Quand vous ouvrez le panneau des signatures d’un PDF signé, vous pouvez y voir le nom du signataire, une organisation, des dates et une liste de certificats. Ces renseignements proviennent d’un certificat X.509, un format normalisé qui associe des informations d’identification à la clé publique servant à vérifier une signature numérique. La clé privée du signataire est conservée séparément; elle ne figure pas dans le certificat intégré au PDF.
Le certificat aide à répondre à trois questions pratiques : qui est identifié comme signataire? Qui a émis le certificat? Et cette signature peut-elle être validée?
Les champs que vous verrez probablement
-
Sujet : personne ou entité identifiée par le certificat. Les champs peuvent comprendre le nom commun (CN), par exemple le nom d’une personne, l’organisation (O) et l’unité organisationnelle (OU), par exemple un service. Ils varient d’un certificat à l’autre. L’OU est un renseignement descriptif, et non une preuve indépendante d’un titre professionnel.
-
Émetteur : autorité de certification ayant émis le certificat et attesté son lien avec le sujet.
-
Dates de validité : période pendant laquelle le certificat était destiné à être utilisé. Sa date d’expiration ne permet pas, à elle seule, de déterminer si une signature antérieure était valide.
-
Numéro de série : identifiant unique attribué par l’émetteur, qui distingue ce certificat des autres certificats de la même autorité.
-
Clé publique et algorithmes : renseignements techniques utilisés par le lecteur PDF pour vérifier la signature. Vous pourriez voir des données sur la clé publique et sur l’algorithme employé par l’émetteur pour signer le certificat. La plupart des utilisateurs peuvent laisser le logiciel de validation évaluer ces détails.
Comment un certificat devient-il digne de confiance?
Le certificat du signataire fait souvent partie d’une chaîne de confiance. Un certificat intermédiaire le relie à un certificat racine que le logiciel reconnaît comme fiable. Un nom lisible ou une organisation connue dans le champ du sujet est utile, mais ne remplace pas la validation de cette chaîne.
Le lecteur peut aussi vérifier si le certificat a été révoqué avant son expiration, par exemple à la suite de la compromission d’une clé de signature. Deux méthodes courantes permettent d’obtenir ce statut : le protocole OCSP, qui effectue une vérification en ligne, et la liste de révocation des certificats (CRL). Si ces renseignements sont indisponibles, le logiciel pourrait ne pas pouvoir produire un résultat de validation complet.
Un horodatage de confiance peut fournir une preuve du moment où la signature existait. Pour les documents qui doivent rester vérifiables pendant des années, la validation à long terme peut préserver les certificats, les renseignements de révocation et les horodatages nécessaires à une vérification ultérieure, même après l’expiration du certificat du signataire.
Le bon réflexe est simple : ouvrez le PDF original et consultez son panneau des signatures. Vérifiez le sujet et l’émetteur, puis examinez les résultats relatifs aux modifications du document, à la chaîne de confiance et au statut de révocation. Le certificat fournit des preuves; la validation aide à comprendre ce qu’elles permettent de confirmer.