Auquel cas, qu'est ce qui manquerait pour avoir légalement la valeur de signature numérique ?
Partout ailleurs, encore pas mal de choses
Tout d'abord une action consciente de l'utilisateur. Envoyer un e-mail n'est pas contractuellement engageant - donc même si tu peux prouver tout le trajet de ton e-mail de l’émetteur au destinataire, avec préservation de l'intégrité du message etc. Un e-mail n'est pas nécessairement engageant (ceci étant si vous faites un email, même non signé, dans lequel vous déclarez au client le livrer à une date précise, promis, juré - c'est opposable en tribunal). C'est valable aussi pour les courriers note bien, c'est pas pour rien qu'on demande d'écrire des trucs du genre "Je soussigné Machin TarteTruc certifie par la présente que ..."
Donc la première chose est de mettre en place un système qui fait que l'utilisateur se rend compte qu'il est en train de s'engager et que cet email aura la valeur d'un document signé. Généralement une action qui l'oblige à s'authentifier avant l'envoi.
Ensuite un repo fiable. Généralement un tiers de confiance - mais n'importe quel système qui garantit que l'e-mail n'a pas pu être forgé à posteriori peut faire l'affaire. Il y a trois façons de faire :
a) Un officier ministériel (Type huissier ou notaire en France) qui constate l'envoi du mail et consigne le contenu dans ses minutes (preuve très forte, mais peu pratique pour un usage quotidien)
b) Un tiers de confiance - c'est à dire un site qui va relayer vos e-mails en enregistrant un hash du contenu et la transaction de transmission de l'e-mail dans un coffre fort numérique. Le niveau de confiance accordée à la signature est proportionnel au niveau de confiance que l'on accorde au tiers. Les certifications de type ISO 2700X aident à estimer le niveau de confiance qu'un juge accordera.
c) Un log non altérable. Soit dans le monde physique, par exemple une rame de papier perforé (papier listing) pré-signé et tamponnée par un officier ministériel (encore lui)et qui garantit la cohérence et la continuité des envois mails (méthode populaire en Italie - notamment pour tout ce qui touche au fiscal). Soit dans le monde virtuel avec des systèmes de transactions non altérables - comme ce qu'on a pour les transactions bitcoins par exemple.
Généralement quand tu as l'action utilisateur et le repo fiable - tu peux gentiment allez voir M. le juge et il va considérer ton document comme au moins aussi bon qu'un document signé. Et ce même en France.
Par contre si tu veux pouvoir signer les e-mails de tiers (en d'autres termes tu veux créer un service de tiers de confiance et le vendre) - là en France ça devient inextricable ou presque.
Si ton but est donc de pouvoir signer les e-mails de tes clients, prépare toi à cracher du sang. Surtout si tes clients sont avocats ou officiers ministériels eux-mêmes. J'ai joué à ce jeu en 2008 et même été certifié en 2009 - mais très honnêtement c'est un casse tête juridico-politico-administratif. En 2010 le RGS a commencé à s'en mêler officiellement et les règles ont commencé à changer plus vite que ce que j'ai pu suivre.
Un bon point de départ est ici RGS qui te donne des liens vers les 300 ou quelques pages que tu dois lire pour commencer ton dossier.
# Ce qui manque - Ailleurs et en France
Posté par Kaane . En réponse au journal authentification et certification de contenu de courriel ?. Évalué à 3.
Auquel cas, qu'est ce qui manquerait pour avoir légalement la valeur de signature numérique ?
Partout ailleurs, encore pas mal de choses
Donc la première chose est de mettre en place un système qui fait que l'utilisateur se rend compte qu'il est en train de s'engager et que cet email aura la valeur d'un document signé. Généralement une action qui l'oblige à s'authentifier avant l'envoi.
Ensuite un repo fiable. Généralement un tiers de confiance - mais n'importe quel système qui garantit que l'e-mail n'a pas pu être forgé à posteriori peut faire l'affaire. Il y a trois façons de faire :
a) Un officier ministériel (Type huissier ou notaire en France) qui constate l'envoi du mail et consigne le contenu dans ses minutes (preuve très forte, mais peu pratique pour un usage quotidien)
b) Un tiers de confiance - c'est à dire un site qui va relayer vos e-mails en enregistrant un hash du contenu et la transaction de transmission de l'e-mail dans un coffre fort numérique. Le niveau de confiance accordée à la signature est proportionnel au niveau de confiance que l'on accorde au tiers. Les certifications de type ISO 2700X aident à estimer le niveau de confiance qu'un juge accordera.
c) Un log non altérable. Soit dans le monde physique, par exemple une rame de papier perforé (papier listing) pré-signé et tamponnée par un officier ministériel (encore lui)et qui garantit la cohérence et la continuité des envois mails (méthode populaire en Italie - notamment pour tout ce qui touche au fiscal). Soit dans le monde virtuel avec des systèmes de transactions non altérables - comme ce qu'on a pour les transactions bitcoins par exemple.
Généralement quand tu as l'action utilisateur et le repo fiable - tu peux gentiment allez voir M. le juge et il va considérer ton document comme au moins aussi bon qu'un document signé. Et ce même en France.
Par contre si tu veux pouvoir signer les e-mails de tiers (en d'autres termes tu veux créer un service de tiers de confiance et le vendre) - là en France ça devient inextricable ou presque.
Si ton but est donc de pouvoir signer les e-mails de tes clients, prépare toi à cracher du sang. Surtout si tes clients sont avocats ou officiers ministériels eux-mêmes. J'ai joué à ce jeu en 2008 et même été certifié en 2009 - mais très honnêtement c'est un casse tête juridico-politico-administratif. En 2010 le RGS a commencé à s'en mêler officiellement et les règles ont commencé à changer plus vite que ce que j'ai pu suivre.
Un bon point de départ est ici RGS qui te donne des liens vers les 300 ou quelques pages que tu dois lire pour commencer ton dossier.