Niveaux de signature SES / AES / QES
Le règlement européen eIDAS (n°910/2014) définit trois niveaux de signature électronique, à valeur juridique croissante. TrueSign couvre les trois via Yousign, prestataire de confiance qualifié — les signatures sont valides dans les 27 pays de l'UE.
Les trois niveaux
| SES Simple | AES Avancée — défaut TrueSign | QES Qualifiée | |
|---|---|---|---|
| Authentification du signataire | Lien e-mail (OTP e-mail en option) | OTP SMS — identité liée au numéro | Vérification d'identité par prestataire qualifié |
| Usage type | Documents internes, accusés, NDA simples | 95 % des contrats B2B : commercial, RH, avenants | Actes à formalisme renforcé (notarial, crédit conso…) |
| Valeur juridique eIDAS | Recevable | Recevable, identification fiable du signataire | Équivalente à la signature manuscrite |
| Expérience signataire | La plus fluide | Code SMS avant signature | Parcours d'identification préalable |
Choisir un niveau
- Le niveau se configure par template (ou à l'envoi) ; l'authentification se règle par signataire.
- AES est le défaut : le bon équilibre valeur juridique / fluidité pour les contrats courants. Le téléphone du signataire (format international) est alors requis.
- Sous AES, l'interface ne propose que l'OTP SMS — et retire l'option de surcharge par signataire : le niveau contraint le mode d'authentification à la source, pour qu'une paire niveau/authentification invalide ne puisse jamais atteindre le fournisseur.
- En QES, le parcours d'identification est entièrement géré par le prestataire qualifié — TrueSign omet automatiquement les réglages d'authentification incompatibles.
Yousign couvre les trois niveaux. weSign — le moteur de signature intégré à votre org — produit exclusivement de la SES : pas de scellement PKI, pas d'horodatage qualifié, pas de vérification d'identité, pas d'OTP SMS. Un envoi exigeant l'AES ou la QES sur weSign est refusé explicitement — jamais rétrogradé en silence. Voir Fournisseurs de signature.
Renforcements optionnels
Cumulables avec le niveau, par signataire :
- Code d'accès — un code secret communiqué hors-bande (téléphone) est exigé avant l'accès au document ;
- Vérification d'identité (ID Check) — pièce d'identité + selfie avant signature ;
- Livraison par SMS — l'invitation part par SMS au lieu de l'e-mail.
Pour un accord de confidentialité sensible : code d'accès communiqué par téléphone + OTP SMS — double authentification avant l'accès au document.
La preuve
Chaque signature produit un certificat de preuve, opposable en cas de litige. Son contenu dépend du fournisseur :
Yousign — identité authentifiée, horodatage qualifié, scellement cryptographique et empreintes du document.
weSign — le certificat est la preuve, puisqu'il n'y a pas de scellement PKI. Il porte :
- l'empreinte SHA-256 du document : modifiez un seul octet du fichier signé et l'empreinte ne correspond plus ;
- pour chaque signataire — e-mail, date et heure de signature, date et heure de lecture du document, mode d'authentification, adresse IP ;
- les réponses déclarées (les champs remplis), avec leurs libellés ;
- l'empreinte de la marque de signature dessinée, conservée dans votre org.
Une image de signature ne prouve rien par elle-même — elle se copie. Son empreinte, elle, permet de vérifier que la marque conservée dans l'org est bien celle qui a été certifiée au moment de signer. C'est une preuve plus forte, pas un renoncement.
Le certificat se télécharge avec le document signé, y compris par un destinataire en copie. Voir aussi Logs & audit.