Faux certificat de signature électronique au Québec : comment le détecter

Un faux certificat de signature électronique se détecte en vérifiant trois éléments indépendants de la mise en page du PDF : la signature cryptographique intégrée au fichier, la correspondance entre l'empreinte (hash) du document réellement reçu et celle mentionnée dans le certificat, et la confirmation directe via l'outil de vérification en ligne du fournisseur (DocuSign, Adobe Sign, Dropbox Sign). Une page de certificat visuellement convaincante ne prouve rien en soi : elle peut être fabriquée de toutes pièces, modifiée à partir d'une transaction authentique sans rapport avec le dossier en cours, ou recyclée depuis une signature légitime passée et rattachée à un tout autre document.

Selon le rapport ACFE 2024 (Report to the Nations), seulement 37 % des fraudes documentaires sont détectées par des contrôles manuels, avec un délai moyen de détection de 87 jours, source : ACFE, Occupational Fraud 2024: A Report to the Nations.

Qu'est-ce qu'un certificat de signature électronique, et comment se falsifie-t-il

Quand un document est signé sur une plateforme comme DocuSign, Adobe Sign ou Dropbox Sign (anciennement HelloSign), l'outil génère deux éléments distincts. D'une part, une signature numérique cryptographique intégrée au fichier PDF lui-même, qui scelle le contenu et rend toute modification ultérieure détectable. D'autre part, un document séparé — le certificat de complétion, ou « audit trail » — qui résume l'historique de la transaction : identifiants des signataires, adresses IP, horodatages de chaque étape, nombre de pages et empreinte (hash) du document signé. C'est ce second document, purement déclaratif, qui pose problème : il ressemble à une preuve, mais il n'en est une que si l'on vérifie qu'il correspond réellement au fichier auquel il est attaché.

Trois schémas de fraude reviennent régulièrement dans les dossiers de financement, de location ou de ressources humaines. Le premier est le certificat fabriqué : le document n'a jamais été signé électroniquement, ou l'a été par la mauvaise personne, et le fraudeur construit une page de certificat crédible à partir d'une capture d'écran retouchée, qu'il joint ensuite au dossier transmis par courriel. Le deuxième est le certificat modifié : un certificat authentique, issu d'une transaction légitime mais sans rapport avec le dossier examiné, est édité pour changer le nom du signataire, la date, l'adresse IP ou l'empreinte du document, de façon à le faire correspondre artificiellement à un autre fichier. Le troisième est le certificat rejoué : un certificat parfaitement authentique, provenant d'une transaction passée réelle, est simplement réattaché à un document différent, en pariant que personne ne recalculera l'empreinte pour vérifier qu'elle correspond au fichier reçu.

Fabriqué, modifié, rejoué : comment distinguer les trois fraudes

Ces trois techniques exploitent la même faiblesse — la confiance accordée à l'apparence du certificat plutôt qu'à sa vérification cryptographique — mais elles se repèrent différemment.

Dans les trois cas, l'erreur du relecteur est la même : traiter le certificat comme une preuve auto-suffisante plutôt que comme une allégation à vérifier indépendamment, au même titre que n'importe quelle autre pièce justificative d'un dossier.

Cadre légal au Québec et au Canada : LCCJTI, faux et usage de faux

La valeur juridique d'un document technologique au Québec repose sur la Loi concernant le cadre juridique des technologies de l'information (LCCJTI, RLRQ, c. C-1.1), en vigueur depuis 2001. Son article 39 précise qu'une signature apposée à un document technologique engage son auteur dès lors que l'intégrité du document est assurée et que le lien entre la signature et le document est maintenu depuis sa création — un renvoi direct à l'article 2827 du Code civil du Québec, qui définit la signature comme l'apposition, par une personne, de son nom ou d'une marque personnelle qu'elle utilise habituellement pour manifester son consentement. Un certificat fabriqué, modifié ou rejoué ne satisfait ni l'une ni l'autre de ces exigences : il ne prouve ni l'identité réelle du signataire ni le lien avec le document effectivement examiné, ce qui expose l'acte à une contestation de sa valeur probante devant les tribunaux québécois.

Sur le plan pénal, la compétence relève du fédéral : le Code criminel du Canada (LRC 1985, c. C-46) définit le faux à l'article 366 comme le fait de faire un faux document en le sachant faux, avec l'intention qu'il soit employé comme authentique au préjudice d'autrui — infraction punissable d'un maximum de dix ans d'emprisonnement selon l'article 367. L'article 368 vise pour sa part l'emploi, la possession ou le trafic d'un document contrefait, soit le cas typique d'une équipe interne qui joint un certificat falsifié à un dossier de crédit ou de location en sachant qu'il ne correspond pas à la réalité. Sur le plan réglementaire, les institutions financières assujetties à la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes doivent tenir compte de la fraude documentaire dans leurs obligations envers le CANAFE, et l'Autorité des marchés financiers recommande aux institutions financières québécoises d'intégrer ce risque à leur gestion de la criminalité financière. Le traitement des renseignements personnels contenus dans un tel document relève par ailleurs de la Loi 25 au Québec.

Ce paragraphe fournit un repère général et ne constitue pas un conseil juridique ; en cas de doute sur une situation précise, il convient de consulter un avocat ou une avocate membre du Barreau du Québec.

Les signaux visibles sans outil forensique

Certains indices se repèrent à l'œil nu, avant même de recourir à une vérification technique. Une équipe qui instruit des dossiers de financement, de location ou d'embauche devrait systématiquement contrôler ces points.

• Absence de mention de vérification dans le PDF : un certificat authentique de DocuSign, Adobe Sign ou Dropbox Sign s'accompagne toujours d'une signature numérique visible dans le panneau « Signatures » ou « Certificats » du lecteur PDF, distincte de la page de certificat elle-même.
• Incohérence de police ou de logo : un certificat fabriqué reproduit rarement à l'identique la typographie et la mise en page exactes du modèle officiel du fournisseur, surtout sur les versions anciennes réutilisées comme gabarit.
• Absence d'identifiant d'enveloppe (Envelope ID) vérifiable : chaque certificat authentique porte un identifiant unique interrogeable sur le portail du fournisseur ; son absence, ou un identifiant qui ne renvoie aucun résultat, est un signal fort.
• Dates ou fuseaux horaires incohérents entre les étapes de signature mentionnées dans le certificat et les autres pièces du dossier.
• Adresse IP incompatible avec la géolocalisation déclarée du signataire, ou identique à celle d'une autre transaction du même dossier.

Comment vérifier un certificat DocuSign ou Adobe Sign à l'œil nu ?

Le réflexe le plus simple consiste à ouvrir le PDF dans un lecteur qui affiche le panneau de signatures numériques (Adobe Acrobat Reader, par exemple) : une signature intégrée valide s'affiche avec un code couleur — vert pour une validation complète, orange ou rouge en cas d'anomalie. L'absence totale de panneau de signature sur un document censé être signé électroniquement est en soi un signal d'alerte.

Un document signé électroniquement peut-il être falsifié après coup ?

Un PDF correctement scellé avec une signature numérique intégrée devient cassant à la modification : toute altération du contenu invalide la signature. Le certificat de complétion fourni à part — souvent un fichier distinct sans signature intégrée — reste, lui, modifiable, ce qui explique qu'il constitue la cible privilégiée de ce type de fraude.

Vérification technique : hash, portail du fournisseur et métadonnées

Au-delà de l'examen visuel, trois vérifications techniques permettent de confirmer ou d'écarter un doute. La première consiste à recalculer l'empreinte cryptographique (hash SHA-256, le plus souvent) du document réellement reçu et à la comparer à celle indiquée dans le certificat : toute différence signale que le certificat ne correspond pas au fichier examiné, qu'il ait été modifié ou simplement rejoué. La deuxième consiste à interroger directement le portail de vérification en ligne du fournisseur avec l'identifiant d'enveloppe mentionné sur le certificat, plutôt que de se fier au PDF isolé — un certificat fabriqué ou rejoué ne trouvera aucune correspondance valide côté fournisseur. La troisième porte sur la chaîne de confiance cryptographique : une signature numérique intégrée valide s'appuie sur un certificat émis par une autorité de certification reconnue, consultable dans le panneau de confiance du lecteur PDF ; une autorité inconnue ou un certificat auto-signé doit alerter immédiatement.

L'analyse des métadonnées du fichier de certificat complète ces vérifications, avec les mêmes techniques que celles utilisées sur tout autre document numérique suspect : logiciel de création incohérent avec l'outil déclaré, date de modification postérieure à la date de signature affichée, ou absence des métadonnées habituelles d'un export natif — voir notre guide sur l'analyse des métadonnées EXIF. Ce réflexe rejoint celui déjà documenté pour la détection d'une signature manuscrite falsifiée ou copiée-collée et l'approche décrite dans notre article sur la complémentarité entre signature électronique et vérification documentaire : il s'agit de ne jamais accepter une preuve de signature sur la seule base de son apparence.

Certificats générés par IA : un risque émergent

Les outils de génération d'images et de documents assistés par IA rendent la fabrication d'un faux certificat plus accessible qu'auparavant : reproduire la mise en page exacte d'un fournisseur ne demande plus de compétences en retouche d'image avancée. Ce risque s'ajoute aux trois schémas décrits plus haut sans les remplacer — le certificat rejoué ou modifié à partir d'un document réel reste, dans les faits, plus difficile à repérer qu'un certificat entièrement généré, car il conserve la structure d'un original authentique.

La détection de contenu généré par IA de CheckFile constitue une couche de signaux additionnelle, déployée selon la configuration client, en complément des contrôles structurels et de métadonnées existants plutôt qu'en remplacement. Elle vise spécifiquement les certificats fabriqués de toutes pièces, sans prétendre couvrir à elle seule un certificat modifié ou rejoué à partir d'une transaction réelle, dont la détection reste avant tout affaire de vérification du hash et de la chaîne de confiance cryptographique.

Où cette fraude apparaît le plus souvent au Québec

Le certificat de signature falsifié se rencontre dans tous les dossiers où une signature électronique conditionne le déblocage d'un droit ou d'un financement. Les dossiers de financement et de crédit-bail en sont une cible fréquente : un contrat de crédit ou un bon de commande accompagné d'un certificat fabriqué peut faire croire à l'accord d'un tiers qui n'a jamais signé. Les baux et promesses d'achat dans l'immobilier présentent un risque similaire, notamment lorsqu'un certificat authentique d'un précédent bail est recyclé sur un nouveau contrat transmis par courriel. Les équipes ressources humaines rencontrent le même schéma sur des contrats de travail ou des avenants dont le certificat ne correspond pas au document réellement signé par l'employé. Les cabinets d'avocats et de notaires sont particulièrement exposés, car la validité d'un acte sous seing privé électronique repose entièrement sur l'intégrité du certificat qui l'accompagne.

Comment CheckFile complète vos contrôles existants

Vérifier un certificat de signature électronique ne se limite pas à en lire le contenu : cela suppose de recalculer une empreinte, d'interroger un portail tiers et d'examiner des métadonnées, des étapes rarement effectuées de façon systématique par une équipe déjà submergée de dossiers. CheckFile applique une analyse structurelle et une vérification des métadonnées sur chaque document soumis, y compris les certificats de complétion, et s'intègre à ce titre dans notre guide complet de vérification des documents. Pour les certificats entièrement fabriqués par IA, la détection IA de CheckFile ajoute une couche de signaux complémentaire à ces contrôles structurels, sans se substituer à la vérification du hash ou de la chaîne de confiance cryptographique auprès du fournisseur d'origine. La plateforme s'intègre via API dans les workflows existants des équipes de conformité, y compris celles qui traitent du KYC bancaire — découvrez notre sécurité et nos tarifs.

Questions fréquemment posées

Comment savoir si un certificat de signature électronique est authentique ?

Le certificat seul ne suffit jamais comme preuve : il faut recalculer l'empreinte du document reçu et la comparer à celle indiquée sur le certificat, puis vérifier l'identifiant de transaction sur le portail en ligne du fournisseur de signature. Une correspondance sur ces deux points constitue une vérification bien plus fiable que l'examen visuel du PDF.

Un certificat de signature électronique volé peut-il être réutilisé sur un autre document ?

Oui, c'est le schéma du certificat rejoué : un certificat authentique issu d'une transaction légitime est réattaché tel quel à un document différent. Il reste parfaitement intact visuellement, ce qui le rend indétectable sans comparer son empreinte de document à celle du fichier réellement examiné.

Que risque une personne qui utilise un faux certificat de signature électronique au Québec ou ailleurs au Canada ?

L'usage d'un certificat falsifié constitue une infraction au sens des articles 366 à 368 du Code criminel du Canada, qui punissent respectivement la fabrication d'un faux document et l'emploi d'un document contrefait, avec une peine maximale de dix ans d'emprisonnement. Sur le plan civil québécois, l'acte concerné peut également être invalidé faute de signature satisfaisant aux exigences de l'article 2827 du Code civil du Québec et de la LCCJTI.

Un document signé électroniquement en bonne et due forme peut-il quand même donner lieu à un faux certificat ?

Oui, précisément parce que le certificat de complétion et la signature numérique intégrée au PDF sont deux éléments distincts. La signature numérique cryptographique du document lui-même est très difficile à falsifier sans invalider immédiatement le fichier. La fraude vise en pratique le certificat de complétion, un fichier séparé et non scellé, qui décrit la transaction sans porter lui-même la même protection cryptographique.

Faut-il systématiquement vérifier le certificat sur le portail du fournisseur de signature ?

Oui, dès lors qu'un document signé électroniquement engage une décision à enjeu — financement, bail, contrat de travail. Le portail du fournisseur reste la seule source indépendante du fichier PDF lui-même, ce qui le rend incontournable face à un certificat modifié ou rejoué.