Un certificat électronique est un fichier délivré par une autorité de certification qui lie une clé cryptographique à l'identité vérifiée d'une personne, d'une organisation ou d'un serveur, jouant le rôle de carte d'identité numérique de confiance. Il permet à un tiers de vérifier l'origine d'une signature ou d'un jeton sans avoir à faire confiance sur parole.
Le rôle du certificat dans une infrastructure de confiance
Le certificat électronique repose sur la cryptographie asymétrique : une clé privée, gardée secrète par son titulaire, et une clé publique, diffusée librement. Le certificat atteste que cette clé publique appartient bien à l'entité nommée. Il contient le nom du titulaire, la clé publique, le nom de l'autorité émettrice, une période de validité et la signature de l'autorité. Cet ensemble s'inscrit dans une PKI (infrastructure à clés publiques), une chaîne de confiance où chaque certificat est garanti par celui d'un niveau supérieur, jusqu'à une autorité racine reconnue.
Dans l'horodatage, c'est le certificat de l'autorité d'horodatage qualifiée qui signe chaque jeton émis. Lorsque Certifiles horodate l'empreinte SHA-256 de votre document selon la norme RFC 3161, la signature apposée s'appuie sur ce certificat : n'importe qui peut vérifier, grâce à la clé publique de l'autorité, que le jeton est authentique et n'a pas été falsifié. Le certificat est donc le maillon qui rend la preuve vérifiable par un tiers, sans dépendre de Certifiles.
Période de validité et révocation
Un certificat électronique a une durée de vie limitée et peut être révoqué avant son terme, par exemple si la clé privée est compromise. Les logiciels de vérification consultent des listes de révocation (CRL) ou un service en ligne (OCSP) pour s'assurer qu'un certificat était valide au moment de son usage. Pour l'horodatage, c'est un point clé : la date inscrite dans le jeton atteste que la signature a été apposée pendant la période de validité du certificat, ce qui maintient la preuve vérifiable même après expiration. La preuve ne périme donc pas avec le certificat qui l'a produite.
Cadre légal et norme X.509
Le format des certificats électroniques est standardisé par la norme internationale X.509, qui définit leur structure et leurs champs. Au niveau juridique, le règlement eIDAS (n° 910/2014) encadre les certificats qualifiés et les autorités habilitées à les délivrer, sous le contrôle d'organismes de supervision nationaux. Un certificat qualifié confère le niveau de garantie le plus élevé pour la signature et le cachet électronique reconnus dans toute l'Union européenne. Cette hiérarchie de niveaux — du certificat ordinaire au certificat qualifié — correspond à des exigences croissantes de vérification d'identité et de sécurité de la clé privée. Plus le niveau est élevé, plus la valeur juridique attachée à l'opération est forte. Pour l'horodatage, c'est l'autorité qui détient un certificat qualifié, ce qui permet à ses jetons de bénéficier de la présomption d'exactitude prévue par eIDAS. L'utilisateur profite ainsi du plus haut niveau de garantie sans avoir lui-même à détenir ou administrer un certificat.
Exemple concret
Une notaire signe électroniquement un acte avec un certificat qualifié délivré à son nom. Le destinataire ouvre le document, son lecteur PDF vérifie la chaîne de certificats jusqu'à l'autorité racine et affiche que la signature est valide et émane bien de la notaire identifiée. La confiance ne repose pas sur une promesse, mais sur la validation cryptographique du certificat, vérifiable par tout logiciel conforme.
Cas d'usage
Le certificat électronique se rencontre dans tous les usages où une opération numérique doit être attribuée à une entité identifiée et vérifiable. Il authentifie un serveur web via TLS, signe un acte ou un contrat au nom de son auteur, scelle un document au nom d'une organisation par un cachet, ou encore signe les jetons émis par une autorité d'horodatage. Du point de vue de l'utilisateur de Certifiles, l'essentiel tient en un point : vous n'avez aucun certificat à acquérir ni à gérer. C'est le certificat qualifié de l'autorité d'horodatage qui garantit chaque jeton, et c'est sa clé publique qui permet à n'importe qui de vérifier l'authenticité de votre preuve, aujourd'hui comme dans dix ans, sans dépendre de votre propre identité numérique.
À ne pas confondre avec…
- Le certificat de preuve Certifiles : un document récapitulant l'horodatage, qui n'est pas un certificat X.509 d'identité.
- La signature électronique : elle utilise un certificat, mais désigne l'acte d'approbation, pas l'outil d'identité lui-même.
- Un certificat SSL/TLS : un type particulier de certificat X.509 dédié à la sécurisation des sites web, pas à la signature de documents.