisation, un horodatage d’archivage est ajouté ; il couvre l’ensemble du fichier, y compris ces données de validation. Le validateur le signale alors comme PAdES-LTV, et c’est aussi ce qui fait disparaître l’avertissement « modifications après la dernière signature ».

Les horodatages proviennent d’autorités d’horodatage qualifiées européennes, sollicitées dans un ordre de priorité fixe, en passant à la suivante si l’une échoue — ce n’est pas une liste tournante. Pour l’horodatage de chaque signature, la première est la TSA de la Cartão de Cidadão (carte d’identité portugaise, IRN/AMA), suivie d’IZENPE, de la BOSA belge, de Sectigo Europe, de BalTstamp et de l’ACCV. Pour l’horodatage d’archivage, la TSA de la Cartão de Cidadão est volontairement exclue : son horodatage ne contient pas la chaîne complète, et avec lui Adobe affiche « Signé par Inconnu ». Aucun document ne reste sans horodatage à cause de l’indisponibilité d’un service.

L’effet pratique de tout cela se résume à un point : la personne qui reçoit le PDF le valide avec ce qu’il contient. Elle n’a besoin ni d’un accès à Internet, ni d’AssinaJá.

La signature CMD reste en B-T, pas en B-LT. L’enrichissement LTV est aussi exécuté pour la CMD, mais le certificat de la Cartão de Cidadão ne publie pas de point d’accès à la révocation qui permette de l’intégrer de manière fiable. La signature est pleinement valide ; ce qui devient plus difficile, c’est de la vérifier de nombreuses années après l’expiration du certificat, car cette vérification dépend de la réponse des services OCSP/CRL de l’époque.

Conservez la paire. C’est pourquoi vous devez archiver le PDF signé et le rapport de finalisation, ensemble — voir Valider un document signé.

Les limites, en toute clarté

Les limites juridiques — le cachet de la plateforme est de niveau AES et non QES, et seule la Chave Móvel Digital produit une signature qualifiée — sont décrites dans Valeur juridique. La limite technique de cette page est unique : la signature CMD reste en B-T, c’est pourquoi la paire PDF + rapport de finalisation doit être conservée — voir Validation à long terme (LTV).

Voir aussi

• Valider un document signé — comment vérifier tout cela sans AssinaJá
• Niveaux de signature
• Signature qualifiée avec la CMD
• Historique et audit
• Valeur juridique