Juste pour info, c'est pas si simple que ça la signature de docs en ligne !
Soit tu vise de l'informel (pas de valeur légale, mais sécurité réelle), et je te dirais d'utiliser GPG : le certificat privé est sur le serveur, mais encrypté et l'utilisateur te donne le mot de passe pour signer (que tu ne stocke pas sur le serveur donc).
Soit tu vise de l'inclusion de signature dans des documents PDF et/ou un truc pouvant avoir valeur légale et là tu es obligé d'aller sur Infrastructure à clés publiques de type X.509 et la norme PKCS #7 avec un certificat racine (et là il faut utiliser openssl ou pycrypto pour générer les certifs + libreoffice, par exemple, pour signer le pdf) ou peut être le mieux c'est d'avoir un service externe qui te fait tout ça (qui peut être un brique open source).
Pour aller encore plus loin (mais je doute que ce soit le cas ici), il faut penser aussi qui est le tiers de confiance dans tout ça (qui héberge le serveur pki et de signature), et si un mot de passe suffit (et dans quel contexte), sur quoi s'appuie l'authentification, etc....
[^] # Re: Signature electronique
Posté par Alex G. . En réponse à la dépêche Tracim, socle libre du travail en équipe, sort en v1.0. Évalué à 2.
Juste pour info, c'est pas si simple que ça la signature de docs en ligne !
Soit tu vise de l'informel (pas de valeur légale, mais sécurité réelle), et je te dirais d'utiliser GPG : le certificat privé est sur le serveur, mais encrypté et l'utilisateur te donne le mot de passe pour signer (que tu ne stocke pas sur le serveur donc).
Soit tu vise de l'inclusion de signature dans des documents PDF et/ou un truc pouvant avoir valeur légale et là tu es obligé d'aller sur Infrastructure à clés publiques de type X.509 et la norme PKCS #7 avec un certificat racine (et là il faut utiliser openssl ou pycrypto pour générer les certifs + libreoffice, par exemple, pour signer le pdf) ou peut être le mieux c'est d'avoir un service externe qui te fait tout ça (qui peut être un brique open source).
Pour aller encore plus loin (mais je doute que ce soit le cas ici), il faut penser aussi qui est le tiers de confiance dans tout ça (qui héberge le serveur pki et de signature), et si un mot de passe suffit (et dans quel contexte), sur quoi s'appuie l'authentification, etc....
liens (peut-être) utiles en vrac :