Aller au contenu principal
Quelle Signature

Cachet et horodatage

Cachet qualifié ou avancé : partez de l’avancé, passez au qualifié si un texte, un tiers ou votre besoin de preuve le justifie

Pour qui : Responsable juridique ou opérations qui a retenu le cachet pour un flux et doit fixer son niveau, face à des offres qui emploient le mot « qualifié » pour le service, le certificat ou le cachet.

Partez d’un cachet avancé (un cachet atteste, au nom d’une organisation, qu’un document vient d’elle et n’a pas changé), et montez au qualifié si un texte le vise, si un tiers l’exige ou si vous comptez sur la présomption d’intégrité et d’origine que l’article 35 du règlement européen eIDAS réserve au cachet qualifié : l’une et l’autre sont alors supposées établies jusqu’à preuve contraire. Un cachet qualifié est un cachet avancé créé avec un dispositif qualifié (l’outil de création du cachet, reconnu au niveau qualifié) et reposant sur un certificat qualifié : le certificat seul ne suffit pas. À notre lecture de la liste de confiance (la liste officielle de chaque État membre), un certificat relevant du qualificatif QCNoQSCD, qui indique que sa clé privée ne réside pas dans un dispositif qualifié, ne fonde ni signature ni cachet qualifiés, et plusieurs services de cachet inscrits au statut accordé le portent. Cette lecture reste à faire confirmer et ne dit pas qu’un éditeur ne fournit aucun cachet qualifié. Demandez donc par écrit le niveau du cachet livré, le service, l’entité et le dispositif.

Notre avis

Le niveau utile dépend de ce qu’un tiers fera du cachet. La dépense en jeu n’est pas seulement le prix : c’est le risque de payer un service que vous croyez qualifié sans obtenir la présomption.

Pourquoi

  • Un destinataire qui contrôle lui-même le fichier peut se satisfaire de l’origine et de l’intégrité détectées techniquement.
  • Si le document peut finir devant un juge sans autre preuve de son origine, la présomption vaut d’être payée.
  • Un service inscrit porte parfois plusieurs politiques, c’est-à-dire plusieurs règles d’émission de ses certificats : seul l’écrit du prestataire dit laquelle vous concerne.

Ce qui change le choix

Si votre fournisseur compte le qualifié au même prix, prenez-le : le critère devient alors le parcours de mise en œuvre. Si un tiers exige « qualifié » sans préciser, demandez-lui s’il attend le cachet ou seulement le certificat.

L’ordre à suivre

  1. Cachet avancé si le destinataire veut un contrôle technique et qu’aucun texte ne fixe le niveau
  2. Cachet qualifié si un texte le vise, si un tiers l’exige, ou si le flux repose sur la présomption de l’article 35 (intégrité et origine du document supposées établies jusqu’à preuve contraire)
  3. Certificat qualifié sans dispositif qualifié, c’est-à-dire sans équipement qualifié pour créer le cachet et garder sa clé : à notre lecture, un cachet avancé reposant sur un certificat qualifié, à acheter comme tel

Ce que les textes lus demandent : tantôt l’avancé, tantôt le qualifié

Ces textes ne visent peut-être pas votre flux. Ils montrent que le niveau change selon l’objet : n’en tirez pas une règle valable pour tous les usages. Le tableau n’est pas exhaustif.

Textes lus le 4 novembre 2026. Une norme de secteur ou un cahier des charges peut ajouter une exigence.
TexteObjetNiveau visé
Code des postes et des communications électroniques (CPCE), R53-2Preuve de dépôt d’un recommandé électroniqueSignature ou cachet avancé du prestataire
Règlement eIDAS, article 42Horodatage qualifiéSignature ou cachet avancé du prestataire, ou méthode équivalente
CGI, annexe III, article 96 F terFacture, si vous suivez la voie prévue au 4° de l’article 289 VII du CGI (voir notre page sur le cachet pour les factures)Cachet qualifié : dispositif et certificat qualifiés
Décret n° 2016-1673, article 3Intégrité d’une copie présumée fiableUn cachet qualifié, comme un horodatage ou une signature qualifiés, fait présumer cette condition

Service qualifié sur la liste, certificat marqué QCNoQSCD : notre lecture, à faire confirmer

La spécification ETSI TS 119 612 indique que QCWithQSCD signale une clé privée dans un dispositif qualifié, QCQSCDManagedOnBehalf aussi, le prestataire gérant cette clé pour le titulaire, et QCNoQSCD le contraire. L’article 3 définit le cachet qualifié avec un dispositif qualifié. Nous en déduisons qu’un certificat QCNoQSCD ne fonde qu’un cachet avancé reposant sur un certificat qualifié, hors de la présomption de l’article 35.

Cette déduction a trois limites. Aucun arrêt ni position de l’ANSSI, l’autorité française de sécurité des systèmes d’information, ne la confirme dans ce que nous avons lu. Nous n’avons pas relevé les filtres de la liste, qui rattachent un qualificatif à certains certificats. Et le relevé de la liste reste à contrôler. Cette déduction ne vaut donc pas constat sur une offre. Elle justifie une question écrite.

Le tableau complète celui de notre guide par une colonne que l’acheteur peut contrôler : la gestion à distance d’un dispositif de cachet, inscrite comme service distinct. Un cachet qualifié « à distance » suppose ce type de service, chez l’entité ou un tiers : c’est notre lecture de la liste et du point 23 ter de l’article 3, qui le fait gérer par un prestataire qualifié selon l’article 39 bis. La sélection n’a pas valeur d’inventaire.

Services au statut accordé, liste de France n° 182, émise le 16 octobre 2026. « Non vu » vaut pour cette liste, l’entité pouvant s’appuyer sur un service tiers.
Service de cachetEntitéQualificatif sur le dispositifGestion à distance de cachet vue sur la liste
SUNNYSTAMP LEGAL PERSONS CA 1Lex PersonaQCWithQSCD et QCQSCDManagedOnBehalfRemote Qualified Electronic Seal Service
FR07Lex PersonaQCNoQSCDMême entité, rattachement à ce certificat non établi
Universign CA Hardware 2023Cryptolog InternationalQCWithQSCD, QCQSCDManagedOnBehalf et QCNoQSCDUniversign rQSCD, OID 1.3.6.1.4.1.15819.5.9.2.1
DocuSign Premium Sealing CA - G2Docusign FranceQCNoQSCDNon vu
Yousign qualified esealYoutrustQCNoQSCDNon vu
CertEurope eID Corp - SealCertEuropeQCNoQSCDNon vu
QCP-l Seal / Cachet QCP-lNAMIRIAL, nom commercial NETHEOSQCNoQSCDNon vu

Le mot « qualifié » dans une offre : trois sens à séparer

La documentation de Youtrust annonce des cachets simple, avancé et qualifié. Cette déclaration ne contredit pas la liste : elle peut viser une offre, et la liste vise des services. Ne tranchez pas à la place du prestataire : demandez-lui lequel de ces trois sens il retient.

Service qualifié : un service inscrit sur une liste de confiance, pour une entité, à une date. Certificat qualifié : le certificat émis par ce service. Cachet qualifié : le résultat apposé sur votre document, avec dispositif et certificat qualifiés. Seul le troisième porte la présomption de l’article 35. Le raisonnement sur ce que change une présomption en cas de litige se trouve sur notre page consacrée à la présomption.

Limites de cette page

Lecture du 4 novembre 2026, sans test et sans relecture par un avocat. Nous avons lu le règlement sur le PDF de sa version consolidée française du 18 octobre 2024, qui n’a pas d’effet juridique propre. La page EUR-Lex, lue le 4 novembre 2026 dans un texte extrait de cette page, la présente comme la version courante ; nous n’avons pas contrôlé nous-mêmes la liste des versions. La conséquence tirée de QCNoQSCD est notre lecture d’une extension de liste : aucun arrêt ni position de l’ANSSI n’a été lu sur ce point, les filtres de chaque qualificatif n’ont pas été relevés, et la liste a été lue par logiciel, signature du fichier non vérifiée. Le rapprochement entre le type de gestion à distance et un cachet qualifié distant est notre lecture. Aucun constat ne porte sur une offre commerciale. Le tableau des textes n’est pas exhaustif : aucune recherche par secteur n’a été menée.

Prochaine action

Envoyez au prestataire : « Le cachet livré est-il qualifié au sens de l’article 3, point 27, du règlement eIDAS ? Quel service, quelle entité, quelle politique de certificat et quel dispositif ? » Conservez sa réponse avec le contrat.

Preuves et sources

Règlement eIDAS consolidé du 18 octobre 2024 : article 3, points 23 ter et 27, articles 35, 36, 39, 39 bis et 42 lus sur son PDF français. Liste de France n° 182 émise le 16 octobre 2026, spécification ETSI TS 119 612, CGI (annexe III, article 96 F ter), Code des postes (R53-2), décret n° 2016-1673, documentation de Youtrust, lus le 4 novembre 2026. Aucun outil testé.

Chaque élément ci-dessous indique s’il s’agit d’un fait lu dans une source, d’une déclaration de son auteur, de notre calcul, de notre méthode ou de notre avis. Vérifiez sur le document toute source marquée à vérifier ou non tranchée avant de vous y fier. Notre méthode

  • Fait lu. Un cachet qualifié bénéficie d’une présomption d’intégrité des données et d’exactitude de leur origine, et la recevabilité d’un cachet ne peut être refusée au seul motif de sa forme ou de l’absence de qualification.

    Périmètre : Règlement eIDAS, art. 35

    Réserve : L’interdiction d’un motif de rejet ne garantit pas qu’un cachet donné sera retenu.

    Relevé du 4 novembre 2026.

  • Fait lu. Le cachet qualifié est défini comme un cachet avancé créé avec un dispositif qualifié et reposant sur un certificat qualifié de cachet.

    Périmètre : Article 3, point 27, consolidation française du 18 octobre 2024 ; même structure à l’article 96 F ter de l’annexe III du CGI

    Réserve : Consolidation lue sur son PDF, sans effet juridique propre.

    Relevé du 4 novembre 2026.

  • Fait lu. L’article R53-2 du CPCE vise la signature ou le cachet avancé du prestataire pour la preuve de dépôt d’un recommandé électronique.

    Périmètre : Recommandé électronique

    Réserve : Nous avons lu cet article dans un texte extrait de sa page : vérifiez le mot exact sur le texte officiel avant de le citer.

    Relevé du 4 novembre 2026.

  • Fait lu. L’article 42 du règlement eIDAS exige, pour un horodatage qualifié, une signature ou un cachet avancé du prestataire, ou une méthode équivalente.

    Périmètre : Art. 42, § 1, c

    Réserve : Consolidation française lue sur son PDF.

    Relevé du 4 novembre 2026.

  • Fait lu. L’article 96 F ter de l’annexe III du CGI vise un cachet avancé créé avec un dispositif qualifié et reposant sur un certificat qualifié.

    Périmètre : Factures, voie du 4°

    Réserve : Abrogation de l’article 289 à compter du 1er janvier 2027, VII maintenu jusqu’à sa reprise.

    Relevé du 4 novembre 2026.

  • Fait lu. Selon l’article 3 du décret n° 2016-1673, l’usage d’un horodatage qualifié, d’un cachet qualifié ou d’une signature qualifiée fait présumer la condition d’empreinte d’une copie.

    Périmètre : Copies fiables

    Réserve : Les autres articles du décret restent applicables.

    Relevé du 4 novembre 2026.

  • Fait lu. Selon ETSI TS 119 612, QCWithQSCD indique que la clé privée des certificats visés réside dans un dispositif qualifié, QCQSCDManagedOnBehalf aussi, le prestataire gérant cette clé pour le titulaire, et QCNoQSCD qu’elle n’y réside pas.

    Périmètre : Clause 5.5.9.2

    Réserve : Spécification technique.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. À notre lecture de cette extension, un certificat QCNoQSCD ne fonde ni signature ni cachet qualifiés, et il reste hors de la présomption de l’article 35 pour un cachet.

    Périmètre : Rapprochement de la définition, de la spécification et de l’article 35

    Réserve : Notre lecture, à faire confirmer. Aucun arrêt ni position de l’ANSSI lu. Filtres non relevés.

    Relevé du 4 novembre 2026.

  • Fait lu. SUNNYSTAMP LEGAL PERSONS CA 1 et FR07 de Lex Persona figurent sur la liste de France n° 182, émise le 16 octobre 2026, avec le statut accordé ; le premier porte QCWithQSCD, le second QCNoQSCD.

    Périmètre : Services nommés

    Relevé du 4 novembre 2026.

  • Fait lu. Universign CA Hardware 2023 de Cryptolog International porte QCWithQSCD et QCNoQSCD sur la même liste, avec le statut accordé.

    Périmètre : Service nommé, plusieurs politiques

    Réserve : Filtres non relevés.

    Relevé du 4 novembre 2026.

  • Fait lu. DocuSign Premium Sealing CA - G2 de Docusign France, Yousign qualified eseal de Youtrust, CertEurope eID Corp - Seal de CertEurope et QCP-l Seal de NAMIRIAL figurent sur la même liste avec le statut accordé, avec QCNoQSCD relevé et sans QCWithQSCD vu.

    Périmètre : Quatre services nommés

    Réserve : N’établit pas qu’un éditeur ne fournit aucun cachet qualifié.

    Relevé du 4 novembre 2026.

  • Fait lu. Remote Qualified Electronic Seal Service de Lex Persona et Universign rQSCD (OID 1.3.6.1.4.1.15819.5.9.2.1) de Cryptolog International figurent comme services de gestion à distance d’un dispositif de cachet sur la même liste, avec le statut accordé ; aucun service de ce type n’a été vu pour Docusign France, Youtrust, CertEurope ni NAMIRIAL sur cette liste.

    Périmètre : Type RemoteQSealCDManagement/Q

    Réserve : Non trouvé sur cette liste ; l’entité peut s’appuyer sur un service tiers ou sur un autre dispositif. Un service de ce type existe aussi pour une entité hors de notre sélection.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. Selon notre lecture de la liste et du point 23 ter de l’article 3, un dispositif qualifié de création de cachet à distance est géré par un prestataire qualifié selon l’article 39 bis, ce qui rapproche un cachet qualifié à distance du type de service de gestion à distance inscrit sur la liste.

    Périmètre : Règlement eIDAS, article 3, point 23 ter, et article 39 bis, consolidation française du 18 octobre 2024

    Réserve : Le rapprochement avec le type de service inscrit reste notre lecture.

    Relevé du 4 novembre 2026.

  • Déclaration de l’émetteur. Youtrust annonce des cachets simple, avancé et qualifié.

    Périmètre : Documentation et page tarifs

    Réserve : Non recoupé avec une offre précise.

    Relevé du 4 novembre 2026.

  • Notre avis. Partir d’un cachet avancé et monter au qualifié si un texte, un tiers ou le recours à la présomption le justifie, en faisant écrire le niveau du cachet livré.

    Périmètre : Flux d’une PME sans exigence supérieure

    Réserve : Avis assumé. Aucun texte lu ne donne d’effet propre au cachet avancé, sauf là où il est visé.

    Relevé du 4 novembre 2026.