Aller au contenu principal
Quelle Signature

Statuts par prestataire

Un éditeur peut vendre une signature qualifiée grâce à un prestataire tiers : exigez que ce tiers soit nommé

Pour qui : Acheteur séduit par une interface ou un prix chez un éditeur qui ne figure pas sur une liste, et qui se demande s’il peut quand même lui acheter une signature qualifiée.

Oui, un éditeur peut délivrer une signature qualifiée grâce à un prestataire tiers : le règlement européen eIDAS définit la signature qualifiée par un certificat qualifié et un dispositif qualifié, et ne demande pas que celui qui vend l’interface les porte lui-même. Acceptez ce montage si le contrat nomme trois éléments, le service de certificats, le service de gestion du dispositif et l’entité qui les porte, et si un exemplaire signé confirme la réponse. Si le tiers reste anonyme, n’achetez pas ce niveau chez cet éditeur : aucune liste officielle de services de confiance ne vous permet de vérifier un nom que vous n’avez pas.

Notre avis

L’interface peut appartenir à un éditeur et le statut qualifié à un autre prestataire. Cela ne pose aucun problème, tant que vous savez qui est ce prestataire et que votre contrat le dit.

Pourquoi

  • Seul le nom du prestataire tiers permet de trouver la bonne ligne sur la liste de confiance.
  • Un exemplaire signé donne un second contrôle, indépendant de la réponse commerciale.
  • Le changement de tiers en cours de contrat est un risque concret, que seule une clause d’information couvre.

Ce qui change le choix

Si vos actes appellent une simple ou une avancée, n’entrez pas dans ce contrôle : le tiers qualifié ne concerne pas ces niveaux.

L’ordre à suivre

  1. Éditeur qui nomme par écrit le tiers et ses services, et qui remet un exemplaire signé à contrôler : acceptable
  2. Éditeur qui ne donne ces noms que sur demande : les demander par écrit, puis décider
  3. Éditeur qui ne nomme pas le tiers : pas d’achat de qualifiée, le reste de l’offre peut convenir

Les trois éléments à faire nommer, et la ligne à relire pour chaque service

Pour une signature qualifiée, le règlement exige une signature avancée, créée avec un dispositif qualifié (le logiciel ou le matériel qui crée la signature) et reposant sur un certificat qualifié (l’attestation électronique qui rattache la signature à une personne). Lorsque le dispositif est géré à distance pour le compte du signataire, le § 1 bis de l’article 29 réserve cette gestion à un prestataire qualifié. L’horodatage est distinct : il n’entre pas dans cette définition, mais il documente la date. Le tableau suit donc les deux services et l’entité qui les porte, puis l’horodatage, s’il est annoncé.

Méthode de contrôle, types tels qu’ils figurent sur les listes.
Point à contrôlerCe qu’il faut nommerType à lire sur la listeSi la réponse manque
Certificat du signataireService et entité qui délivrent le certificatCA/QC avec ForeSignatures, puis le qualificatif de votre politique de certificat : QCWithQSCD ou QCQSCDManagedOnBehalf indique un dispositif qualifié, QCNoQSCD l’exclut ; sans aucun des trois, lisez le certificat lui-mêmeVous ne pouvez pas lire le statut : ne présentez pas la signature comme qualifiée
Dispositif de créationService de gestion à distance, ou support physique remis au signataireRemoteQSigCDManagement/Q pour la gestion à distanceLe certificat seul ne prouve pas le dispositif : demander la politique du certificat
HorodatageService d’horodatage, s’il est annoncé comme qualifiéTSA/QTSTLa signature n’en dépend pas, mais la date du document se prouve moins facilement

18 entités françaises à certificats de signature accordés, 6 à gestion à distance : le tiers doit pouvoir répondre sur les deux lignes

Sur la liste de France n° 182, notre décompte trouve ces deux populations. Les 6 font toutes partie des 18 : douze entités du premier groupe n’apparaissent donc pas dans le second. Cela ne dit pas qu’elles n’ont pas de dispositif, puisque le certificat peut être remis sur un support physique. Si la signature se fait en ligne, demandez à l’éditeur quel service gère le dispositif. L’article 51, § 3, fixait aussi une échéance transitoire au 21 mai 2026 pour la gestion à distance par des prestataires qualifiés sans statut qualifié pour ce service : demandez depuis quand le service indiqué a le statut accordé sur la liste, et contrôlez-le dans son historique, car la date affichée est celle du statut courant.

Deux éditeurs lus illustrent le cas ouvert. Certyneo écrit que le certificat est « émis par un tiers de confiance européen », sans le nommer. Les conditions anglaises d’Oodrive Sign renvoient à une autorité de certification tierce, avec une liste disponible sur demande. Nous n’en faisons aucun reproche à ces éditeurs : simplement, l’acheteur ne peut encore rien vérifier.

Faites signer un document sans enjeu : l’exemplaire contrôle ce que dit le commercial

Demandez un exemplaire réellement signé sur le plan que vous achetez, avec une identité de test. Ouvrez-le dans le panneau de signatures de votre lecteur PDF et relevez l’émetteur du certificat, comme l’explique notre page sur la vérification d’une signature reçue. Si la politique du certificat n’y apparaît pas, demandez son numéro par écrit à l’éditeur. Comparez ensuite ces deux valeurs à sa réponse écrite. L’article 32 liste ce que vérifie une validation : un certificat qualifié valide au moment de la signature, délivré par un prestataire qualifié, un dispositif qualifié, une intégrité préservée, entre autres.

La Commission met en ligne un outil de démonstration de validation. Il se présente comme réservé aux tests, sans valeur de service officiel, et déconseille les documents sensibles. Il convient donc à ce document sans enjeu, pas à votre contrat. Nous ne l’avons pas testé.

La phrase à faire écrire : « Les signatures de niveau qualifié sont créées avec le service [nom sur la liste], qui délivre les certificats, et le service [nom sur la liste ou support remis], qui gère le dispositif, inscrits au nom de [entité, TVA] sur la liste de confiance de [pays]. [Éditeur] reste responsable envers le client de la fourniture de ce niveau, et l’informe avant tout changement de prestataire, avec un droit de résiliation si le niveau ne peut être maintenu. »

Limites de cette page

Fichiers XML des listes lus par logiciel, signature du fichier non vérifiée : les décomptes de 18 et 6 entités sont confirmés sur le fichier. L’article 51 a été lu sur le PDF de la version consolidée française du 18 octobre 2024. L’article 32 a été relu sur une reproduction britannique et résumé sur la consolidation. L’outil de démonstration n’a pas été testé et ses filtres ne sont pas décrits. La clause proposée ne constitue pas un avis sur un contrat donné ; sa répartition de responsabilité se négocie. Une liste ne dit rien des contrats entre un éditeur et un prestataire.

Prochaine action

Envoyez à votre éditeur la phrase ci-dessus et demandez un exemplaire signé sur votre plan. Relisez les deux services sur la liste du pays indiqué avant de payer.

Preuves et sources

Règlement eIDAS consolidé du 18 octobre 2024, articles 3, 26, 29 et 32, lus lors de la recherche, article 32 relu le 4 novembre 2026 sur une reproduction, articles 29 et 51 lus le même jour sur le PDF français. Liste de France n° 182 émise le 16 octobre 2026 et liste d’Italie n° 224, lues en entier par logiciel. Spécification ETSI TS 119 612 V2.3.1, clause 5.5.9.2.3. Conditions de Certyneo et d’Oodrive Sign. Outil de démonstration de la Commission décrit d’après sa page, non testé.

Chaque élément ci-dessous indique s’il s’agit d’un fait lu dans une source, d’une déclaration de son auteur, de notre calcul, de notre méthode ou de notre avis. Vérifiez sur le document toute source marquée à vérifier ou non tranchée avant de vous y fier. Notre méthode