Valider la signature PDF

Importez le PDF et la validation démarre d’elle-même. Pour chaque signature, l’outil calcule l’empreinte des octets couverts par la signature, la compare à l’empreinte stockée dans la signature, puis vérifie la signature avec la clé publique du signataire ; toute modification des octets couverts rend le statut Invalide, avec la raison affichée sur la carte. Chaque signature du fichier a sa propre carte, et le résumé en haut indique combien ont été trouvées.

Valide signifie que la signature a été vérifiée cryptographiquement, couvre tout le fichier et utilise une empreinte sécurisée. Invalide signifie que la vérification a été effectuée et a échoué, par exemple parce que les octets ont changé ou que la clé ne correspond pas. Non vérifiée signifie que la signature utilise un algorithme que l’outil ne peut pas contrôler, comme Ed25519 ou SM2 ; confirmez-la donc dans Adobe Acrobat ou avec openssl avant de vous y fier.

RSA avec remplissage PKCS#1 v1.5, RSA-PSS et ECDSA sur les courbes P-256, P-384 et P-521, avec des empreintes SHA-224, SHA-256, SHA-384 ou SHA-512. Les signatures hachées avec MD5 ou SHA-1 sont signalées avec le statut Empreinte non sécurisée et jamais déclarées valides, car ces deux algorithmes ont des attaques par collision publiées.

L’outil n’a pas de liste intégrée d’autorités de certification ; il peut donc confirmer que la signature est intacte, mais pas qui se trouve derrière le certificat. Importez le certificat racine ou intermédiaire de votre organisation sous forme de fichier .pem, .crt, .cer ou .der et la validation est relancée : les signatures dont le certificat correspond à celui-ci ou remonte jusqu’à lui reçoivent un badge Approuvé, et le résumé les compte comme valides.

Cela signifie que des octets ont été ajoutés après l’application de cette signature. La partie signée est toujours intacte, l’outil affiche donc un avertissement Modifié après signature au lieu de marquer la signature comme invalide. Ce n’est pas en soi une preuve d’altération : une seconde signature ou un enregistrement incrémental produit le même résultat, et seule la dernière signature ajoutée peut couvrir tout le fichier. Considérez-le comme une raison d’examiner ce qui a été ajouté.

Non. L’outil vérifie les dates de validité du certificat, la chaîne de confiance par rapport à un certificat que vous fournissez et l’intégrité cryptographique de la signature, mais il n’interroge ni les répondeurs OCSP ni les listes de révocation de certificats. Pour une vérification de révocation, contrôlez le fichier dans un outil de bureau avec accès au réseau.

L’expiration est jugée par rapport à la date du jour : un certificat dont la date de fin de validité est maintenant dépassée affiche le statut Certificat expiré et n’est pas compté comme valide dans le résumé, même si la signature elle-même est correcte. Comparez la date de signature avec les dates de début et de fin de validité sur la carte pour savoir si le certificat était valide lors de la signature.

Non. L’analyse des signatures et les contrôles cryptographiques s’exécutent dans votre navigateur avec node-forge et l’API Web Crypto ; le document et tout certificat ajouté restent donc sur votre appareil.