Vérification de signature électronique des fichiers P7S, P7M et PDF

Les fichiers .p7s, .p7m et .sig contiennent une signature électronique au format CMS (PKCS#7). Déposez le fichier sur cette page : si la signature contient le document, comme un .p7m signé, vous pouvez l'ouvrir et l'enregistrer ; si elle est détachée, comme un .p7s, ajoutez le document à côté et la vérification indiquera s'il a été modifié. Aucun logiciel à installer. Un .p7m chiffré (message S/MIME chiffré) ne s'ouvre pas ici : il faut la clé privée du destinataire.

C'est le principe de la signature détachée : elle ne contient que le hachage du document et le certificat, tandis que le document reste un fichier à part, en général sous le même nom suivi de l'extension de la signature, par exemple « Contrat.pdf » et « Contrat.pdf.p7s ». Ajoutez les deux fichiers : la paire sera trouvée automatiquement, même si les noms diffèrent.

Oui. La page fonctionne dans le navigateur d'un Android ou d'un iPhone, sans logiciel de signature ni plugin : les signatures RSA et ECDSA sont vérifiées par WebCrypto, intégré au navigateur, et les signatures GOST par le code de la page elle-même. Seul l’horodatage de confiance facultatif, au moment de signer, passe par notre serveur : le serveur d’horodatage reçoit le hachage de la signature.

Non. L'outil vérifie que le document n'a pas été modifié, que la signature a été faite avec la clé du certificat et que ce certificat était valide au moment de la signature. La révocation du certificat et la confiance dans l'autorité de certification ne sont pas vérifiées. Pour valider officiellement une signature électronique qualifiée au sens du règlement eIDAS, passez par un service de validation qualifié ou par l'outil que vous indique l'organisme qui demande cette signature.

L'heure de signature inscrite dans le fichier vient de l'ordinateur du signataire, dont l'horloge peut être réglée sur n'importe quelle date. Si un horodatage de confiance accompagne la signature, l'heure est confirmée par un serveur indépendant : cela apparaît comme un point distinct de la vérification.

Pas là où un niveau qualifié est exigé : une signature faite avec votre clé n'est pas une signature électronique qualifiée au sens d'eIDAS. Quand la loi ou votre interlocuteur exige une signature ou un certificat qualifiés — marchés publics, démarches administratives, justice —, elle ne suffit pas. Elle prouve en revanche que le fichier n'a pas été modifié après la signature, et les parties peuvent convenir entre elles de l'accepter.

Ajoutez le PDF : les signatures qu'il contient sont détectées automatiquement. Pour chacune, vous voyez le signataire, l'heure et si quelque chose a été ajouté au fichier après elle ; la version signée peut être téléchargée à part.