Chaque ligne d'une piste d'audit, et ce qu'elle ne prouve pas

Cherchez une piste d'audit de signature électronique et vous trouverez une douzaine de pages énumérant ce qui est enregistré. Vous ne trouverez presque rien sur ce que valent ces enregistrements.

Cet écart n'a rien d'accidentel. La seconde liste est mauvaise pour une page de vente et bonne pour quiconque pourrait un jour avoir à s'appuyer sur le dossier. Voici la seconde liste.

Chaque événement d'une enveloppe

closeit.fast écrit une entrée à l'instant où chacun de ces événements survient. Pas de traitement par lots, pas de reconstitution et aucune voie de modification, ni pour vous ni pour nous.

Avant l'envoi

• Enveloppe créée — l'enveloppe existe et appartient à un compte.
• Document téléversé — un fichier a été joint et son nombre de pages établi.
• Document remplacé — le fichier a été échangé contre un autre avant l'envoi.
• Document retiré — le fichier a été détaché.

Ces deux entrées du milieu comptent plus qu'il n'y paraît. Une piste qui n'enregistre que le document finalement signé ne peut pas vous dire s'il s'agissait de la troisième version. Celle-ci le peut.

En cours d'acheminement

• Envoyée pour signature — invitations expédiées, jetons émis.
• Invitation renvoyée — un rappel est parti.
• Signataire suivant notifié — sur une enveloppe séquentielle, une étape s'est achevée et a libéré la suivante.
• Adresse e-mail vérifiée — le contrôle de l'adresse invitée a été démontré.
• Document consulté — l'enveloppe a été ouverte.
• Consentement à la signature électronique — le destinataire a donné son accord, en tant qu'étape distincte, avant qu'aucun champ ne devienne signable.

Comment cela se termine

• Signature effectuée — champs remplis et soumis.
• Signature refusée — avec le motif donné par le signataire.
• Enveloppe annulée — l'expéditeur y a mis fin ; tout lien encore en circulation cesse de fonctionner à la requête suivante.
• Toutes les signatures recueillies — l'enveloppe est terminée, le certificat de finalisation est généré et ajouté, le fichier est scellé.

Les quatre champs de chaque entrée

Quel que soit l'événement, chaque ligne porte les mêmes quatre éléments.

1. Auteur de l'action. Qui l'a provoquée, par nom et adresse e-mail lorsqu'ils sont connus.
2. Adresse IP. L'adresse depuis laquelle la requête est arrivée.
3. User agent. Le navigateur et le système d'exploitation qui ont émis la requête.
4. Horodatage. En UTC, écrit au moment où l'événement a eu lieu.

Ce quatrième élément comporte un détail qui mérite d'être dit clairement, car c'est ce qui sépare un enregistrement d'une décoration : l'horodatage vient du serveur, pas de l'appareil du signataire. L'horloge d'un appareil est réglée par son propriétaire et peut être modifiée en quatre secondes environ. L'horloge d'un serveur est hors de portée des deux parties à l'accord. Si une piste prend ses heures sur le client, elle enregistre une affirmation, pas un fait.

Et maintenant la partie que personne ne publie

Voici ce que chacun de ces quatre champs n'établit pas.

Une adresse IP n'est pas une personne

Elle identifie un point d'accès au réseau, qui se résout généralement à un fournisseur d'accès et à une aire urbaine. Elle n'identifie ni un être humain, ni un foyer, ni un appareil. Tout VPN la change délibérément, la plupart des réseaux mobiles la changent incidemment, et un bureau partagé en donne une seule à cinquante personnes.

Ce à quoi elle sert véritablement, c'est la cohérence. Une piste où la consultation, le consentement et la signature sont tous arrivés de la même adresse en onze minutes raconte une histoire cohérente. Une piste où ils arrivent de trois continents en quatre-vingt-dix secondes en raconte une autre. La valeur est dans le motif, pas dans le nombre.

Le contrôle d'une boîte de réception n'est pas une identité

Vérifier une adresse e-mail prouve que celui qui a agi pouvait lire le courrier qui lui était envoyé. C'est significatif — c'est l'hypothèse même sur laquelle repose chaque réinitialisation de mot de passe au monde — et ce n'est pas la preuve de qui est quelqu'un.

Nous vérifions le contrôle d'une adresse. Nous ne vérifions pas un passeport. Si votre situation exige réellement une preuve d'identité plutôt qu'une preuve d'accès, elle exige un fournisseur d'identité en amont de l'étape de signature, et nous vous le dirons plutôt que de laisser la piste d'audit laisser croire autre chose.

Un user agent est déclaratif

Le navigateur dit au serveur ce qu'il est, et le navigateur peut dire ce qu'il veut. C'est un détail de corroboration, utile quand il concorde avec tout le reste et quasiment sans valeur à lui seul.

L'empreinte couvre le fichier, et seulement le fichier

Lorsque la dernière signature arrive, la piste entière est rendue sous forme de certificat de finalisation, ajoutée au document comme sa page finale, et le PDF obtenu est haché avec SHA-256.

Cette empreinte prouve une chose avec une réelle force : les octets n'ont pas changé depuis le scellement. Elle rend toute altération détectable, ce qui n'est pas la même chose qu'infalsifiable, et la distinction n'est pas du pédantisme. Rien n'empêche quelqu'un de modifier le fichier. L'empreinte garantit que, s'il le fait, elle cesse de correspondre.

Ce sur quoi l'empreinte ne dit rien : qui a signé, s'il en avait l'intention, s'il avait le pouvoir d'engager son entreprise, ou si les termes sont exécutoires. C'est une affirmation sur un fichier, pas sur un accord.

Pourquoi publier les faiblesses

Parce qu'elles sont découvrables, et parce que le moment où elles comptent est le pire moment possible pour les découvrir.

Si vous vous appuyez un jour sur l'un de ces dossiers, quelqu'un en face cherchera exactement les failles ci-dessus. Les trouver dans un article que nous avons écrit se surmonte. Les trouver après qu'un fournisseur a laissé entendre que la piste était étanche, non.

Un dossier vaut ce que vaut son affirmation la plus faible. Savoir laquelle c'est à l'avance constitue l'essentiel de sa valeur.

Pris dans son ensemble, le tableau est pourtant solide, et bien plus solide que l'alternative papier. Une signature manuscrite sur une page imprimée ne porte aucune métadonnée. Pas d'heure, pas d'adresse, pas de séquence, aucune preuve que le signataire ait jamais vu la page quatre. Établir son authenticité suppose de retenir un expert en écriture et de discuter de boucles.

Face à cela, une piste qui enregistre quatorze types d'événements, quatre attributs chacun, sur une horloge de serveur, scellée par une empreinte recalculable, n'est pas une forme de preuve plus faible. Elle est nettement meilleure. Elle a simplement des bords, et vous méritez de savoir où ils se trouvent.

Chaque enveloppe produit cela, y compris sur l'offre gratuite. Si vous voulez en voir la forme plutôt que d'en lire la description, envoyez-vous un document et lisez la piste qu'il écrit.