Signature électronique et signature numérique : quelle différence ?

Les deux expressions s’emploient comme si elles étaient synonymes. Elles ne le sont pas, et la différence n’est pas une question de degré : elles relèvent de catégories distinctes. L’une est un statut juridique. L’autre est de la cryptographie. Une fois ce point clair, l’essentiel de la confusion se dissipe.

En bref

• Une signature électronique est une catégorie juridique. C’est la loi qui dit ce qui en constitue une. En droit américain comme en droit européen, le critère porte sur l’intention et non sur l’apparence : un nom saisi, un tracé dessiné ou un clic peuvent tous convenir.
• Une signature numérique est un procédé technique. Elle repose sur la cryptographie à clé publique — une clé privée, un certificat correspondant et une empreinte (hachage) du document — de sorte que toute modification ultérieure du fichier soit détectable et que la signature puisse être rattachée à la clé qui l’a produite.
• Les deux ne s’opposent pas. Une signature numérique est une manière de produire une signature électronique. Toute signature numérique apposée sur un accord est aussi une signature électronique ; la plupart des signatures électroniques ne sont pas des signatures numériques.

Ce que les textes définissent réellement

L’ESIGN Act définit la signature électronique à 15 U.S.C. § 7006(5) comme :

« un son, un symbole ou un procédé électronique, joint à un contrat ou à un autre document ou logiquement associé à celui-ci, et exécuté ou adopté par une personne avec l’intention de signer le document ».

Le règlement eIDAS la définit à l’article 3, point 10 comme :

« une donnée sous forme électronique qui est jointe ou associée logiquement à d’autres données sous forme électronique et que le signataire utilise pour signer ».

Relisez les deux définitions et notez ce qui manque : aucune technologie. Ni certificat, ni clé, ni algorithme. C’est délibéré. Les deux textes sont rédigés pour être neutres sur le plan technologique, afin de ne pas devenir caducs lorsque la cryptographie du moment sera remplacée.

Ni l’un ni l’autre ne définit nulle part le terme « signature numérique ».

D’où vient la confusion

On lit souvent que l’eIDAS définirait « deux types de signature numérique » : l’avancée et la qualifiée. Ce n’est pas ce que dit le règlement, et l’erreur mérite d’être défaite car elle est très répandue.

L’eIDAS définit trois niveaux de signature électronique, en trois points consécutifs :

Niveau	Défini à	Ce qu’il ajoute
Signature électronique (couramment « SES »)	Article 3, point 10	Le niveau de base. Recevable au titre de l’article 25, paragraphe 1.
Avancée (AdES)	Article 3, point 11, par renvoi à l’article 26	Liée au signataire de manière univoque et permettant de l’identifier, sous son contrôle exclusif, toute modification ultérieure étant détectable.
Qualifiée (QES)	Article 3, point 12	Une AdES créée sur un dispositif certifié (un QSCD) au moyen d’un certificat qualifié.

Trois conséquences en découlent :

1. Ce sont des niveaux de signature électronique, non des types de signature numérique. Le mot « numérique » ne joue aucun rôle dans le règlement : il ne figure pas parmi les termes définis.
2. Il y en a trois, pas deux. C’est en écartant le niveau de base de l’article 3, point 10, que l’on obtient l’affirmation des « deux types » — or c’est précisément ce niveau que la plupart des accords commerciaux mobilisent.
3. « Signature électronique simple » et « SES » sont des raccourcis du secteur, non des termes légaux. Le règlement dit simplement « signature électronique ». Le raccourci est commode et nous l’employons aussi, mais il vaut la peine de savoir qu’il est le nôtre et non celui du législateur.

En pratique, l’AdES et la QES sont presque toujours mises en œuvre au moyen de la cryptographie de signature numérique. C’est le noyau de vérité sur lequel repose l’affirmation des « deux types ». Mais les niveaux se définissent par ce qu’une signature doit accomplir, non par la technique employée pour y parvenir.

Une signature numérique rend-elle un document « plus légal » ?

Non — et c’est la question que la confusion terminologique masque en réalité.

La validité juridique découle du droit : intention de signer, rattachement au signataire, consentement lorsqu’il est requis, et conservation du document. Un document satisfait ces conditions ou non. La cryptographie n’en fait pas partie.

Ce que la cryptographie change, c’est la preuve. Si une signature est contestée, la question n’est plus « ce type de signature est-il valable ? » mais « pouvez-vous établir qui a signé, ce que cette personne a vu, et que le fichier n’a pas changé depuis ? ». C’est un problème probatoire, et c’est celui que résolvent une piste d’audit solide et l’inviolabilité du document.

Le seul cas où le niveau change véritablement l’issue juridique se trouve dans l’eIDAS, où une QES — et elle seule — équivaut automatiquement à une signature manuscrite dans les 27 États membres. Sous l’ESIGN Act et l’UETA, il n’existe aucun niveau : une signature répond à la définition légale ou n’y répond pas.

Lequel un accord ordinaire exige-t-il ?

Pour la grande majorité des accords commerciaux — accords de confidentialité, contrats de vente, énoncés de travaux, promesses d’embauche — ce que le droit demande, et ce que la contrepartie attend, c’est une signature électronique accompagnée d’une piste d’audit complète. Ni l’ESIGN Act, ni l’UETA, ni le niveau de base de l’eIDAS n’exigent une signature numérique au sens cryptographique.

Tournez-vous vers l’AdES ou la QES lorsque le droit d’un État membre l’exige pour ce type de document. C’est une question qui porte sur le document, non sur le logiciel de signature. Notre guide sur ce qui rend une signature électronique juridiquement contraignante traite les exigences de fond.

Signatura émet des signatures électroniques simples, avec une piste d’audit complète et un sceau inviolable SHA-256 apposé sur chaque document finalisé. Elle n’émet ni AdES ni QES.

Questions fréquentes

Une signature numérique est-elle la même chose qu’une signature électronique ?

Non. « Signature électronique » est une catégorie juridique définie par la loi ; « signature numérique » est une technique cryptographique. Une signature numérique est une manière de créer une signature électronique : toute signature numérique apposée sur un accord est donc aussi une signature électronique, mais l’inverse est faux.

L’ESIGN Act exige-t-il une signature numérique ?

Non. L’ESIGN Act définit la signature électronique au 15 U.S.C. § 7006(5) comme un symbole ou un procédé adopté « avec l’intention de signer le document ». Il ne prescrit aucune technologie et n’emploie pas le terme « signature numérique ».

Le règlement eIDAS définit-il la « signature numérique » ?

Non. L’eIDAS définit la « signature électronique » (article 3, point 10), la « signature électronique avancée » (point 11) et la « signature électronique qualifiée » (point 12). La « signature numérique » n’est pas un terme défini par le règlement.

Un nom saisi est-il une signature numérique ?

Non : un nom saisi ne fait intervenir aucune cryptographie. Il peut néanmoins constituer une signature électronique valable si l’intention et le rattachement peuvent être établis ; nous traitons les cas où il tient dans Une signature saisie est-elle juridiquement contraignante ?

L’une est-elle plus sûre que l’autre ?

Elles ne se situent pas sur le même axe. La sécurité dépend de ce qu’un système fait réellement : comment il authentifie les signataires, ce qu’il consigne, et si les modifications du fichier finalisé sont détectables. La signature cryptographique est un outil puissant pour cela, mais une signature ne vaut que ce que vaut la preuve qui la soutient.

---

Cette page explique le droit en termes généraux. Ce n’est pas un conseil juridique et elle ne peut pas dire ce qu’exige votre document. Pour cela, consultez un avocat de votre ressort.

Sources : ESIGN Act, 15 U.S.C. § 7006, définitions · 15 U.S.C. § 7001 · Règlement (UE) n° 910/2014 (eIDAS), EUR-Lex — voir les articles 3, 25 et 26.