# 10 · Valider une signature et déterminer sa qualification > Section autonome du guide [eIDAS 2, échange par échange](https://signature.codethelaw.eu/). En production Le règlement d'exécution (UE) 2025/1945 désigne ETSI TS 119 172-4 V1.1.1 et TS 119 102-2 V1.4.1, avec les adaptations de ses annexes, pour la présomption de conformité des processus de validation. Ses références normatives incluent EN 319 102-1 V1.4.1 et TS 119 612 V2.3.1. L'annexe I concerne les signatures et cachets qualifiés ; l'annexe II, les signatures et cachets avancés reposant sur des certificats qualifiés. Interprétation des listes : TS 119 615. Mise en œuvre de référence : logiciel DSS de la Commission. La validation ne se contente pas de vérifier une signature mathématique. Elle reconstruit la chaîne jusqu'à une liste de confiance, établit le statut du certificat à la date prouvée, puis détermine si l'ensemble est qualifié. C'est cette dernière étape que l'arrêt Ekofrukt soumet au contrôle du juge. ## 10.1 Vérifier l'intégrité et la signature Validateur → Validateur · Cryptographie ### Entrée PDF signé. **TEXTE** ```text /ByteRange, /Contents (CMS), signedAttrs, signature, certificat du signataire ``` ### Traitement 1. Recalculer SHA-256 sur les plages /ByteRange et comparer à messageDigest. 2. Vérifier la signature ECDSA sur DER(signedAttrs) avec la clé publique du certificat. 3. Vérifier que le certificat correspond au condensat de signingCertificateV2. ### Sortie Issues possibles. **TEXTE** ```text OK => étape suivante TOTAL-FAILED / HASH_FAILURE (document modifié) TOTAL-FAILED / SIG_CRYPTO_FAILURE (signature invalide) INDETERMINATE / NO_SIGNING_CERTIFICATE_FOUND ``` **Suite :** La signature est cohérente ; reste à savoir si le certificat est digne de confiance. ## 10.2 Trouver l'ancre de confiance Validateur → LOTL et listes de confiance · LOTL → liste FR ### Entrée Liste des listes de la Commission (XML signé). **XML** ```xml GET https://ec.europa.eu/information_society/policy/esignature/trusted-list/tl-mp.xml … certificats autorisés à signer la liste FR … https://…/liste-de-confiance-FR.xml FR application/vnd.etsi.tsl+xml ``` ### Traitement 1. Vérifier la signature XML de la LOTL avec les certificats publiés par la Commission. 2. Télécharger la liste française (organe de contrôle : ANSSI) et vérifier sa signature avec les certificats annoncés dans la LOTL. 3. Rechercher le service dont le certificat a émis celui du signataire. ### Sortie Entrée de la liste nationale (TS 119 612, exemple). **XML** ```xml http://uri.etsi.org/TrstSvc/Svctype/CA/QC AC qualifiée personnes physiques (exemple) MIIF… http://uri.etsi.org/TrstSvc/TrustedList/Svcstatus/granted 2024-07-01T00:00:00Z http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/ForeSignatures … statuts antérieurs et dates … ``` **Suite :** Le statut granted doit être vérifié à la date de la signature, en remontant l'historique du service si nécessaire. ## 10.3 Établir le statut du certificat à la bonne date Validateur → Répondeur OCSP · Révocation ### Entrée Preuves embarquées (DSS) ou interrogation en ligne. **TEXTE** ```text Date prouvée de la signature : genTime du jeton d'horodatage (preuve d'existence) Réponse OCSP embarquée ou nouvelle requête ``` ### Traitement 1. Utiliser l'heure de l'horodatage, pas /M, qui n'est qu'une heure revendiquée. 2. Vérifier que le certificat n'était pas révoqué à cette date et que la réponse OCSP est elle-même valide. ### Sortie Issues possibles. **TEXTE** ```text OK INDETERMINATE / REVOKED_NO_POE (révoqué, sans preuve d'existence antérieure) INDETERMINATE / OUT_OF_BOUNDS_NO_POE (signature hors de la période de validité prouvable) INDETERMINATE / TRY_LATER (information de révocation pas encore disponible) ``` **Suite :** Dernier contrôle technique : les algorithmes étaient-ils acceptables à la date pertinente ? ## 10.4 Appliquer les contraintes cryptographiques Validateur → Validateur · Contraintes crypto ### Entrée La spécification ETSI TS 119 312 V2.1.1 (2026-06) distingue les mécanismes cryptographiques recommandés (R) des mécanismes hérités (L). Pour RSA, le § 8.4 (tableau 6) classe les modules d'au moins 1 900 bits et de moins de 3 000 bits comme L\[2026\] : ils ne doivent plus être utilisés pour émettre de nouveaux certificats après le 31 décembre 2026. Les modules d'au moins 3 000 bits sont recommandés (R). Le § 5.1 (tableau 1) classe SHA-256, SHA-384, SHA-512, SHA3-256, SHA3-384 et SHA3-512 comme recommandés (R), et SHA-224 comme L\[2028\]. Pour CAdES et PAdES, l'annexe A.2 (tableau A.1) exige que les signataires prennent en charge SHA-256 et que les vérificateurs prennent en charge SHA-256, SHA-384 et SHA-512. Source : ETSI TS 119 312 V2.1.1 (2026-06), § 5.1, § 8.4 et annexe A.2. **TEXTE** ```text ECDSA P-256 + SHA-256 : recommandé (R) RSA 1 900 à moins de 3 000 bits : hérité L[2026] ; aucun nouveau certificat après 2026-12-31 RSA ≥ 3 000 bits : recommandé (R) RSA PKCS#1 v1.5 : hérité (L) ; RSA-PSS : recommandé (R) SHA-256/384/512 : recommandés (R) SHA3-256/384/512 : recommandés (R) SHA-224 : hérité L[2028] ``` ### Traitement 1. Ces classements ne sont pas des dates d'invalidation juridique des signatures existantes. 2. Comparer chaque algorithme et taille de clé à la date de signature, ou à la date du dernier horodatage d'archive pour une signature maintenue. ### Sortie **TEXTE** ```text OK, ou INDETERMINATE / CRYPTO_CONSTRAINTS_FAILURE_NO_POE ``` **Suite :** La signature est techniquement valide : reste à déterminer sa qualification juridique. ## 10.5 Déterminer la qualification (QES ou non) Validateur → Validateur · Qualification ### Entrée Certificat et informations de la liste de confiance. **TEXTE** ```text qcStatements : QcCompliance, QcSSCD, QcType = esign Liste de confiance : service CA/QC granted à la date, ForeSignatures, éventuels qualificatifs ``` ### Traitement 1. Le certificat est-il qualifié à la date ? QcCompliance et inscription du service, avec priorité aux qualificatifs de la liste de confiance. 2. La clé est-elle dans un QSCD ? QcSSCD, ou qualificatif QCWithSSCD de la liste. 3. Est-ce un certificat de signature ou de cachet ? QcType. ### Sortie Rapport de validation (résumé). **TEXTE** ```text Indication : TOTAL-PASSED Qualification : QESig -- autres valeurs possibles : AdESig-QC, AdESig, QESeal, … Date prouvée : 2026-10-03T08:15:07Z (jeton RFC 3161) Signataire : CN=Camille DUPONT Rapport : format XML normalisé (ETSI TS 119 102-2 V1.4.1) ``` **BASE LÉGALE.** CJUE, 20 octobre 2022, Ekofrukt (C-362/21) : la mention « qualifiée » portée par le certificat ne suffit pas ; le juge vérifie les trois conditions (signature avancée, certificat qualifié, dispositif qualifié). C'est exactement ce que cette étape automatise, et ce qu'un expert peut être amené à refaire. **Suite :** QESig emporte, en droit, l'effet d'une signature manuscrite et la présomption de fiabilité en France. ## Sources - [Règlement d'exécution (UE) 2025/1945 (validation, annexes I et II)](https://eur-lex.europa.eu/eli/reg_impl/2025/1945/oj/fra) - [Règlement d'exécution (UE) 2025/1943 (certificats qualifiés)](https://eur-lex.europa.eu/eli/reg_impl/2025/1943/oj/fra) - [ETSI TS 119 312 V2.1.1 (2026-06), § 5.1, § 8.4 et annexe A.2](https://www.etsi.org/deliver/etsi_ts/119300_119399/119312/02.01.01_60/ts_119312v020101p.pdf) - [ETSI, LOTL et listes nationales](https://portal.etsi.org/TB-SiteMap/ESI/Trust-Service-Providers) - [Commission européenne, listes de confiance](https://digital-strategy.ec.europa.eu/en/policies/eu-trusted-lists) - [AGIL'IT, arrêt Ekofrukt](https://www.agilit.law/en/it-personal-data/signature-electronique-qualifiee-cjue/)