PDF modifié après signature : contrôler la signature et l'historique des révisions

Un PDF modifié après signature se repère à deux endroits : le panneau des signatures, qui indique si les octets couverts par la signature correspondent toujours à l'empreinte d'origine, et l'historique des révisions, qui liste chaque version ajoutée au fichier. Si le panneau annonce que le document a été modifié depuis la signature, le contenu que vous lisez n'est pas celui que le signataire a approuvé. S'il mentionne seulement des « modifications après signature », il faut ouvrir la version signée et la comparer à la version actuelle.

Ce guide s'adresse à celui qui reçoit le fichier : analyste de conformité d'une entité déclarante, gestionnaire immobilier, responsable des contrats, conseiller en ressources humaines. Un lecteur PDF gratuit suffit. Il explique ce que signifie chaque message et ce qu'il faut demander ensuite à l'émetteur. Ce contrôle détecte des traces de modification. Il ne prouve pas qu'un document est authentique.

Comment une signature numérique protège un PDF, et où s'arrête cette protection

Une signature PDF stocke l'empreinte cryptographique d'une plage d'octets définie : toute modification dans cette plage invalide la signature. Le format est décrit dans la norme ISO 32000-2. La signature est un conteneur à l'intérieur du fichier. Elle déclare une plage d'octets qui couvre tout le fichier, sauf l'espace réservé à la valeur de la signature elle-même.

Un PDF peut légitimement grossir après signature, car le format autorise des mises à jour incrémentales ajoutées à la suite des octets signés. Un second signataire ajoute sa signature, un champ de formulaire est rempli, un commentaire est posé. Les octets d'origine ne bougent pas : la première signature reste valide. Que la mise à jour soit acceptable dépend des permissions définies par l'auteur.

Au Québec, la Loi concernant le cadre juridique des technologies de l'information (RLRQ, c. C-1.1) fait de l'intégrité du document technologique une condition de sa valeur juridique : il doit être possible de vérifier que l'information n'a pas été altérée et qu'elle est maintenue dans son intégralité. Le Code civil du Québec, aux articles 2837 à 2840, reprend cette exigence en matière de preuve. À l'échelle fédérale, le Règlement sur les signatures électroniques sécurisées (DORS/2005-30) précise ce qu'est une signature qui rend toute modification détectable. Une simple image de signature collée sur une page, elle, ne se valide pas.

Étape 1 : lire le panneau des signatures, pas seulement le badge

Ouvrez le panneau des signatures et lisez le texte complet du statut : la coche verte de la barre d'outils résume moins que ce qu'elle laisse croire. Dans Adobe Acrobat Reader, affichez le panneau Signatures (Affichage, Afficher/Masquer, Volets de navigation). Chaque signature apparaît avec un statut et, quand des révisions ultérieures existent, une mention du type « Révision 1 sur 3 ». Le menu « Afficher la version signée » ouvre le fichier tel qu'il était au moment où cette personne a signé.

Notez pour chaque signature :

• le nom du signataire et l'émetteur du certificat ;
• l'heure de signature, et si elle provient d'un horodatage de confiance ou seulement de l'horloge de l'ordinateur du signataire ;
• la ligne de statut, mot pour mot.

Sur les forums, la même question revient : « J'ai signé un PDF, quelqu'un dit l'avoir modifié ensuite, comment le savoir ? ». Le panneau répond aux deux cas. Si un outil impose de supprimer la signature pour modifier le fichier, l'original signé a disparu côté éditeur : demandez le fichier signé d'origine, pas la copie retouchée.

Étape 2 : compter les révisions et extraire la version signée

Chaque enregistrement incrémental ajoute une section terminée par un marqueur %%EOF : le nombre de marqueurs donne un ordre de grandeur du nombre de révisions. Dans un terminal, grep -a -c '%%EOF' fichier.pdf renvoie ce chiffre. Un fichier fraîchement généré en compte souvent un, un fichier optimisé pour le web deux. Trois marqueurs sur un document signé par une seule personne appellent une question.

Pour lire ce que disait le fichier à la signature, utilisez « Afficher la version signée » dans Acrobat, ou coupez le fichier à l'offset où s'arrête la plage signée. Des outils comme qpdf et pdfsig (Poppler) indiquent la plage signée et valident l'empreinte en ligne de commande : pdfsig fichier.pdf liste chaque signature, sa plage d'octets et la concordance de l'empreinte.

Comparez ensuite les deux versions, visuellement et par le texte. Cherchez :

• des montants, dates, noms ou numéros de compte modifiés ;
• des pages ajoutées, supprimées ou réordonnées ;
• un nouveau bloc de texte posé sur l'ancien (l'ancien texte reste dans le fichier sous la nouvelle couche) ;
• des annotations ou tampons qui masquent le contenu d'origine.

Pour de nombreuses pages, l'outil Comparer les fichiers d'Acrobat met en évidence les écarts de texte. Travaillez sur une copie locale.

Étape 3 : connaître les attaques qui laissent la signature valide

Certaines modifications laissent la signature affichée comme valide : c'est pourquoi un statut vert ne suffit pas. Une étude de 2019 de l'Université de la Ruhr à Bochum sur les attaques par sauvegarde incrémentale a montré que plusieurs lecteurs affichaient une signature valide sur des fichiers dont le contenu visible avait été changé par une révision ajoutée. Les « Shadow Attacks » (2020) ont décrit un document préparé avec du contenu caché, révélé par une mise à jour permise, comme le remplissage d'un champ. Les deux sont publiés sur pdf-insecurity.org, et les éditeurs ont corrigé une bonne part des failles d'origine.

La leçon pour un contrôleur est pratique :

• une signature valide accompagnée d'une révision ultérieure est une raison de comparer, pas de se rassurer ;
• une signature sur un document dont l'auteur a autorisé le remplissage ou l'annotation est une preuve plus faible qu'une signature de certification « aucune modification autorisée » ;
• ouvrez le fichier dans un second lecteur : un écart entre deux lecteurs est en soi un signal.

Vérifiez aussi le niveau de certification. Une signature de certification porte un réglage de permissions (aucune modification, remplissage de formulaire et signature, annotations). Si l'auteur a choisi « aucune modification » et qu'une révision existe, le lecteur doit le signaler.

Étape 4 : valider le signataire, pas seulement le fichier

Une signature peut être mathématiquement valide et ne rien valoir si le certificat est auto-signé, expiré ou émis par un tiers sans crédit. Regardez qui a émis le certificat. Adobe tient une liste de confiance approuvée, et un certificat d'une plateforme de signature commerciale s'y rattache normalement ; un certificat auto-signé affichera « validité inconnue ». Pour un avis indépendant de votre lecteur, la Commission européenne propose un outil web gratuit de validation DSS. Il indique la chaîne de certificats, l'horodatage et la concordance de l'empreinte. Comme il téléverse le fichier, réservez-le à des documents d'essai : la Loi 25 impose une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels à l'extérieur du Québec, et la Commission d'accès à l'information en détaille les exigences.

Le risque voisin des certificats inventés est traité dans l'article sur les faux certificats de signature électronique.

Étape 5 : recouper le contenu signé

Comparez les montants et identifiants de la version signée à une source que l'émetteur ne contrôle pas. Même une signature parfaite prouve seulement que le signataire a approuvé ces octets. Elle ne prouve pas que les montants étaient exacts. Pour une lettre d'employeur signée, vérifiez l'entreprise au Registraire des entreprises du Québec à partir de son NEQ. Pour un contrat signé, contrôlez les parties. Pour un talon de paie signé, rapprochez le net du dépôt bancaire.

Les demandeurs se posent une question simple : « J'ai signé, pourquoi la banque veut-elle l'original du portail ? ». Parce que la banque vérifie l'origine et la cohérence du document, pas seulement son intégrité. Le guide pour savoir si un PDF a été modifié et celui sur les métadonnées PDF couvrent les contrôles au niveau du fichier qui complètent celui-ci.

Quoi demander à l'émetteur, et quand escalader

Demandez le fichier signé d'origine directement à la plateforme de signature ou au signataire, et conservez la version reçue. Ne reconstituez pas et ne « réparez » pas le fichier vous-même. Un émetteur de bonne foi peut presque toujours retélécharger la copie scellée ou envoyer la piste d'audit du service de signature.

• Le panneau indique une modification depuis la signature : demandez l'original, ne traitez pas la copie.
• Une révision ultérieure existe mais le panneau reste valide : comparez, et demandez pourquoi la mise à jour était nécessaire.
• Validité inconnue : contrôlez l'émetteur du certificat et validez dans un second outil avant toute conclusion.
• Aucune signature alors qu'une était annoncée : demandez la version signée.

Escaladez quand une modification coïncide avec une incohérence, par exemple un montant changé et une révision datée de plusieurs jours après la signature. L'agent de conformité décide s'il y a lieu de transmettre une déclaration d'opération douteuse au CANAFE ; le contrôleur de premier niveau n'accuse personne. Les lignes directrices du CANAFE sur la vérification de l'identité exigent, pour la méthode du document d'identité avec photo émis par un gouvernement, que le document soit authentique, valide et à jour. Pour les institutions financières québécoises, l'Autorité des marchés financiers encadre aussi la gestion du risque de fraude. L'usage d'un document contrefait est une infraction à l'article 368 du Code criminel.

Pour le processus global, voir le guide de vérification des documents. Si vous recevez des fichiers signés en volume, les signaux de génération IA et de falsification de CheckFile complètent vos contrôles existants, et la solution banque et KYC décrit ce qu'une vérification compare : champs, dates et registres. La page des tarifs liste les formules.

Questions fréquentes

Un PDF peut-il être modifié après sa signature ?

Oui, de deux façons. Une modification dans la plage d'octets signée casse la signature, et le lecteur le signale. Une modification ajoutée comme nouvelle révision laisse la première signature valide : il faut alors ouvrir la version signée et la comparer à la version actuelle.

Comment voir la version qui a été signée ?

Dans Adobe Acrobat Reader, ouvrez le panneau Signatures, faites un clic droit sur la signature et choisissez « Afficher la version signée ». En ligne de commande, pdfsig (Poppler) liste chaque signature et sa plage d'octets, et qpdf peut extraire les révisions antérieures.

Pourquoi mon PDF affiche-t-il « validité inconnue » ?

Le plus souvent, votre lecteur n'a pas l'émetteur dans sa liste de confiance ou ne peut pas vérifier la révocation hors ligne. Cela ne signifie pas que le fichier a changé. Validez le même fichier dans un second outil avant de conclure.

Une signature valide prouve-t-elle que le contenu est vrai ?

Non. Elle prouve que les octets n'ont pas changé depuis la signature et les relie à un certificat. L'exactitude des montants, noms et dates se vérifie par recoupement avec des registres ou d'autres documents.

Puis-je retirer une signature et re-signer un PDF corrigé ?

C'est possible, mais le résultat est un nouveau document avec une nouvelle signature. Toute personne qui s'appuyait sur la version signée précédente doit aussi recevoir l'original, afin que la chaîne des versions reste visible.