Signature électronique eIDAS : opposable ou pas ?

Le cadre légal en deux articles clés

La signature électronique en Europe est régie par le règlement eIDAS UE 910/2014, applicable directement dans tous les États membres depuis le 1er juillet 2016. En droit français, la signature électronique est consacrée par le Code civil aux articles 1366 et 1367.

Article 1366 : « L'écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. »

Article 1367 : « La signature nécessaire à la perfection d'un acte juridique identifie celui qui l'appose. Lorsqu'elle est électronique, elle consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte auquel elle s'attache. »

Concrètement, ces deux articles disent qu'une signature électronique est par défaut recevable au même titre qu'une signature manuscrite, à condition de pouvoir prouver deux choses : qui a signé, et que le contenu signé n'a pas été altéré depuis.

Les trois niveaux eIDAS, du plus simple au plus contraignant

Le règlement eIDAS distingue trois niveaux de signature, chacun avec un niveau de preuve juridique différent.

Signature électronique simple (SES), eIDAS art. 25

Le niveau de base. C'est une signature manuscrite tactile sur un écran, ou un clic sur un bouton « j'accepte », assortie d'un mécanisme d'intégrité (typiquement un hash cryptographique). Recevable comme preuve devant un tribunal français, mais le juge appréciera la fiabilité du procédé au cas par cas.

Cas d'usage typique : bon d'intervention, devis accepté, attestation d'entretien. La quasi-totalité des actes commerciaux de TPE / PME du bâtiment, dont les montants restent en général inférieurs à 10 000 €.

Signature électronique avancée (AES), eIDAS art. 26

Niveau intermédiaire. Exige en plus que la signature soit liée au signataire de manière unique, qu'elle permette son identification, qu'elle soit créée avec un dispositif sous le contrôle exclusif du signataire, et que toute modification ultérieure soit détectable. Concrètement, cela impose un procédé d'identification renforcée (envoi de code SMS, vérification d'identité, certificat électronique).

Cas d'usage typique : contrats commerciaux, baux, mandats. Là où le niveau de preuve attendu est plus élevé que pour un bon de chantier.

Signature électronique qualifiée (QES), eIDAS art. 28

Niveau le plus élevé. Une signature avancée créée par un dispositif qualifié de création (carte à puce certifiée, par exemple) et reposant sur un certificat qualifié émis par un prestataire de services de confiance qualifié (PSCQ) figurant sur la liste de confiance européenne. C'est la seule signature qui ait, en droit, la même valeur qu'une signature manuscrite sans appréciation au cas par cas par le juge.

Cas d'usage typique : actes notariés, signatures bancaires, certains marchés publics. Hors scope d'un outil de gestion pour artisan.

Ce qu'un juge français regarde en cas de contestation

Si votre client conteste un bon d'intervention signé, le juge va se poser trois questions concrètes :

1. Est-ce bien le client qui a signé ? Le logiciel a-t-il enregistré son nom, ses coordonnées, l'IP de la tablette, l'horodatage UTC précis, l'identifiant du technicien présent ?
2. Le contenu signé a-t-il été altéré depuis ? Existe-t-il un hash cryptographique du document tel qu'il était au moment de la signature, et ce hash est-il chaîné aux signatures précédentes pour qu'une modification a posteriori soit détectable ?
3. Le procédé est-il documenté ? L'éditeur du logiciel peut-il fournir une note technique décrivant l'algorithme utilisé (SHA-256), les métadonnées capturées, la mention légale acceptée ?

Si le logiciel sait répondre clairement aux trois questions, et fournir un dossier de preuve cohérent, la signature simple sera reconnue. Si l'une des trois est en défaut, le juge peut écarter la preuve, et il ne reste alors que votre parole contre celle du client.

Les neuf logiciels sur dix qui ne tiennent pas la promesse

Beaucoup d'outils de gestion pour artisans annoncent une « signature client » sur tablette. Dans les faits, la majorité se contente de stocker une image PNG de la signature manuscrite, sans hash, sans chaînage, sans verrouillage du document signé. Cela suffit pour un client de bonne foi, mais c'est fragile en cas de litige : rien n'empêche de modifier le PDF a posteriori, et l'éditeur ne peut produire aucune preuve d'intégrité.

Le test pour évaluer un éditeur : demandez-lui de vous montrer la chaîne de hash de ses signatures, et de produire un dossier de preuve juridique sur une signature de démonstration. S'il ne sait pas le faire, sa solution ne résistera pas le jour où un client de mauvaise foi contestera.

Ce que fait pour vous sur ce point

produit des signatures électroniques simples (SES) conformes à eIDAS art. 25 et au Code civil art. 1366-1367, avec :

• Une canonicalisation déterministe du contenu signé, garantissant que le hash calculé côté tablette est strictement identique au hash recalculé côté serveur.
• Un hash SHA-256 (FIPS 180-4) du contenu signé, stocké en base.
• Un chaînage cryptographique entre toutes les signatures (chaque signature inclut le hash de la précédente, ce qui rend toute altération a posteriori détectable en cascade).
• Des métadonnées probatoires capturées : IP, équipement (User-Agent), horodatage device + horodatage serveur (UTC), version de la mention légale acceptée.
• Un verrouillage immutable du document après signature : statuts business mutables (brouillon → payé), mais contenu hashé non modifiable.
• Une vérification de la chaîne en un clic depuis l'admin (recalcul global, détection des ruptures, position fautive signalée).
• Un dossier de preuve juridique au format ZIP téléchargeable par signature : PDF du document tel que présenté au signataire, attestation auto-générée, image manuscrite, manifeste JSON, README expliquant les références légales et la méthodologie.
• Un fallback SHA-256 en JavaScript pur si l'API SubtleCrypto n'est pas disponible, garantissant que le module fonctionne même en HTTP plain.

Niveau juridique de la signature produite : SES. Périmètre d'opposabilité recommandé : actes commerciaux inférieurs à 10 000 €, ce qui couvre la quasi-totalité des bons d'intervention, attestations d'entretien et devis acceptés dans le bâtiment.