Faux certificat de signature électronique : comment le détecter

Un faux certificat de signature électronique se détecte en vérifiant trois éléments indépendants de la mise en page du PDF : la signature cryptographique intégrée au fichier lui-même, la correspondance entre l'empreinte (hash) du document réellement reçu et celle mentionnée dans le certificat, et la confirmation directe via l'outil de vérification en ligne du prestataire (DocuSign, Adobe Sign, Yousign). Une page de certificat visuellement convaincante ne prouve rien en soi : elle peut être fabriquée de toutes pièces, modifiée à partir d'une transaction authentique sans rapport avec le dossier en cours, ou recyclée telle quelle depuis une signature légitime passée et rattachée à un tout autre document.

Selon le rapport ACFE 2024 (Report to the Nations), seulement 37 % des fraudes documentaires sont détectées par des contrôles manuels, avec un délai moyen de détection de 87 jours, source : ACFE, Occupational Fraud 2024: A Report to the Nations.

Qu'est-ce qu'un certificat de signature électronique, et comment se falsifie-t-il

Quand un document est signé sur une plateforme comme DocuSign, Adobe Sign ou Yousign, l'outil génère deux éléments distincts : une signature numérique cryptographique intégrée au fichier PDF, qui scelle le contenu et rend toute modification ultérieure détectable, et un document séparé — le certificat de complétion, ou « audit trail » — qui résume l'historique de la transaction : identifiants des signataires, adresses IP, horodatages, nombre de pages, empreinte (hash) du document signé. C'est ce second document, purement déclaratif, qui pose problème : il ressemble à une preuve, mais il n'en est une que si l'on vérifie qu'il correspond réellement au fichier auquel il est attaché.

Trois schémas de fraude reviennent régulièrement dans les dossiers de financement, de location ou de ressources humaines. Le premier est le certificat fabriqué : le document n'a jamais été signé électroniquement, ou l'a été par la mauvaise personne, et le fraudeur construit une page de certificat crédible à partir d'une capture d'écran retouchée ou d'une génération assistée par un outil d'image, qu'il joint ensuite au dossier. Le deuxième est le certificat modifié : un certificat authentique, issu d'une transaction légitime mais sans rapport avec le dossier examiné, est édité pour changer le nom du signataire, la date, l'adresse IP ou l'empreinte du document, de façon à le faire correspondre artificiellement à un autre fichier. Le troisième est le certificat rejoué : un certificat parfaitement authentique, provenant d'une transaction passée réelle, est simplement réattaché à un document différent, en pariant que personne ne recalculera l'empreinte pour vérifier qu'elle correspond bien au fichier reçu.

Fabriqué, modifié, rejoué : comment distinguer les trois fraudes

Ces trois techniques exploitent la même faiblesse — la confiance accordée à l'apparence du certificat plutôt qu'à sa vérification cryptographique — mais elles se repèrent différemment.

Dans les trois cas, l'erreur du relecteur est la même : traiter le certificat comme une preuve auto-suffisante plutôt que comme une allégation à vérifier indépendamment, au même titre que n'importe quelle autre pièce justificative d'un dossier.

Cadre légal en France : eIDAS, faux et usage de faux

La signature électronique est encadrée au niveau européen par le règlement eIDAS (UE) n° 910/2014, qui distingue trois niveaux — simple, avancée et qualifiée — et attache à la signature qualifiée une présomption de fiabilité équivalente à la signature manuscrite. En droit interne, l'article 1367 du Code civil exige que la signature identifie son auteur et manifeste son consentement, via un procédé fiable garantissant son lien avec l'acte. Un certificat fabriqué, modifié ou rejoué ne satisfait aucune de ces deux conditions, ce qui expose l'acte à une contestation de sa valeur probante devant un tribunal.

Sur le plan pénal, fabriquer ou altérer un certificat de signature dans l'intention de tromper relève du faux au sens de l'article 441-1 du Code pénal : toute altération frauduleuse de la vérité, de nature à causer un préjudice, dans un écrit ayant pour objet d'établir la preuve d'un droit ou d'un fait. La peine encourue est de trois ans d'emprisonnement et 45 000 € d'amende, portée à sept ans et 100 000 € lorsque le faux facilite un autre crime ou délit — un cas fréquent lorsque le certificat sert à faire passer un dossier de financement ou un bail frauduleux. L'usage du faux, c'est-à-dire joindre un certificat falsifié à un dossier en sachant qu'il ne correspond pas à la réalité, est puni des mêmes peines.

Ce paragraphe fournit un repère général et ne constitue pas un conseil juridique ; en cas de doute sur une situation précise, il convient de consulter un avocat ou un juriste spécialisé.

Les signaux visibles sans outil forensique

Certains indices se repèrent à l'œil nu, avant même de recourir à une vérification technique. Une équipe qui instruit des dossiers de financement, de location ou d'embauche devrait systématiquement contrôler ces points.

• Absence de mention de vérification dans le PDF : un certificat authentique s'accompagne toujours d'une signature numérique visible dans le panneau « Signatures » ou « Certificats » du lecteur PDF, distincte de la page de certificat elle-même.
• Incohérence de police ou de logo : un certificat fabriqué reproduit rarement à l'identique la typographie et la mise en page exactes du modèle officiel du prestataire.
• Absence d'identifiant d'enveloppe (Envelope ID) vérifiable : chaque certificat authentique porte un identifiant unique interrogeable sur le portail du prestataire ; son absence est un signal fort.
• Dates ou fuseaux horaires incohérents entre les étapes de signature mentionnées dans le certificat et les autres pièces du dossier.
• Adresse IP incompatible avec la géolocalisation déclarée du signataire, ou identique à celle d'une autre transaction du même dossier.

Comment vérifier un certificat DocuSign ou Adobe Sign à l'œil nu ?

Le réflexe le plus simple consiste à ouvrir le PDF dans un lecteur qui affiche le panneau de signatures numériques (Adobe Acrobat Reader, par exemple) : une signature intégrée valide s'affiche avec un code couleur — vert pour une validation complète, orange ou rouge en cas d'anomalie de la chaîne de confiance. L'absence totale de panneau de signature sur un document censé être signé électroniquement est en soi un signal d'alerte.

Un PDF signé électroniquement peut-il être falsifié après coup ?

Un PDF correctement scellé avec une signature PAdES conforme eIDAS devient cassant à la modification : toute altération du contenu invalide la signature numérique. En revanche, le certificat de complétion fourni à part — souvent un fichier PDF distinct sans signature intégrée — reste, lui, modifiable comme n'importe quel document, ce qui explique pourquoi il constitue la cible privilégiée de ce type de fraude.

Vérification technique : hash, portail du prestataire et métadonnées

Au-delà de l'examen visuel, trois vérifications techniques permettent de confirmer ou d'écarter un doute. La première : recalculer l'empreinte cryptographique (hash SHA-256, le plus souvent) du document réellement reçu et la comparer à celle indiquée dans le certificat — toute différence signale que le certificat ne correspond pas au fichier examiné, qu'il ait été modifié ou simplement rejoué depuis une autre transaction. La deuxième : interroger le portail de vérification en ligne du prestataire avec l'identifiant d'enveloppe mentionné sur le certificat, plutôt que de se fier au PDF isolé — un certificat fabriqué ou rejoué n'y trouvera aucune correspondance valide. La troisième porte sur la chaîne de confiance elle-même : une signature conforme au format PAdES s'appuie sur un certificat émis par une autorité figurant sur la liste de confiance européenne (List of Trusted Lists, LOTL) prévue par eIDAS, consultable via le navigateur officiel de listes de confiance de la Commission européenne ; une autorité absente de cette liste doit alerter immédiatement.

L'analyse des métadonnées du fichier de certificat lui-même complète ces vérifications, avec les mêmes techniques que celles utilisées sur tout autre document numérique suspect : logiciel de création incohérent avec l'outil déclaré, date de modification postérieure à la date de signature affichée, ou absence des métadonnées habituelles d'un export natif — voir notre guide sur l'analyse des métadonnées EXIF pour la méthodologie détaillée. Ce réflexe de vérification indépendante rejoint celui déjà documenté pour la détection d'une signature manuscrite falsifiée ou copiée-collée : dans les deux cas, il s'agit de ne jamais accepter une preuve de signature sur la seule base de son apparence.

Certificats générés par IA : un risque émergent

Les outils de génération d'images et de documents assistés par IA rendent la fabrication d'un faux certificat plus accessible qu'auparavant : reproduire la mise en page exacte d'un prestataire, générer un logo net et des polices cohérentes ne demande plus de compétences en retouche d'image avancée. Ce risque s'ajoute aux trois schémas de fraude décrits plus haut sans les remplacer — le certificat rejoué ou modifié à partir d'un document réel reste, dans les faits, plus difficile à repérer qu'un certificat entièrement généré, car il conserve la structure et les artefacts d'un original authentique.

La détection de contenu généré par IA de CheckFile constitue une couche de signaux additionnelle, déployée selon la configuration client, en complément des contrôles structurels et de métadonnées existants plutôt qu'en remplacement. Elle vise spécifiquement les certificats fabriqués de toutes pièces, sans prétendre couvrir à elle seule un certificat modifié ou rejoué à partir d'une transaction réelle, dont la détection reste avant tout affaire de vérification du hash et de la chaîne de confiance cryptographique.

Où cette fraude apparaît le plus souvent

Le certificat falsifié se rencontre partout où une signature électronique conditionne le déblocage d'un droit ou d'un financement. Les dossiers de financement et de leasing sont une cible fréquente : un contrat de crédit accompagné d'un certificat fabriqué peut faire croire à l'accord d'un tiers qui n'a jamais signé. Les baux immobiliers présentent un risque similaire lorsqu'un certificat d'un précédent bail est recyclé sur un nouveau contrat, tout comme les contrats de travail en ressources humaines. Les cabinets d'avocats et notaires sont particulièrement exposés, la validité d'un acte reposant entièrement sur l'intégrité du certificat qui l'accompagne.

Comment CheckFile complète vos contrôles existants

Vérifier un certificat de signature électronique ne se limite pas à en lire le contenu : cela suppose de recalculer une empreinte, d'interroger un portail tiers et d'examiner des métadonnées, des étapes rarement effectuées de façon systématique par une équipe déjà submergée de dossiers. CheckFile applique une analyse structurelle et une vérification des métadonnées sur chaque document soumis, y compris les certificats de complétion joints à un dossier, et s'intègre à ce titre dans notre guide complet de vérification des documents. Pour les certificats entièrement fabriqués par génération d'image ou par IA, la détection IA de CheckFile ajoute une couche de signaux complémentaire à ces contrôles structurels, sans se substituer à la vérification du hash ou de la chaîne de confiance cryptographique auprès du prestataire d'origine. La plateforme s'intègre via API dans les workflows existants — découvrez notre sécurité et nos tarifs.

Questions fréquemment posées

Comment savoir si un certificat de signature électronique est authentique ?

Le certificat seul ne suffit jamais comme preuve : il faut recalculer l'empreinte du document reçu et la comparer à celle indiquée sur le certificat, puis vérifier l'identifiant de transaction sur le portail en ligne du prestataire de signature. Une correspondance sur ces deux points constitue une vérification bien plus fiable que l'examen visuel du PDF.

Un certificat de signature électronique volé peut-il être réutilisé sur un autre document ?

Oui, c'est le schéma du certificat rejoué : un certificat authentique issu d'une transaction légitime est réattaché tel quel à un document différent. Il reste parfaitement intact visuellement, ce qui le rend indétectable sans comparer son empreinte de document à celle du fichier réellement examiné.

Que risque une personne qui utilise un faux certificat de signature électronique en France ?

L'usage d'un certificat falsifié constitue un usage de faux au sens de l'article 441-1 du Code pénal, puni de trois ans d'emprisonnement et 45 000 € d'amende, porté à sept ans et 100 000 € si le faux facilite un autre délit ou crime. Sur le plan civil, l'acte concerné peut également être annulé faute de signature valable au sens de l'article 1367 du Code civil.

Une signature électronique qualifiée peut-elle quand même être falsifiée ?

La signature numérique cryptographique intégrée au fichier PDF conforme au format PAdES est très difficile à falsifier sans invalider immédiatement le document. La fraude vise en pratique le certificat de complétion, un fichier séparé et non scellé, qui décrit la transaction sans porter lui-même la même protection cryptographique.

Faut-il systématiquement vérifier le certificat sur le portail du prestataire de signature ?

Oui, dès lors qu'un document signé électroniquement engage une décision à enjeu — financement, bail, contrat de travail. Le portail du prestataire reste la seule source indépendante du fichier PDF lui-même, ce qui le rend incontournable face à un certificat modifié ou rejoué.