Politique de certification et de signature

Chaque certificat délivré par Klarvi porte l'identifiant de politique 1.3.6.1.4.1.99999.1.1. Cette page est le document auquel cet identifiant renvoie. Elle décrit ce qu'une signature faite dans Klarvi atteste, ce qu'elle n'atteste pas, et ce sur quoi l'éditeur s'engage.

Elle s'adresse à trois lecteurs : le signataire, qui veut savoir ce qu'il engage ; l'entreprise qui fait signer, qui veut savoir ce qu'elle pourra opposer ; et le tiers — expert, conseil, magistrat — appelé à apprécier la fiabilité du procédé au sens de l'article 1367 du code civil.

Klarvi est un prestataire de services de confiance non qualifié au sens de l'Article 3, point 16, du règlement (UE) n° 910/2014 (eIDAS), modifié par le règlement (UE) 2024/1183. Cette qualité découle du service rendu, pas d'un choix : créer des signatures et des certificats contre rémunération suffit à l'emporter.

Les services de confiance rendus sont les suivants :

• création de signatures électroniques (SES et AdES)
• création de certificats de signataire par une autorité de certification interne
• conservation du dossier de preuve associé à chaque signature

Ce que Klarvi n'est pas, et qu'aucune page, aucun devis et aucun échange commercial ne doit laisser croire :

• l'autorité de certification interne n'est pas qualifiée et ne figure sur aucune liste de confiance européenne
• Klarvi n'est pas inscrit sur la liste nationale de confiance tenue par l'ANSSI
• aucune signature rendue par la plateforme n'est une signature électronique qualifiée au sens de l'article 3, point 12

La conséquence pratique est visible et normale : un lecteur de PDF affichera « signature valide, identité du signataire inconnue ». C'est le comportement attendu d'une autorité absente des magasins de confiance, pas un défaut.

Le niveau est déclaré à la création de la demande, jamais déduit après coup des preuves recueillies. C'est une règle de fond : décrire les preuves collectées est toujours défendable, les qualifier engage.

Seule la signature électronique qualifiée bénéficie de la présomption de l'article 25.2 du règlement eIDAS, qui lui donne l'effet juridique d'une signature manuscrite. Les autres niveaux ne se voient pas refuser d'effet juridique au seul motif de leur forme électronique (article 25.1) : leur valeur s'apprécie au cas par cas, sur le faisceau de preuves.

L'autorité est organisée en deux étages. Une racine, dont la clé est engendrée hors ligne et ne touche jamais le serveur, signe une autorité émettrice qui, seule, délivre les certificats de signataire. Compromettre le serveur permettrait donc d'émettre de faux certificats sous l'autorité émettrice, non de se faire passer pour la racine : la remédiation consiste à révoquer l'émettrice sans perdre la chaîne.

Un certificat est délivré par acte de signature, nominatif, valable 15 minutes. Sa clé privée est engendrée en mémoire au moment de signer, sert une fois, et n'est écrite nulle part : ni en base, ni sur disque, ni dans un journal. Il n'existe donc aucune clé privée de signataire à protéger, à chiffrer ou à révoquer.

Le certificat est lié à un seul acte et à une seule organisation par son nom alternatif. Une signature détournée vers une autre pièce ou un autre client est inexploitable : le certificat ne colle qu'à l'acte pour lequel il a été émis.

Aucun point de distribution de liste de révocation n'est publié, et c'est délibéré : un certificat de 15 minutes à usage unique n'a rien à révoquer, et une extension pointant vers une adresse non servie ferait échouer les vérificateurs stricts — ce qui serait pire que son absence.

Chaque émission est inscrite dans un journal d'émission conservé par l'éditeur : numéro de série, sujet, émetteur, empreinte de la clé publique, validité, et l'acte auquel le certificat se rattache. Ce journal ne peut pas être effacé par la suppression de la demande de signature à laquelle il se rapporte.

Il lie une clé publique à un nom déclaré et, lorsque la vérification a eu lieu, à une adresse électronique confirmée par code à usage unique, sous l'autorité de la plateforme.

Il n'atteste pas d'un contrôle d'identité au sens de l'annexe I du règlement : aucune pièce d'identité n'est vérifiée. La possession d'une boîte de courrier est un facteur faible, et cette politique ne prétend pas le contraire.

Lorsque le signataire dispose d'un authentificateur (clé de sécurité, biométrie de l'appareil), la clé privée qui autorise l'acte est, elle, non extractible et détenue par lui. Le lien avec l'article 26 du règlement en est nettement renforcé, et le fait est consigné dans le certificat comme dans le dossier de preuve.

Chaque signature produit un dossier conservé avec la pièce signée : consentement explicite recueilli et enregistré mot pour mot, horodatage, adresse IP, navigateur, empreinte du document au moment de la signature, et le détail des vérifications effectuées.

C'est ce dossier, et non le tracé du paraphe, qui donne sa valeur à la signature. Le document signé est figé avant l'ouverture du lien par le signataire : ce qu'il a vu est ce qu'il a signé, et l'empreinte le prouve.

En qualité de prestataire de services de confiance, l'éditeur est tenu par l'article 19 du règlement eIDAS, qui s'applique aux prestataires qualifiés et non qualifiés. Il prend les mesures techniques et organisationnelles appropriées aux risques, et il notifie tout incident portant atteinte à la sécurité ou à l'intégrité du service.

Cette notification est adressée à l'organe de contrôle — en France l'ANSSI, Agence nationale de la sécurité des systèmes d'information — dans un délai maximal de 24 heures après la connaissance de l'incident. Lorsque l'incident est susceptible de porter préjudice à une personne à qui le service a été rendu, cette personne en est informée sans délai.

Ce délai est distinct de celui de la notification des violations de données à caractère personnel prévue par le RGPD, qui court sur 72 heures et vers un autre destinataire. Un même incident peut déclencher les deux ; l'une ne vaut jamais l'autre. Le traitement des données personnelles est décrit dans la politique de confidentialité.

L'article 1366 du code civil reconnaît à l'écrit électronique la même force probante qu'à l'écrit sur papier, sous réserve que l'auteur puisse être dûment identifié et que l'écrit soit établi et conservé dans des conditions de nature à en garantir l'intégrité. L'article 1367 ajoute que la signature électronique consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte.

Hors signature qualifiée, la fiabilité ne se présume pas : elle se démontre, et c'est le juge qui l'apprécie. Cette politique et le dossier de preuve sont conçus pour lui donner de quoi le faire. Ils ne garantissent aucun résultat, et l'éditeur ne prétend pas qu'une signature faite dans Klarvi serait incontestable.

Certains actes exigent par la loi une forme particulière — acte authentique, signature qualifiée, mention manuscrite. Il appartient à l'entreprise qui fait signer de vérifier que le niveau retenu convient à l'acte concerné.

Toute modification est datée en tête de page. Les certificats déjà émis restent régis par la version en vigueur au jour de leur émission ; le journal d'émission permet de savoir laquelle.