Remarques sélectionnées
Signatures électroniques avancées de l’administration fédérale (SEA de la SG-PKI)
Les signatures électroniques avancées (SEA) ne sont pas réglementées par la SCSE. Leurs caractéristiques dépendent du service de certification concerné, notamment en ce qui concerne la vérification de l’identité du ou des signataires. C’est pourquoi le validateur ne peut en principe pas vérifier intégralement les documents signés avec une SEA, ni afficher le statut global « vert ». Cette remarque ne s’applique toutefois pas aux SEA générées par l’administration fédérale (SG-PKI) : les caractéristiques de ces signatures électroniques sont connues, et la vérification de l’identité, en particulier, est garantie. C’est la raison pour laquelle le validateur peut attribuer le statut global « vert » aux SEA de l’administration fédérale, mais pas aux SEA du secteur privé. Toute personne physique ou morale souhaitant signer un document devant se voir attribuer le statut global « vert » par le validateur devrait utiliser une signature électronique réglementée (signature électronique qualifiée et cachet au sens de la SCSE) plutôt qu’une SEA.
(Combinaison de) signatures électroniques conformes au droit suisse et au droit de l’UE
Les règles juridiques et techniques en vigueur en Suisse et dans l’UE sont comparables en ce qui concerne les effets juridiques des signatures électroniques qualifiées (SEQ). Les fournisseurs de services de certification sont toutefois reconnus indépendamment les uns des autres pour chaque espace juridique, et la création d’une SEQ s’effectue selon les modalités propres à chaque espace juridique. Une SEQ est donc créée soit selon le droit suisse, soit selon le droit de l’UE, et ne produit dès lors en principe ses effets que dans l’espace juridique correspondant. Il n’existe pas de reconnaissance mutuelle des SEQ en vertu d’un traité international ou de dispositions légales.
Il est possible de signer un document avec une SEQ conforme au droit suisse et, en outre, avec une SEQ conforme au droit de l’UE.
Il convient de noter que les validateurs de signatures ne peuvent généralement vérifier la conformité que des signatures électroniques relevant d’un espace juridique donné. Cette règle vaut par exemple aussi pour le validateur de l’administration fédérale. Si un document contient, outre une SEQ conforme au droit suisse, une SEQ conforme au droit de l’UE, le validateur n’est donc plus en mesure d’afficher un statut global « vert ».
Documents munis uniquement d’un horodatage électronique
Grâce à un horodatage électronique qualifié, un service d’horodatage atteste, au moyen d’un cachet électronique réglementé, qu’une information donnée existait à un moment précis. Ce procédé permet de prouver l’intégrité d’une information ou d’un document. Les horodatages de ce type sont vérifiés par le validateur lors du contrôle des signatures électroniques, notamment pour s’assurer qu’ils proviennent bien d’un fournisseur de services de certification reconnu.
Le validateur vérifie également les horodatages isolés, c’est-à-dire les documents qui ne comportent qu’un horodatage, mais aucune signature électronique réglementée supplémentaire (SEQ, cachet électronique réglementé). Le résultat global n’est toutefois « vert » que s’il est associé à une signature électronique réglementée valide.
e-ID
En Suisse, l’identité électronique (e-ID) est une preuve d’identité numérique reconnue par l’État. Elle permet d’établir de manière certaine et sécurisée l’identité d’une personne en ligne. Elle est régie par la loi fédérale sur l’identité électronique et d’autres moyens de preuves électroniques.
Dans le cadre des signatures électroniques, l’e-ID sert de base fiable à l’identification lors de la présentation d’une demande de certificat de signature. Elle contribue ainsi à la délivrance de certificats de signature par des fournisseurs de services de certification reconnus, notamment pour la création de signatures électroniques qualifiées conformes à la SCSE. Cependant, l’e-ID proprement dite n’est pas un certificat de signature (à usage unique).
Certificats à usage unique
Les certificats de signature, qui ont toujours une durée de validité déterminée, peuvent être utilisés pour des signatures électroniques pendant cette période. Les certificats classiques ont généralement une durée de validité comprise entre 1 et 3 ans ; ils doivent être stockés ou conservés en toute sécurité pendant cette période et peuvent être révoqués.
Les certificats à usage unique, en revanche, sont créés à chaque processus de signature. Ils ont une durée de validité très courte, généralement de quelques heures seulement. Ainsi, en pratique, il n’est pas nécessaire de les révoquer. Ne devant être ni stockés ni conservés en toute sécurité, ils sont écartés après le processus de signature.
Dans l’ensemble, les certificats à usage unique renforcent la sécurité, la facilité d’utilisation et la flexibilité lors de l’apposition d’une signature électronique.
Règles régissant les signatures, les directives et les directives d’application
Les règles régissant les signatures, les directives et les directives d’application définissent qui, au sein d’une organisation, est habilité à signer pour quelles opérations et quelles sont les exigences requises à cet effet. Elles définissent notamment les rôles, les compétences et les montants limites, s’appliquant en principe aussi bien aux signatures manuscrites qu’aux signatures électroniques. Dans un contexte numérique, il est en outre possible de définir quels types de signatures (par ex. avancées ou qualifiées) sont autorisés pour quelles opérations. Il arrive souvent que les directives contiennent par ailleurs des prescriptions relatives non seulement à l’identification, à l’authentification et à l’utilisation de solutions de signature, mais aussi à la normalisation de la présentation visuelle des signatures électroniques.
Ces prescriptions visent notamment à faire en sorte que seules les personnes habilitées puissent émettre des déclarations de volonté juridiquement contraignantes, et que les exigences légales ou les règles internes de conformité soient respectées. Qui plus est, elles favorisent la traçabilité et la conformité des processus aux exigences en matière d’audit. Dans l’ensemble, ces prescriptions garantissent la transparence, la sécurité et le caractère contraignant en matière d’utilisation de signatures.
La directive applicable au sein de l’administration fédérale est la directive d’application E018.