Vérifier une signature PDF
Quelqu'un vous a envoyé un PDF signé. Cet outil vous dit si le fichier correspond toujours à ce qui a été signé, et qui le certificat désigne comme signataire. Le document est lu ici, sur votre appareil : un contrat signé est bien la dernière chose à envoyer à un inconnu.
Déposez un PDF ici, ou cliquez pour le choisir
Votre fichier reste sur cet appareil. Rien n'est envoyé.
Comment vérifier la signature numérique d'un PDF
- Déposez le PDF signé dans la zone ci-dessus, ou appuyez sur « Choisir un fichier PDF ». La vérification démarre aussitôt.
- Lisez le verdict en haut de la page. Il vous indique si le fichier a été modifié après sa signature, ou si la signature n'a pas pu être vérifiée.
- Lisez la fiche de chaque signature : quand elle a été apposée, quelle partie du fichier elle couvre et si le certificat était valide. Un navigateur ne peut pas confirmer à qui appartient le certificat, et la page le dit.
Ce que fait l'outil Vérifier une signature PDF
Quelqu'un vous envoie un contrat, une facture ou un certificat en PDF signé. Ceci répond aux deux questions qui valent la peine d'être posées : quelque chose a-t-il changé depuis la signature, et qui le certificat dit-il avoir signé ?
Ce qu'il fait
- Recalcule l'empreinte du document et la compare à celle scellée dans la signature
- Vérifie la signature elle-même contre le certificat du signataire, donc une signature contrefaite est détectée même si le texte est intact
- Distingue les deux façons dont un fichier signé se dégrade : contenu modifié, ou contenu ajouté après la partie signée
- Montre qui le certificat nomme, qui l'a émis, quand il expire, et si le signataire se l'est délivré lui-même
- Dit clairement les vérifications qu'il n'a pas pu faire, au lieu d'afficher une coche qui veut dire moins qu'il n'y paraît
Ce qu'il ne fait pas
- Confirmer que le certificat appartient vraiment à la personne nommée : cela demande la liste d'autorités de confiance de votre système d'exploitation, qu'une page web ne peut pas lire
- Vérifier si un certificat a été révoqué, ce qui exige une requête au serveur de l'émetteur qu'un navigateur n'a pas le droit de faire
- Se prononcer sur une signature dessinée ou scannée, qui ne porte aucun certificat et n'offre donc rien à vérifier
- Vous dire si une signature suffit juridiquement chez vous ; cela dépend du document et de la juridiction
- Modifier le fichier de quelque manière que ce soit : il ne fait que le lire
Dernière mise à jour
Besoin d'envoyer ceci à quelqu'un ?
Notre site jumeau QRSansar héberge un document et vous donne un lien court et un QR code pour celui-ci. C'est pratique pour WhatsApp, une diapositive, une affiche ou un imprimé, et cela évite complètement les limites de taille des pièces jointes. Vous pouvez remplacer le fichier plus tard, le lien et le QR code continuent de fonctionner.
Autant être clair sur la différence : c'est un service d'hébergement, votre fichier y est donc téléversé. Tout ce qui se passe sur PDFsansar reste sur votre appareil ; le partage est la seule tâche qui ne le peut pas.
Partager un document sur QRSansar →Autres outils
Tous gratuits, et tous fonctionnent dans cet onglet sans rien envoyer.
Vérifier une signature PDF: questions fréquentes
Que prouve réellement « le document n'a pas changé » ?
Que les octets couverts par la signature sont les mêmes que ceux qui ont été signés. Une signature porte une empreinte du fichier prise au moment de la signature ; ceci recalcule cette empreinte et compare. Si elles correspondent, personne n'a modifié un mot, un chiffre ou une page depuis. Sinon, quelque chose a changé après la signature, et l'outil dit de laquelle des deux façons : le contenu a été modifié, ou du contenu a été ajouté à la fin.
Il dit que la signature est valide mais que le signataire n'est pas vérifié. Alors ?
Les deux, et ils répondent à des questions différentes. « Valide » veut dire que les mathématiques tiennent : la signature a bien été faite avec la clé privée du certificat présent dans le fichier, et le document correspond. « Non vérifié » veut dire que nous ne pouvons pas vous dire que le certificat appartient à la personne qu'il nomme. Vérifier cela demande la liste d'autorités de certification auxquelles votre système d'exploitation fait confiance, et une page de navigateur n'a pas le droit de la lire. Acrobat peut faire cette vérification ; pas ceci, donc il le dit plutôt que de deviner.
Le certificat est auto-signé. Le document est-il faux ?
Pas nécessairement, et la distinction vaut la peine d'être comprise. Auto-signé veut dire que le signataire a émis son propre certificat au lieu d'en acheter un à une autorité. La détection d'altération fonctionne parfaitement : vous pouvez être sûr que le fichier n'a pas changé. Ce dont vous ne pouvez pas être sûr, c'est de qui l'a fait, puisque n'importe qui peut générer un certificat portant n'importe quel nom. Traitez une signature auto-signée comme un cachet sur une enveloppe : il vous dit que l'enveloppe n'a pas été ouverte, pas qui l'a cachetée.
Pourquoi dit-il que la signature ne couvre pas tout le fichier ?
Parce qu'il existe des octets après la fin de la plage signée. Dans un PDF, c'est ainsi qu'un document est étendu après signature : quelqu'un a ajouté des pages, une saisie de formulaire ou une autre modification, et cela se trouve hors de ce que la signature garantit. C'est parfois innocent : une deuxième personne qui contresigne ajoute sa propre section, et l'outil reconnaît ce cas sans le signaler. Quand rien d'autre n'explique les octets en trop, méfiez-vous-en.
Peut-il vérifier quand le document a été signé ?
Il affiche l'heure de signature, et vous dit aussi si cette heure est appuyée par un horodatage d'une autorité indépendante. Sans lui, la date est simplement ce que l'ordinateur du signataire affirmait à ce moment-là, et une affirmation n'est pas une preuve : une horloge se règle sur n'importe quoi. Les horodatages doivent être demandés à un serveur pendant la signature, donc beaucoup de signatures par ailleurs correctes n'en ont pas.
Mon PDF porte une signature mais ceci dit qu'il n'est pas signé.
Alors c'est une image de signature et non une signature cryptographique, ce que contiennent la plupart des PDF signés, y compris ceux que fabrique notre propre outil Signer un PDF. Une signature dessinée ou scannée, c'est de l'encre sur la page ; elle est largement acceptée et ne porte aucun certificat, il n'y a donc rien à vérifier ici. Cet outil ne se prononce que sur l'espèce cryptographique.