Signature PAdES, CAdES, XAdES : différences et choix

PAdES, CAdES et XAdES remplissent la même fonction : ils produisent une signature électronique avancée qui prouve qui a signé un document, à quel moment, et que le document n'a pas été modifié depuis la signature. La différence tient à l'endroit où se trouve la signature et au type de document auquel elle convient. Tous trois appartiennent à la famille AdES (Advanced Electronic Signature) de l'ETSI, l'organisme européen de normalisation.

Réponse courte

Qu'est-ce que PAdES ?

PAdES (PDF Advanced Electronic Signatures) intègre la signature dans la structure même du fichier PDF. Le document signé reste un PDF : le destinataire l'ouvre sans programme supplémentaire avec un lecteur PDF comme Adobe Acrobat Reader et voit, dans le panneau des signatures, qui a signé et si le document a été modifié. Il peut aussi porter un champ de signature visible sur la page.

Comme le PDF autorise les mises à jour incrémentielles, plusieurs personnes peuvent signer un document l'une après l'autre ; chaque signature préserve l'état précédent. C'est donc un choix pratique pour les contrats soumis à une chaîne d'approbation. Sa limite vient de là aussi : PAdES ne signe que des PDF.

Qu'est-ce que CAdES ?

CAdES (CMS Advanced Electronic Signatures) repose sur la structure CMS (RFC 5652) et ne tient pas compte du type de fichier : Word, Excel, image, ZIP — tout peut être signé. La signature est transportée sous deux formes : comme une enveloppe qui contient le document, ou comme un fichier séparé (.p7s) placé à côté du document.

L'inconvénient se situe côté destinataire : pour ouvrir un fichier signé sous forme d'enveloppe et vérifier la signature, il faut une application de signature électronique. En Turquie, CAdES est le format le plus répandu pour la correspondance officielle signée électroniquement.

Qu'est-ce que XAdES ?

XAdES (XML Advanced Electronic Signatures) s'appuie sur la norme de signature XML du W3C (XMLDSig) et s'adresse aux documents XML. La signature peut être intégrée au XML (enveloped), envelopper le XML (enveloping) ou rester séparée (detached). Elle est conçue pour les cas où le document sera lu par un logiciel et non par une personne ; elle est utilisée dans les documents XML comme l'e-Fatura (facture électronique turque) au format UBL-TR.

À quoi sert ASiC ?

ASiC (Associated Signature Containers) transporte le document signé et sa signature ensemble dans un seul conteneur ZIP. ASiC-S est destiné à un seul document, ASiC-E à plusieurs. La signature qu'il contient peut être CAdES ou XAdES ; ASiC n'est pas un nouveau type de signature mais un mode de transport.

Niveaux : B-B, B-T, B-LT, B-LTA

Le format répond à la question « où se trouve la signature » ; le niveau, à la question « pendant combien de temps la signature peut-elle être vérifiée ». Les profils de base (baseline) de l'ETSI comptent quatre niveaux :

• B-B (Basic) : la signature, le certificat du signataire et les attributs signés. Vérifiable tant que le certificat est valide.
• B-T (Timestamp) : un horodatage de confiance est ajouté ; il prouve le moment au plus tard auquel la signature a été apposée.
• B-LT (Long-Term) : la chaîne de certificats et le statut de révocation (CRL, OCSP) sont intégrés à la signature ; même si le certificat expire ensuite, les données de validation restent avec le document.
• B-LTA (Long-Term Archive) : un horodatage d'archive est ajouté et peut être renouvelé ; même si les algorithmes cryptographiques utilisés vieillissent, la signature conserve sa valeur probante.

Dans l'ancienne nomenclature de l'ETSI, les mêmes niveaux s'appellent BES, EPES, T, C, X, XL et A ; de nombreuses applications et documentations en Turquie utilisent encore ces noms. Pour un document conservé pendant des années (contrat, archive, bulletins de paie), on choisit au moins B-LT, de préférence B-LTA ; pour une approbation courante et de courte durée, B-T suffit le plus souvent.

Lequel choisir ?

• Si une personne ouvrira et lira le document et qu'il s'agit d'un PDF : PAdES. Le destinataire n'installe aucun programme supplémentaire.
• Si le document est en XML et qu'un logiciel le traitera : XAdES.
• Si le fichier n'est ni PDF ni XML, ou si l'autre partie demande du CAdES : CAdES.
• Si plusieurs fichiers doivent être signés dans un seul paquet : ASiC-E.
• Si un courrier officiel part vers une institution publique : le format ne relève pas de votre choix ; ce sont les règles du paquet e-Yazışma (correspondance électronique officielle turque) qui le fixent.

La validité juridique dépend-elle du format ?

Non. En Turquie, selon la loi n° 5070 sur la signature électronique, la signature électronique sécurisée produit le même effet juridique qu'une signature manuscrite. Ce qui le détermine, c'est moins le format que le fait que la signature ait été créée avec un certificat électronique qualifié et un dispositif sécurisé de création de signature (carte à puce, token, HSM ou signature mobile). PAdES, CAdES et XAdES sont des contenants différents pour cette signature.

Côté ELPO

Pour les utilisateurs qui veulent signer sur leur poste sans écrire de code, İmzacı signe des PDF et des XML avec une carte à puce, prépare des paquets e-Yazışma et effectue la signature par lots dossier par dossier. Pour les équipes qui veulent intégrer la signature à leur propre logiciel, la bibliothèque de signature électronique eSignature produit et vérifie les formats CAdES, XAdES, PAdES et ASiC jusqu'au niveau d'archivage à long terme ; chaque format étant un paquet distinct, seul ce qui est utilisé entre dans le projet. La présentation générale des deux produits se trouve sur la page e-İmza.