Vérifiez vous-même un PDF signé, en une seule commande

Lorsqu'une enveloppe est finalisée, closeit.fast ajoute le certificat de finalisation au document et calcule l'empreinte SHA-256 du fichier terminé. L'empreinte est stockée à côté de l'enveloppe et vous est affichée.

La plupart des gens y voient une fonctionnalité. Il vaut mieux y voir une promesse que vous pouvez auditer, car tout l'intérêt d'une empreinte est que sa vérification n'exige rien de nous. Ni notre logiciel, ni nos serveurs, ni notre survie en tant qu'entreprise.

Ce qu'est réellement une empreinte

SHA-256 lit chaque octet d'un fichier et produit une chaîne hexadécimale de 64 caractères. Les mêmes octets produisent toujours la même chaîne. Des octets différents en produisent une radicalement différente — changer un seul caractère dans un contrat de cent pages change environ la moitié des chiffres, sans aucune ressemblance avec l'original.

Il n'existe aucun moyen de remonter de l'empreinte au fichier, ni aucun moyen praticable de construire un fichier différent qui produise la même empreinte. C'est tout le mécanisme. C'est de l'arithmétique, c'est public, et cela n'a aucun avis sur celui qui l'exécute.

La commande

Téléchargez le PDF finalisé depuis votre tableau de bord, puis exécutez l'une de ces commandes dessus.

macOS et Linux

shasum -a 256 agreement.pdf

Ou, sur la plupart des distributions Linux :

sha256sum agreement.pdf

Windows

Dans l'invite de commandes :

certutil -hashfile agreement.pdf SHA256

Ou dans PowerShell, qui la met en forme de façon plus lisible :

Get-FileHash agreement.pdf -Algorithm SHA256

Comparez la sortie à l'empreinte affichée en regard de l'enveloppe. Soit elles correspondent caractère pour caractère, soit le fichier que vous avez entre les mains n'est pas celui qui a été scellé. Il n'y a pas de troisième issue et aucune interprétation n'entre en jeu.

C'est la rare affirmation de sécurité que vous pouvez réfuter vous-même en une dizaine de secondes, sur une machine que nous n'avons jamais touchée.

Cinq gestes ordinaires qui cassent une empreinte

Voici la partie qui sème une vraie confusion, et que presque aucune documentation d'éditeur ne mentionne.

Une empreinte porte sur des octets, pas sur l'apparence. Deux PDF peuvent sembler identiques à l'écran, s'imprimer à l'identique, contenir les mêmes mots dans le même ordre, et avoir des empreintes différentes. Plusieurs gestes parfaitement innocents produisent ce résultat :

1. Imprimer en PDF. Cela ne copie pas le fichier. Cela le restitue et en écrit un tout nouveau, avec une nouvelle structure interne et de nouvelles métadonnées. Le résultat est un fichier différent qui se trouve avoir la même apparence.
2. Enregistrer sous, ou Exporter, depuis un lecteur PDF. Aperçu sur macOS et Acrobat réécrivent tous deux le fichier à l'enregistrement, même si vous n'avez rien changé. Certains lecteurs le font à la simple ouverture puis fermeture.
3. Optimiser ou compresser. Tout outil de « réduction de la taille du fichier » reconstruit le document de zéro.
4. Ajouter un filigrane, un tampon ou une page. Une modification, à l'évidence, mais on se la représente souvent comme une annotation posée par-dessus plutôt que comme une modification du fichier.
5. Réordonner, faire pivoter ou supprimer des pages. Même chose.

Une divergence signifie donc que les octets ne sont pas ceux qui ont été scellés. Elle ne signifie pas automatiquement que quelqu'un a falsifié votre contrat. Bien plus souvent, elle signifie que quelqu'un l'a serviablement réenregistré.

La règle pratique en découle directement : archivez le fichier exactement tel qu'il a été téléchargé. Ne l'ouvrez pas pour le réenregistrer, ne le passez pas dans un compresseur, ne l'imprimez pas en PDF par souci de propreté. S'il vous faut une copie de travail, copiez le fichier plutôt que de le réexporter. Une simple copie de fichier préserve les octets et donc l'empreinte.

Pourquoi cela dépasse la tranquillité d'esprit

Le 1er décembre 2017, deux règles ont été ajoutées aux Federal Rules of Evidence. La Rule 902(14) prévoit que des données copiées depuis un appareil électronique, un support de stockage ou un fichier peuvent s'authentifier d'elles-mêmes lorsqu'elles sont authentifiées par une valeur de hachage comparée par une personne qualifiée, sous réserve d'une certification écrite et d'un préavis raisonnable donné à la partie adverse.

Cette règle a été écrite précisément pour cela. Un document scellé au moyen d'une empreinte publiée, dont la comparaison peut être effectuée par n'importe qui avec un ordinateur portable, correspond exactement à la situation que la règle envisage.

S'authentifier d'elle-même signifie que la pièce peut être admise sans témoin présent pour l'établir. Cela ne signifie pas qu'elle emporte la décision, et quiconque prétend que son empreinte rend un document recevable en justice décrit une décision qui appartient au juge.

Ce que l'empreinte ne couvre pas

Cela mérite d'être redit, car une empreinte se surinterprète facilement :

• Elle ne dit rien sur qui a signé. C'est le rôle de la piste d'audit, et la piste elle-même a ses limites.
• Elle ne dit rien sur l'intention, sur le pouvoir d'engager une société, ni sur le caractère exécutoire des clauses.
• Elle prouve l'intégrité à partir du moment du scellement. Elle n'a aucun avis sur ce qui s'est passé avant.
• Elle rend toute altération détectable, elle ne la rend pas impossible. Rien n'empêche de modifier un fichier. L'empreinte garantit seulement que la modification devient détectable.

Ce sont de vraies limites, et nous préférons les écrire plutôt que de laisser une coche verte suggérer quelque chose de plus large.

Essayez sur un cas réel

L'offre gratuite produit exactement le même PDF scellé et le même certificat que l'offre payante. Envoyez-vous un document d'une page, signez-le, téléchargez le résultat et exécutez la commande ci-dessus. Ouvrez-le ensuite dans un lecteur PDF, enregistrez-le, et relancez la commande pour voir l'empreinte changer.

Dix minutes de cet exercice en apprennent plus sur ce que ces systèmes peuvent et ne peuvent pas promettre que n'importe quelle lecture, y compris celle-ci.