PDF modifié après signature : contrôler la signature et l'historique des révisions

Un PDF modifié après signature se repère à deux endroits : le panneau des signatures, qui indique si les octets couverts par la signature correspondent toujours à l'empreinte d'origine, et l'historique des révisions, qui liste chaque version ajoutée au fichier. Si le panneau annonce que le document a été modifié depuis la signature, le contenu que vous lisez n'est pas celui que le signataire a approuvé. S'il mentionne seulement des « modifications après signature », il faut ouvrir la version signée et la comparer à la version actuelle.

Ce guide s'adresse à celui qui reçoit le fichier : analyste KYC, gestionnaire locatif, responsable des achats, gestionnaire RH. Un lecteur PDF gratuit suffit. Il explique ce que signifie chaque message et ce qu'il faut demander ensuite à l'émetteur. Ce contrôle détecte des traces de modification. Il ne prouve pas qu'un document est authentique.

Comment une signature numérique protège un PDF, et où s'arrête cette protection

Une signature PDF stocke l'empreinte cryptographique d'une plage d'octets définie : toute modification dans cette plage invalide la signature. Le format est décrit dans la norme ISO 32000-2, et le profil européen des PDF signés s'appelle PAdES (ETSI EN 319 142). La signature est un conteneur à l'intérieur du fichier. Elle déclare une plage d'octets qui couvre tout le fichier, sauf l'espace réservé à la valeur de la signature elle-même.

Une conséquence est souvent ignorée. Un PDF peut légitimement grossir après signature, car le format autorise des mises à jour incrémentales ajoutées à la suite des octets signés. Un second signataire ajoute sa signature, un champ de formulaire est rempli, un commentaire est posé. Les octets d'origine ne bougent pas : la première signature reste valide. Que la mise à jour soit acceptable dépend des permissions définies par l'auteur.

Une référence juridique aide à l'expliquer en interne. Selon le règlement (UE) n° 910/2014 (eIDAS), article 26, une signature électronique avancée doit être liée aux données de manière à ce que toute modification ultérieure soit détectable. C'est cette détection que vous exploitez. En France, le décret n° 2017-1416 du 28 septembre 2017 (publié sur Légifrance) pose la présomption de fiabilité des signatures qualifiées. Une simple image de signature collée sur une page, elle, ne se valide pas.

Étape 1 : lire le panneau des signatures, pas seulement le badge

Ouvrez le panneau des signatures et lisez le texte complet du statut : la coche verte de la barre d'outils résume moins que ce qu'elle laisse croire. Dans Adobe Acrobat Reader, affichez le panneau Signatures (Affichage, Afficher/Masquer, Volets de navigation). Chaque signature apparaît avec un statut et, quand des révisions ultérieures existent, une mention du type « Révision 1 sur 3 ». Le menu « Afficher la version signée » ouvre le fichier tel qu'il était au moment où cette personne a signé.

Notez pour chaque signature :

• le nom du signataire et l'émetteur du certificat ;
• l'heure de signature, et si elle provient d'un horodatage de confiance ou seulement de l'horloge de l'ordinateur du signataire ;
• la ligne de statut, mot pour mot.

Sur les forums, la même question revient : « J'ai signé un PDF, quelqu'un dit l'avoir modifié ensuite, comment le savoir ? ». Le panneau répond aux deux cas. Si un outil impose de supprimer la signature pour modifier le fichier, l'original signé a disparu côté éditeur : demandez le fichier signé d'origine, pas la copie retouchée.

Étape 2 : compter les révisions et extraire la version signée

Chaque enregistrement incrémental ajoute une section terminée par un marqueur %%EOF : le nombre de marqueurs donne un ordre de grandeur du nombre de révisions. Dans un terminal, grep -a -c '%%EOF' fichier.pdf renvoie ce chiffre. Un fichier fraîchement généré en compte souvent un, un fichier optimisé pour le web deux. Trois marqueurs sur un document signé par une seule personne appellent une question.

Pour lire ce que disait le fichier à la signature, utilisez « Afficher la version signée » dans Acrobat, ou coupez le fichier à l'offset où s'arrête la plage signée. Des outils comme qpdf et pdfsig (Poppler) indiquent la plage signée et valident l'empreinte en ligne de commande : pdfsig fichier.pdf liste chaque signature, sa plage d'octets et la concordance de l'empreinte.

Comparez ensuite les deux versions, visuellement et par le texte. Cherchez :

• des montants, dates, noms ou numéros de compte modifiés ;
• des pages ajoutées, supprimées ou réordonnées ;
• un nouveau bloc de texte posé sur l'ancien (l'ancien texte reste dans le fichier sous la nouvelle couche) ;
• des annotations ou tampons qui masquent le contenu d'origine.

Pour de nombreuses pages, l'outil Comparer les fichiers d'Acrobat met en évidence les écarts de texte. Travaillez sur une copie locale.

Étape 3 : connaître les attaques qui laissent la signature valide

Certaines modifications laissent la signature affichée comme valide : c'est pourquoi un statut vert ne suffit pas. Deux travaux de recherche méritent d'être connus. Une étude de 2019 de l'université de la Ruhr à Bochum sur les attaques par sauvegarde incrémentale a montré que plusieurs lecteurs affichaient une signature valide sur des fichiers dont le contenu visible avait été changé par une révision ajoutée. Les « Shadow Attacks » (2020) ont décrit un document préparé avec du contenu caché, révélé par une mise à jour permise, comme le remplissage d'un champ. Les deux sont publiés par le groupe de recherche sur pdf-insecurity.org, et les éditeurs ont corrigé une bonne part des failles d'origine.

La leçon pour un contrôleur est pratique :

• une signature valide accompagnée d'une révision ultérieure est une raison de comparer, pas de se rassurer ;
• une signature sur un document dont l'auteur a autorisé le remplissage ou l'annotation est une preuve plus faible qu'une signature de certification « aucune modification autorisée » ;
• ouvrez le fichier dans un second lecteur : un écart entre deux lecteurs est en soi un signal.

Vérifiez aussi le niveau de certification. Une signature de certification porte un réglage de permissions (aucune modification, remplissage de formulaire et signature, annotations). Si l'auteur a choisi « aucune modification » et qu'une révision existe, le lecteur doit le signaler.

Étape 4 : valider le signataire, pas seulement le fichier

Une signature peut être mathématiquement valide et ne rien valoir si le certificat est auto-signé, expiré ou émis par un tiers sans crédit. Regardez qui a émis le certificat. En Europe, les prestataires qualifiés figurent dans le navigateur des listes de confiance de l'UE. Adobe tient sa propre liste approuvée ; les deux se recoupent sans être identiques, ce qui explique beaucoup de messages « validité inconnue ». En France, l'ANSSI publie les référentiels de sécurité sur lesquels s'appuie la qualification des prestataires.

Pour un avis indépendant de votre lecteur, la Commission européenne propose un outil web gratuit de validation DSS. Il indique le niveau de signature, la chaîne de certificats, l'horodatage et la concordance de l'empreinte. Comme il téléverse le fichier, réservez-le à des documents d'essai ou à un cadre conforme à vos règles de protection des données.

Contrôlez aussi les dates :

Le risque voisin des certificats inventés est traité dans l'article sur les faux certificats de signature électronique.

Étape 5 : recouper le contenu signé

Comparez les montants et identifiants de la version signée à une source que l'émetteur ne contrôle pas. Même une signature parfaite prouve seulement que le signataire a approuvé ces octets. Elle ne prouve pas que les montants étaient exacts. Pour une attestation d'employeur signée, vérifiez la société dans le registre officiel. Pour un contrat signé, contrôlez les parties et le numéro SIREN. Pour un bulletin de paie signé, rapprochez le net à payer du crédit bancaire.

Les demandeurs se posent une question simple : « J'ai signé, pourquoi la banque veut-elle l'original du portail ? ». Parce que la banque vérifie l'origine et la cohérence du document, pas seulement son intégrité. Le guide pour savoir si un PDF a été modifié et celui sur les métadonnées PDF couvrent les contrôles au niveau du fichier qui complètent celui-ci.

Quoi demander à l'émetteur, et quand escalader

Demandez le fichier signé d'origine directement à la plateforme de signature ou au signataire, et conservez la version reçue. Ne reconstituez pas et ne « réparez » pas le fichier vous-même. Un émetteur de bonne foi peut presque toujours retélécharger la copie scellée ou envoyer la piste d'audit du service de signature.

• Le panneau indique une modification depuis la signature : demandez l'original, ne traitez pas la copie.
• Une révision ultérieure existe mais le panneau reste valide : comparez, et demandez pourquoi la mise à jour était nécessaire.
• Validité inconnue : contrôlez l'émetteur du certificat et validez dans un second outil avant toute conclusion.
• Aucune signature alors qu'une était annoncée : demandez la version signée.

Escaladez quand une modification coïncide avec une incohérence, par exemple un montant changé et une révision datée de plusieurs jours après la signature. Le responsable conformité ou le déclarant Tracfin décide de la suite ; le contrôleur de premier niveau n'accuse personne. Le code monétaire et financier, article L. 561-5, impose d'identifier le client et de vérifier son identité sur présentation de documents probants.

Pour le processus global, voir le guide de vérification des documents. Si vous recevez des fichiers signés en volume, les signaux de génération IA et de falsification de CheckFile complètent vos contrôles existants, et la solution banque et KYC décrit ce qu'une vérification compare : champs, dates et registres. La page des tarifs liste les formules.

Questions fréquentes

Un PDF peut-il être modifié après sa signature ?

Oui, de deux façons. Une modification dans la plage d'octets signée casse la signature, et le lecteur le signale. Une modification ajoutée comme nouvelle révision laisse la première signature valide : il faut alors ouvrir la version signée et la comparer à la version actuelle.

Comment voir la version qui a été signée ?

Dans Adobe Acrobat Reader, ouvrez le panneau Signatures, faites un clic droit sur la signature et choisissez « Afficher la version signée ». En ligne de commande, pdfsig (Poppler) liste chaque signature et sa plage d'octets, et qpdf peut extraire les révisions antérieures.

Pourquoi mon PDF affiche-t-il « validité inconnue » ?

Le plus souvent, votre lecteur n'a pas l'émetteur dans sa liste de confiance ou ne peut pas vérifier la révocation hors ligne. Cela ne signifie pas que le fichier a changé. Validez le même fichier dans un second outil, comme le validateur DSS de la Commission européenne, avant de conclure.

Une signature valide prouve-t-elle que le contenu est vrai ?

Non. Elle prouve que les octets n'ont pas changé depuis la signature et les relie à un certificat. L'exactitude des montants, noms et dates se vérifie par recoupement avec des registres ou d'autres documents.

Puis-je retirer une signature et re-signer un PDF corrigé ?

C'est possible, mais le résultat est un nouveau document avec une nouvelle signature. Toute personne qui s'appuyait sur la version signée précédente doit aussi recevoir l'original, afin que la chaîne des versions reste visible.