Faux certificat de signature électronique en Belgique : comment le détecter

Un faux certificat de signature électronique en Belgique se présente sous trois formes : un certificat entièrement fabriqué pour un document jamais réellement signé, un certificat authentique trafiqué pour correspondre à un autre dossier, ou un certificat authentique rejoué tel quel sur un document différent. Dans les trois cas, la page de "certificat de complétion" produite par DocuSign, Adobe Sign ou Dropbox Sign n'est qu'une mise en forme visuelle — sa fiabilité ne se prouve pas en la regardant, mais en vérifiant le scellé cryptographique et l'empreinte du document qu'elle prétend attester. Selon le rapport ACFE 2024 (Report to the Nations), seulement 37 % des fraudes documentaires sont détectées par des contrôles manuels, avec un délai moyen de détection de 87 jours (ACFE, Report to the Nations 2024) — un délai qui, pour un dossier de financement ou un bail signé en Belgique, laisse largement le temps au préjudice de se matérialiser avant qu'un relecteur ne s'interroge sur la page de certification jointe.

Comment un certificat de signature électronique est falsifié

Le certificat de complétion qu'émettent les plateformes de signature électronique résume l'historique d'un processus de signature : identité déclarée du ou des signataires, adresses IP, horodatages, méthode d'authentification, et une empreinte cryptographique (hash) du document final. Ce document PDF a l'apparence d'une preuve, mais il n'est qu'un résumé lisible par un humain — la preuve réelle réside dans le scellé numérique intégré au document signé lui-même, au format PAdES pour un PDF, quand la plateforme l'applique. Trois schémas de fraude exploitent l'écart entre ces deux couches.

Le certificat fabriqué concerne un document qui n'a jamais été correctement signé électroniquement, ou qui a été signé par une personne autre que celle annoncée. Le fraudeur assemble une page de certification convaincante à partir de captures d'écran, de retouches d'image ou, de plus en plus, d'une génération assistée par IA, puis l'attache à un dossier de crédit, un bail commercial ou un contrat de prestation pour simuler une exécution électronique en bonne et due forme.

Le certificat trafiqué part d'un certificat authentique, issu d'une transaction légitime sans rapport avec le dossier en cause, dont un ou plusieurs champs sont modifiés — nom du signataire, date, adresse IP, ou l'empreinte du document — pour le faire correspondre artificiellement à un autre fichier.

Le certificat réutilisé ou rejoué ne modifie rien : un certificat authentique, issu d'une transaction passée et légitime, est simplement joint à un document différent, en pariant sur le fait que le relecteur ne recalculera pas l'empreinte pour vérifier qu'elle correspond réellement au fichier soumis. C'est le schéma le plus économe en effort pour le fraudeur — et souvent le plus efficace, car rien dans l'apparence du certificat ne trahit la substitution.

Fabriqué, trafiqué ou réutilisé : les distinguer

Cadre légal en Belgique : eIDAS, autorités de contrôle et droit pénal

Le règlement européen eIDAS (UE) n° 910/2014, directement applicable dans tous les États membres, fixe le régime juridique de la signature électronique et des services de confiance (EUR-Lex, règlement 910/2014). La Belgique l'a complété par la loi du 21 juillet 2016 mettant en œuvre et complétant le règlement (UE) n° 910/2014, qui précise notamment le régime belge de l'archivage électronique et les prestataires de services de confiance qualifiés établis sur le territoire (SPF Justice — Justel, loi du 21 juillet 2016). Le SPF Économie publie et tient à jour la liste de confiance belge des prestataires qualifiés (tsl.belgium.be), référentiel officiel pour vérifier si un fournisseur de signature électronique est réellement qualifié eIDAS au moment des faits.

Le volet anti-blanchiment relève de la loi du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme, qui organise le partage d'informations entre la CTIF-CFI (Cellule de traitement des informations financières), la FSMA et la BNB (SPF Justice — Justel, loi du 18 septembre 2017). La FSMA encadre les obligations de vigilance des intermédiaires financiers et assureurs, y compris la détection d'opérations atypiques (FSMA — lutte contre le blanchiment de capitaux), tandis que la BNB supervise les établissements de crédit sur ce même volet (BNB — prévention du blanchiment de capitaux). Un dossier de financement appuyé sur un faux certificat relève typiquement de ce périmètre de vigilance renforcée dès lors qu'il masque l'origine ou la destination réelle de fonds.

Sur le plan pénal, la fabrication ou l'altération d'un certificat de signature électronique jointe à un document s'inscrit dans le régime du faux en écritures du Code pénal belge. L'article 193 pose le principe de l'incrimination du faux commis en écritures, en informatique ou dans les dépêches télégraphiques ; l'article 196 punit de réclusion de cinq à dix ans le faux commis en écritures authentiques et publiques, de commerce, de banque ou privées ; l'article 197 punit de la même peine l'usage de la pièce fausse par celui qui en avait connaissance (SPF Justice — Justel, Code pénal). Un certificat trafiqué joint à un dossier de crédit peut donc constituer à la fois un faux et un usage de faux, deux infractions distinctes poursuivables séparément.

Ces éléments sont fournis à titre informatif et ne constituent pas un avis juridique. Les qualifications pénales et les obligations réglementaires dépendent des faits d'espèce ; consultez un avocat ou un conseiller en conformité pour toute situation concrète.

Signaux visibles, sans outil spécialisé

Un relecteur attentif peut repérer une partie des anomalies avant tout recours à un outil forensique : une police qui change subtilement entre deux sections du certificat, un logo de plateforme flou ou mal aligné, une adresse IP incohérente avec le pays déclaré du signataire, ou un horodatage qui ne colle pas avec le fuseau horaire belge (UTC+1/+2). L'absence totale d'identifiant de transaction (habituellement un UUID long) là où la plateforme en génère systématiquement un est un signal fort, tout comme un certificat livré en image scannée plutôt qu'en PDF natif interactif — impossible à ouvrir dans un lecteur qui affiche le panneau des signatures numériques.

Vérification technique et forensique

La vérification fiable ne s'arrête jamais à la lecture visuelle du certificat. Trois contrôles complémentaires s'imposent. D'abord, ouvrir le PDF signé lui-même — pas seulement la page de certificat — dans un lecteur qui valide la chaîne de signature numérique (format PAdES pour un PDF, XAdES pour du XML) : un scellé rompu ou absent invalide immédiatement le document, indépendamment de ce que prétend le certificat. Ensuite, recalculer l'empreinte cryptographique (hash) du fichier réellement soumis et la comparer à celle indiquée dans le certificat : toute divergence signale soit une modification après signature, soit un certificat réutilisé pour un autre fichier. Enfin, utiliser le portail ou l'API de vérification propre à l'éditeur (DocuSign, Adobe Acrobat Sign, Dropbox Sign proposent chacun une validation par identifiant de transaction) plutôt que de se fier au seul PDF transmis, et croiser le prestataire déclaré avec la liste de confiance belge sur tsl.belgium.be pour confirmer sa qualification eIDAS. L'analyse des métadonnées du PDF du certificat — logiciel de création, dates de modification internes, incohérences entre métadonnées et contenu affiché — complète ce triptyque, dans la même logique que celle détaillée dans notre guide de vérification documentaire.

Les certificats générés par IA, un risque émergent

Les outils de génération d'images et de mise en page assistée par IA rendent la fabrication d'un faux certificat de plus en plus accessible, sans compétence en retouche d'image. Un certificat généré ainsi peut reproduire fidèlement la charte graphique d'une plateforme de signature, jusqu'à l'agencement des champs, sans qu'aucun scellé cryptographique réel ne sous-tende le document. La détection de contenu généré par IA de CheckFile constitue une couche de signaux additionnelle, déployée selon la configuration client, en complément des contrôles structurels et de métadonnées existants plutôt qu'en remplacement. Elle vient s'ajouter à la vérification du hash et du scellé décrite plus haut — jamais s'y substituer, car un scellé absent ou rompu reste, à lui seul, le signal le plus déterminant. Notre page dédiée à la détection de contenus générés par IA détaille cette approche et ses limites.

Où cette fraude apparaît en pratique en Belgique

Le schéma revient dans plusieurs secteurs belges à forte volumétrie documentaire. En financement et leasing (solutions financement-leasing), un faux certificat accompagne parfois un contrat de crédit dont la signature du cosignataire ou du garant a été simulée. Dans l'immobilier (solutions immobilier), un bail ou un compromis contresigné à distance est un terrain propice, notamment lors de transactions impliquant des parties non présentes physiquement en Belgique. En ressources humaines (solutions ressources-humaines), un contrat de travail signé à distance peut faire l'objet d'un certificat rejoué en cas de litige sur la date réelle de signature. Les cabinets d'avocats (solutions cabinets-avocats) sont exposés lorsqu'ils reçoivent, dans un dossier contentieux ou une due diligence, des pièces contractuelles dont l'authenticité de la signature électronique devient elle-même l'objet du litige.

Comment CheckFile complète les contrôles existants

Aucun outil ne remplace la vérification cryptographique native d'un document PDF signé — c'est la première ligne de défense, et elle reste gratuite via les lecteurs standards. CheckFile intervient en complément, à l'échelle d'un flux documentaire : cohérence structurelle et de métadonnées des pièces jointes à un dossier, et, selon la configuration retenue, un signal additionnel de détection de contenu généré par IA sur les pièces qui l'exigent. Cette approche s'inscrit dans notre traitement plus large de la vérification de signature électronique et de la complémentarité des contrôles, ainsi que dans notre article sur la détection de signature falsifiée ou copiée-collée. Pour les équipes conformité et les intermédiaires financiers belges soumis à la loi du 18 septembre 2017, intégrer ce type de contrôle dans le flux d'onboarding réduit le délai moyen de détection évoqué plus haut — sans jamais prétendre l'annuler. Découvrez notre approche sécurité ou consultez nos tarifs ; pour une évaluation de votre flux documentaire actuel, contactez notre équipe.

Questions fréquemment posées

Un certificat de signature électronique a-t-il une valeur juridique en Belgique ? Oui, dans le cadre fixé par le règlement eIDAS et la loi belge du 21 juillet 2016, mais le certificat de complétion n'est qu'un résumé lisible — la valeur probante repose sur le scellé cryptographique intégré au document signé, pas sur l'apparence de la page de certificat.

Comment vérifier qu'un certificat n'a pas été trafiqué ? Recalculez l'empreinte (hash) du document réellement soumis et comparez-la à celle indiquée dans le certificat, ouvrez le PDF signé dans un lecteur qui valide la chaîne de signature numérique, et utilisez le portail de vérification de l'éditeur (DocuSign, Adobe Sign, Dropbox Sign) plutôt que de vous fier au seul fichier transmis.

Quelles sanctions pénales en Belgique pour un faux certificat de signature électronique ? La fabrication ou l'altération relève du faux en écritures (article 196 du Code pénal, réclusion de cinq à dix ans pour les écritures authentiques, publiques, de commerce, de banque ou privées) ; l'usage sciemment fait d'un tel faux est puni des mêmes peines au titre de l'article 197. Ces qualifications dépendent des faits d'espèce et ne constituent pas un avis juridique.

Quelles autorités belges supervisent ce type de fraude ? La FSMA et la BNB encadrent les obligations de vigilance des acteurs financiers, la CTIF-CFI reçoit les déclarations de soupçon, et le SPF Économie tient la liste de confiance des prestataires qualifiés eIDAS via tsl.belgium.be.

CheckFile peut-il garantir qu'un certificat de signature électronique est authentique ? Non. CheckFile ajoute des signaux structurels, de métadonnées et, selon la configuration, de détection de contenu généré par IA, en complément des contrôles cryptographiques natifs — pas une garantie d'authenticité absolue, mais une couche additionnelle dans un dispositif à plusieurs niveaux.