Comment vérifier qu'un PDF signé n'a pas été modifié

Pourquoi c'est important

Un PDF signé n'est utile que si vous pouvez démontrer qu'il s'agit bien du fichier qui a été signé. Si quelqu'un modifie un prix, une date ou une clause après la signature, les signatures sur la page ont toujours la même apparence. Vous ne pouvez pas repérer la différence à l'œil nu, et vous ne devriez pas avoir à le faire.

Chaque document achevé dans eSora Sign est scellé de sorte que toute modification ultérieure soit détectable. Ce guide présente trois façons de le vérifier, de la plus simple à la plus technique. Vous pouvez utiliser n'importe laquelle d'entre elles, et elles ne dépendent pas les unes des autres.

Méthode 1 : la page Vérifier

La vérification la plus rapide se fait sur la page publique Vérifier du site Web d'eSora Sign. Vous n'avez pas besoin de compte, pas plus que les personnes à qui vous transmettez le fichier.

Ouvrez Vérifier un document et déposez le PDF signé sur la page. Le fichier est vérifié dans votre navigateur par rapport à notre dossier du document terminé. Vous pouvez aussi taper le numéro de dossier imprimé sur le certificat d'achèvement si vous voulez seulement consulter le dossier.

Si le fichier correspond, la page affiche une confirmation claire avec l'identifiant du dossier, la date d'achèvement et la liste des participants. S'il ne correspond pas, la page vous indique que le fichier n'est pas celui que nous avons scellé. Cela ne signifie pas toujours qu'il y a fraude. Les causes les plus courantes sont innocentes : le fichier a été réenregistré dans un autre programme, imprimé en PDF, compressé, ou quelqu'un a envoyé un brouillon au lieu de la copie finale. Demandez le téléchargement original.

Méthode 2 : le panneau des signatures de votre lecteur PDF

Le sceau d'intégrité qu'appose eSora Sign est une signature numérique intégrée au PDF lui-même. Les lecteurs PDF qui prennent en charge les signatures, comme Adobe Acrobat Reader, peuvent l'afficher.

Ouvrez le PDF et cherchez le panneau des signatures. Dans Acrobat Reader, il s'affiche sous forme de barre en haut du document ou d'icône de stylo dans le panneau latéral. Ouvrez-le et sélectionnez le sceau pour en voir les détails.

Vous verrez habituellement l'un de trois résultats. « Signé et toutes les signatures sont valides » signifie que le document n'a pas été modifié depuis l'apposition du sceau. « Le document a été modifié depuis sa signature » signifie que quelqu'un a modifié le fichier après le scellement. « Validité inconnue » signifie habituellement que votre lecteur ne fait pas encore confiance au certificat qui a servi à créer le sceau. Cela ne signifie pas à lui seul que le document a été modifié. Dans ce cas, le panneau indique souvent quand même que le document n'a pas été modifié, et vous pouvez le confirmer avec la Méthode 1 ou la Méthode 3.

Le panneau affiche aussi l'horodatage certifié. Un horodatage provenant d'une autorité d'horodatage indépendante démontre que le fichier existait sous cette forme exacte à ce moment, ce qui est utile si quelqu'un remet en question la date de signature d'un document.

Certaines visionneuses PDF de navigateur n'affichent pas du tout les signatures. Si vous ne voyez aucun panneau de signature, cela ne vous apprend rien sur le fichier. Ouvrez-le dans un lecteur qui prend en charge les signatures, ou utilisez une autre méthode.

Méthode 3 : comparer l'empreinte SHA-256

Le dossier de preuves indique une empreinte SHA-256 du PDF signé final, et la page Vérifier affiche la même valeur pour un dossier correspondant. SHA-256 est un algorithme largement utilisé qui transforme n'importe quel fichier en une chaîne de 64 caractères. Si un seul octet du fichier change, la chaîne change complètement. Il est, en pratique, impossible que deux fichiers différents produisent par hasard la même empreinte.

Vous pouvez calculer l'empreinte vous-même avec des outils déjà présents sur votre ordinateur.

Sous Windows, ouvrez l'invite de commandes et exécutez : certutil -hashfile signed.pdf SHA256

Sous macOS, ouvrez Terminal et exécutez : shasum -a 256 signed.pdf

Sous Linux, exécutez : sha256sum signed.pdf

Comparez le résultat à l’empreinte figurant dans le dossier de preuves. Les majuscules et les minuscules n’ont pas d’importance. Si chaque caractère correspond, le fichier est celui qui a été signé. Si quoi que ce soit diffère, il s’agit d’un autre fichier.

Il y a une subtilité. Le certificat d'achèvement est une page du PDF signé; il ne peut donc pas imprimer l'empreinte du fichier même dans lequel il se trouve. L'empreinte figurant sur le certificat est celle des pages du document signé avant l'ajout du certificat. L'empreinte du fichier complet, certificat compris, figure dans la liste des empreintes du dossier de preuves. Lorsque vous calculez l'empreinte du PDF téléchargé, comparez-la avec le dossier de preuves.

Ce qui brise un sceau

Tout ce qui réécrit le fichier modifie son empreinte et, pour la plupart des changements, apparaît comme modifié dans le panneau des signatures. Cela comprend des modifications évidentes, comme changer du texte ou ajouter une page, et d’autres moins évidentes :

Enregistrer de nouveau le fichier à partir d'un éditeur PDF, même sans modification. Imprimer en PDF ou exporter en PDF. Passer le fichier dans un outil de compression ou de conversion. Ajouter des commentaires ou du surlignage dans certains lecteurs. Aplatir ou optimiser le PDF. L'imprimer et le numériser de nouveau.

Si vous devez annoter un document signé, faites-en une copie et annotez la copie. Laissez le téléchargement original intact.

En cas d'échec d'une vérification

Pas de panique, et ne présumez pas la mauvaise foi. Commencez par demander d'où vient le fichier. S'il provient de vos propres dossiers, retrouvez le téléchargement original depuis eSora Sign. Vous pouvez toujours le télécharger de nouveau à partir du document achevé, et la page Vérifier confirmera la nouvelle copie.

Si le fichier provient d'une autre partie et ne correspond pas, demandez-lui l'original qu'elle a reçu lorsque le document a été complété. Chaque participant reçoit le même fichier scellé. Si les versions diffèrent réellement, la copie qui correspond à notre dossier est celle qui a été signée.

En cas de différend, téléchargez le dossier de preuves. Il comprend le PDF signé, le certificat, le journal des événements, le fichier téléversé original, les enregistrements de consentement et les empreintes de chaque fichier. C'est cet ensemble qu'un avocat ou un tribunal voudra voir.

Faites de la vérification une habitude

Pour les documents courants, vous aurez rarement besoin de vérifier quoi que ce soit. Mais pour les contrats importants, comme une vente importante, un bail ou une résolution du conseil, il vaut la peine de vérifier la copie que vous classez. Cela prend quelques secondes sur la page Vérifier et évite bien des doutes plus tard.

Si vous recevez régulièrement des documents signés par d'autres, par exemple dans une équipe des finances ou juridique, envisagez d'ajouter une vérification rapide avec Vérifier à votre processus de classement. Convenez d'une seule règle : nous classons le téléchargement original et nous le vérifions une fois avant de le classer.