Aller au contenu principal
Quelle Signature

Cachet et horodatage

Cachet serveur, apposé automatiquement : commencez par un service distant plutôt que par votre propre matériel

Pour qui : Responsable technique ou opérations de PME chargé de faire apposer automatiquement un cachet sur des documents émis par une application, sans équipe sécurité dédiée.

Commencez par un service de cachet distant, que votre application appelle par API (l’interface qui relie deux logiciels) : vous évitez d’exploiter vous-même la clé numérique qui produit le cachet de votre organisation, et le contrat permet de demander par écrit le service et le dispositif de création du cachet. Un module matériel en propre, un équipement de sécurité qui garde cette clé chez vous, ne se défend, à notre avis, que si une politique de sécurité écrite impose la maîtrise des clés. Avant de coder, fixez le niveau du cachet, car il décide du prestataire ; prévoyez le délai d’identification de votre représentant, puis le secret d’accès à l’API, le format et le renouvellement du certificat. Testez avec un fichier sans donnée sensible. Si votre cachet doit être qualifié, vérifiez sur la liste de confiance (la liste officielle de chaque État membre) le service de certificat et le service de gestion à distance de cachet : Lex Persona et Cryptolog International en ont un au statut accordé sur la liste de France n° 182, émise le 16 octobre 2026.

Notre avis

Une PME n’a pas intérêt à exploiter elle-même une clé d’organisation sans équipe pour s’en occuper. Le service distant déplace le risque vers un contrat que vous pouvez lire.

Pourquoi

  • Une clé de cachet compromise permet d’émettre des documents en votre nom, en masse.
  • L’exploitation d’un module matériel suppose des compétences et de la continuité, dont le coût n’a pas été relevé ici.
  • Le service distant reste contrôlable : liste de confiance, contrat, export des certificats.

Ce qui change le choix

Une politique de sécurité écrite, un réseau fermé ou un prestataire qui ne peut pas préciser par écrit le dispositif de création du cachet font basculer le choix.

L’ordre à suivre

  1. Service distant du prestataire, appelé par API, avec service et dispositif écrits au contrat
  2. Certificat de cachet installé chez vous, si le flux ne peut pas sortir et que le niveau avancé vous suffit
  3. Module matériel en propre, si une politique de sécurité l’impose

Sept étapes, de l’écrit sur le niveau au renouvellement

L’ordre compte : l’étape 1 peut vous faire changer de prestataire, donc de code. Les étapes sont notre proposition, nourrie par les documentations citées ; aucun outil n’a été testé.

  1. Demandez par écrit le niveau et le service. Demandez au prestataire le niveau du cachet, le service de certificat, l’entité qui le fournit et le dispositif qui crée le cachet. Notre page sur le cachet qualifié ou avancé donne la question à lui envoyer. Si le prestataire ne répond pas par écrit, ne partez pas sur le qualifié avec ce prestataire.
  2. Planifiez l’identification de votre organisation. CertEurope indique un face-à-face pour son cachet serveur eIDAS. Demandez le délai et qui représente la société, avant de fixer une date de mise en service.
  3. Choisissez comment votre application demande le cachet. Universign documente l’appel POST /v1/transactions/{id}/sealers/{seal_id}/authorize, un certificat de personne morale QCP-l-qscd et un PIN transmis. Goodflag annonce une API de cachetage, Youtrust un cachet en option de ses plans API. Regardez dans leur documentation ce qui transite par votre application, par exemple le PIN.
  4. Traitez le PIN et le jeton comme la clé elle-même. Rangez-les dans un coffre à secrets (un logiciel qui stocke et protège ces accès), changez-les régulièrement, réservez l’accès au service qui appose le cachet et gardez un journal de chaque cachet. Un secret dans le code revient à donner la capacité d’émettre en votre nom.
  5. Fixez le format et le niveau de durée. PAdES pour un PDF lu par des personnes, B-T ou plus si la date compte, B-LT ou B-LTA si la durée dépasse le certificat. Nos pages sur le format et le long terme tranchent.
  6. Testez sur un fichier fictif. La démonstration DSS de la Commission européenne, un outil en ligne qui vérifie les signatures, convient pour un test, avec un fichier sans donnée sensible : la page déconseille fortement les documents sensibles. Elle n’est pas un service de validation.
  7. Inscrivez la fin du certificat. Durées affichées chez CertEurope : un ou trois ans. Notez la date à l’agenda d’une équipe, pas d’une personne, et prévoyez le nouveau parcours d’identification. Conservez les certificats passés.

Trois montages, et ce que la liste permet de contrôler

La liste n’atteste pas votre montage : elle atteste qu’un service existe pour une entité. Le qualificatif QCQSCDManagedOnBehalf indique, selon la spécification ETSI, un dispositif géré pour le compte du titulaire, ce qui correspond au modèle distant.

Avis du 4 novembre 2026. Aucun prix de module matériel relevé, aucun outil testé. La colonne de contrôle s’appuie sur la liste de France n° 182, émise le 16 octobre 2026.
MontageQuandCe qui se contrôle
Service distant par APIChoix par défautService de certificat, gestion à distance de cachet, qualificatif du dispositif, contrat
Certificat installé chez vousFlux fermé, niveau avancé acceptableStockage de la clé : à notre lecture, un certificat QCNoQSCD, mention de la liste indiquant que la clé ne réside pas dans un dispositif qualifié, fonde un cachet avancé reposant sur un certificat qualifié
Module matériel en proprePolitique de sécurité écriteCertification du module, procédures, continuité : non lues ici

Limites de cette page

Lecture du 4 novembre 2026, sans test et sans audit de sécurité. Les étapes sont une proposition. Les recommandations sur les secrets et sur l’agenda sont notre avis, sans norme citée. Le coût d’un module matériel et les exigences de certification de ces modules n’ont pas été lus : le jugement porté reste une opinion. Les documentations d’éditeurs restent des déclarations, non recoupées avec une offre précise. La lecture de QCNoQSCD reste à faire confirmer. La gestion à distance existe aussi chez une entité hors de notre sélection. Pour un cachet qualifié distant, le rapprochement avec le type inscrit sur la liste est notre lecture.

Prochaine action

Envoyez la question de l’étape 1 à deux prestataires, puis estimez avec eux le délai de l’étape 2 avant de fixer une date de mise en service.

Preuves et sources

Liste de France n° 182 émise le 16 octobre 2026, spécification ETSI TS 119 612, norme EN 319 142-1 lue en partie, documentations d’API d’Universign, de Youtrust et de Goodflag, grille de CertEurope, page de démonstration DSS, lus le 4 novembre 2026. Aucun outil testé, aucun prix de module matériel relevé.

Chaque élément ci-dessous indique s’il s’agit d’un fait lu dans une source, d’une déclaration de son auteur, de notre calcul, de notre méthode ou de notre avis. Vérifiez sur le document toute source marquée à vérifier ou non tranchée avant de vous y fier. Notre méthode

  • Fait lu. Remote Qualified Electronic Seal Service de Lex Persona et Universign rQSCD (OID 1.3.6.1.4.1.15819.5.9.2.1) de Cryptolog International figurent sur la liste de France n° 182, émise le 16 octobre 2026, comme services de gestion à distance d’un dispositif de cachet, avec le statut accordé.

    Périmètre : Sélection, type RemoteQSealCDManagement/Q

    Réserve : Liste lue par logiciel, signature du fichier non vérifiée. Ne prouve pas qu’une offre délivre ce service.

    Relevé du 4 novembre 2026.

  • Fait lu. Selon ETSI TS 119 612, QCQSCDManagedOnBehalf indique un dispositif géré pour le compte du titulaire.

    Périmètre : Clause 5.5.9.2

    Réserve : Spécification technique ; définition résumée.

    Relevé du 4 novembre 2026.

  • Déclaration de l’émetteur. CertEurope indique un face-à-face pour son cachet serveur eIDAS, et des durées d’un an et de trois ans.

    Périmètre : Grille « tous les produits »

    Réserve : Délai non indiqué.

    Relevé du 4 novembre 2026.

  • Déclaration de l’émetteur. Universign documente l’appel POST /v1/transactions/{id}/sealers/{seal_id}/authorize, avec un certificat de personne morale QCP-l-qscd et un PIN transmis.

    Périmètre : Référence API

    Réserve : Non testé.

    Relevé du 4 novembre 2026.

  • Déclaration de l’émetteur. Goodflag annonce une API de cachetage, et Youtrust un cachet en option de ses plans API Pro et Scale.

    Périmètre : Pages d’éditeurs

    Réserve : La page tarifs de Youtrust indique Pro seulement. Prix non lus.

    Relevé du 4 novembre 2026.

  • Fait lu. La démonstration DSS de la Commission réserve l’outil aux tests et déconseille fortement les documents sensibles.

    Périmètre : Page de démonstration

    Réserve : Outil non testé.

    Relevé du 4 novembre 2026.

  • Fait lu. La norme PAdES décrit les niveaux B-B, B-T, B-LT et B-LTA pour signatures et cachets.

    Périmètre : EN 319 142-1 V1.2.1

    Réserve : Lecture partielle.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. À notre lecture, un certificat QCNoQSCD fonde un cachet avancé reposant sur un certificat qualifié.

    Périmètre : Rapprochement de la définition et de la spécification

    Réserve : À faire confirmer.

    Relevé du 4 novembre 2026.

  • Notre avis. Commencer par un service distant et réserver le module matériel à une politique de sécurité écrite ; traiter secret d’accès et fin de certificat comme des points d’exploitation.

    Périmètre : PME sans équipe sécurité dédiée

    Réserve : Avis assumé. Coût et exigences d’un module non lus.

    Daté du 4 novembre 2026.

  • Notre méthode. Les sept étapes de mise en œuvre et le tableau des trois montages.

    Périmètre : Proposition à adapter

    Réserve : Sans test.

    Daté du 4 novembre 2026.