Horodatage électronique eIDAS : simple vs qualifié, ce que ça change (et comment vérifier)

L'horodatage électronique revient souvent comme moyen de "prouver qu'un fichier existait à telle date". Dès qu'on creuse, la même question surgit : horodatage non qualifié ou qualifié eIDAS, quelle différence en pratique ?

La différence dépasse le vocabulaire. Elle touche à la valeur probatoire, à la présomption de fiabilité, et à ce que vous devrez expliquer si vos preuves sont un jour contestées.

Ce guide couvre : définitions eIDAS, quand chaque option vaut le coup, les limites de chacune, et comment vérifier qu'un horodatage est réellement qualifié.

Définition simple

Un horodatage électronique, au sens d'eIDAS, associe des données à un instant donné et établit que ces données existaient à cet instant. (EUR-Lex)

"Simple" vs "qualifié" : le vocabulaire utile

• Horodatage "simple" : dans la pratique, ce terme désigne souvent un horodatage non qualifié. C'est un raccourci courant, pas une catégorie juridique eIDAS officielle.
• Horodatage électronique qualifié : horodatage qui respecte les exigences eIDAS dans le cadre d'un service de confiance qualifié. (EUR-Lex)

eIDAS prévoit trois points importants :

• Un principe de non-discrimination : un horodatage ne peut pas être écarté au seul motif qu'il est électronique ou non qualifié. (EUR-Lex)
• Une présomption pour le qualifié : exactitude de la date/heure et intégrité des données liées. (EUR-Lex)
• Une reconnaissance transfrontière : un horodatage qualifié émis dans un État membre est reconnu dans tous les autres États membres. (EUR-Lex)

Comment ça marche

Un horodatage solide suit presque toujours le même schéma : hash -> horodatage -> vérification.

1. 1
   Calculer une empreinte du fichier

   On calcule un hash cryptographique (ex. SHA-256). Si le fichier change, même légèrement, l'empreinte change.
2. 2
   Associer la date/heure à la donnée

   L'horodatage lie la date/heure au hash. Pour le qualifié, eIDAS exige un lien qui exclut raisonnablement toute modification indétectable.
3. 3
   Pour le qualifié : horloge UTC et signature/cachet du prestataire

   Un horodatage qualifié doit reposer sur une horloge exacte liée à l'UTC et être signé ou cacheté par un prestataire qualifié (QTSP), ou équivalent.
4. 4
   Conserver les éléments de preuve

   Conservez le fichier original, le hash, le jeton/reçu d'horodatage et un rapport de vérification si possible. Sans conservation propre, la preuve perd en efficacité.

Ce que le "qualifié" ajoute

eIDAS ne se limite pas à un algorithme cryptographique. Le qualifié s'inscrit dans un cadre de prestataire qualifié, avec contrôle de conformité et inscription en liste de confiance. (ANSSI)

En France, l'ANSSI rappelle qu'un prestataire de services de confiance qualifié doit passer une évaluation de conformité, obtenir le statut qualifié, puis apparaître sur la liste de confiance avant de fournir des services qualifiés. (ANSSI)

Au niveau technique, la Commission européenne publie aussi des références de normes et spécifications pour l'horodatage qualifié, notamment ETSI EN 319 421 et ETSI EN 319 422. (EUR-Lex)

Quand c'est utile

Quand un horodatage non qualifié peut suffire

• Prouver une antériorité opérationnelle (création interne, versioning, échanges client simples).
• Renforcer un dossier avant litige : date + intégrité d'un document, email exporté, devis, PDF ou livrable.
• Propriété intellectuelle : démontrer qu'une création existait à une date donnée, en complément d'autres éléments.

Dans ces cas, un workflow comme LegalStamp permet de systématiser la démarche : hash, horodatage, archivage, vérification.

Quand le qualifié devient un vrai avantage

• Dossiers à fort enjeu (litige probable, montants élevés, enjeu réputationnel).
• Besoin de limiter la contestation sur la fiabilité grâce à la présomption eIDAS. (EUR-Lex)
• Contextes transfrontières UE où la reconnaissance du qualifié est utile. (EUR-Lex)

Ce que ça prouve, et ce que ça ne prouve pas

Ce que ça prouve (ou renforce fortement)

• Existence à une date : le contenu existait au plus tard à l'instant indiqué.
• Intégrité : si le hash actuel correspond au hash horodaté, le fichier présenté est cohérent avec celui d'origine.

Pour un horodatage qualifié, eIDAS consacre une présomption d'exactitude de la date/heure et d'intégrité des données liées. (EUR-Lex)

Ce que ça ne prouve pas, à lui seul

• L'identité de l'auteur/signataire.
• Le consentement contractuel.
• Le contexte complet (qui détenait quoi, dans quelles conditions, avec quelle chaîne de conservation).

Comment vérifier un horodatage

1) Vérifier le statut qualifié du prestataire

Un horodatage n'est qualifié que s'il est fourni par un QTSP et par un service qualifié listé dans les trusted lists. (Stratégie numérique UE)

Concrètement :

1. Vérifiez le prestataire dans la liste nationale (en France : ANSSI). (ANSSI)
2. Utilisez le Trusted List Browser européen pour contrôler le prestataire, le service exact et son statut. (eIDAS Dashboard)

Ne vérifiez pas seulement le nom de l'entreprise : vérifiez aussi le type de service (horodatage) et son statut.

2) Vérifier le jeton d'horodatage

Dans les pratiques alignées eIDAS/ETSI, l'horodatage repose souvent sur des jetons signés (par exemple autour de RFC 3161, profilé par ETSI). (ETSI EN 319 421)

À minima, il faut :

• Recalculer le hash du fichier.
• Vérifier la correspondance avec le hash horodaté.
• Vérifier la signature/cachet et la chaîne de certificats.
• Si qualifié, confirmer l'ancrage dans les trusted lists.

3) Vérifier la cohérence temporelle

Pour le qualifié, eIDAS impose une horloge exacte liée à l'UTC. (EUR-Lex)

Même en non qualifié, conservez des éléments de contexte utiles :

• horloge utilisée,
• environnement de production,
• journaux techniques pertinents.

4) Produire un rapport de vérification exploitable

Un bon dossier de preuve doit être lisible par un tiers :

• fichier original (ou empreinte si confidentialité),
• hash + algorithme,
• jeton/reçu d'horodatage,
• preuve du statut du prestataire si qualifié,
• rapport de vérification (outil, date, résultat).

Bonnes pratiques (checklist)

• Horodater tôt, dès la version prête à partager.
• Conserver l'original (ou une copie bit à bit) et son hash.
• Conserver le hash et l'algorithme (ex. SHA-256), pas seulement un screenshot.
• Archiver le reçu/jeton dans un stockage pérenne (idéalement redondé).
• Documenter la chaîne de conservation (qui, où, quand, comment).
• Si besoin de qualifié : vérifier le QTSP dans les trusted lists et conserver la trace de cette vérification. (Stratégie numérique UE)
• Ne pas confondre horodatage et signature.
• Prévoir une vérification périodique des preuves conservées longtemps.

FAQ

1) eIDAS impose-t-il un horodatage qualifié ?

Non. eIDAS interdit d'écarter un horodatage au seul motif qu'il est électronique ou non qualifié. (EUR-Lex)

2) "Horodatage simple" = "horodatage eIDAS" ?

"Simple" est un raccourci pour "non qualifié". Juridiquement, eIDAS distingue surtout l'horodatage électronique et l'horodatage électronique qualifié. (EUR-Lex)

3) Quelle est la différence probatoire principale ?

Le qualifié bénéficie d'une présomption (date/heure + intégrité) et d'une reconnaissance UE en tant que qualifié. (EUR-Lex)

4) Comment savoir si un prestataire est QTSP pour l'horodatage ?

Consultez les trusted lists et vérifiez le service concerné. Le Trusted List Browser européen est prévu pour cela. (Stratégie numérique UE) (eIDAS Dashboard)

5) Un horodatage blockchain est-il automatiquement qualifié eIDAS ?

Non. Une technologie blockchain peut renforcer l'intégrité technique, mais le statut qualifié exige le respect du cadre eIDAS et un service qualifié opéré par un QTSP. (EUR-Lex)

6) Que faut-il conserver pour que la preuve tienne dans le temps ?

Au minimum : fichier (ou copie), hash + algorithme, reçu/jeton d'horodatage. Idéalement : rapport de vérification et preuve du statut qualifié si nécessaire.

7) Un horodatage qualifié est-il reconnu partout dans l'UE ?

Oui. eIDAS prévoit cette reconnaissance entre États membres. (EUR-Lex)

8) Horodatage ou signature électronique : que choisir ?

• Signature : identité et consentement.
• Horodatage : existence à date et intégrité.

Dans de nombreux cas, on combine les deux. (ETSI EN 319 421)

9) Comment eIDAS encadre techniquement l'horodatage qualifié ?

eIDAS fixe les exigences de fond (lien données/date-heure, UTC, signature/cachet du prestataire qualifié). Les normes ETSI complètent le cadre technique. (EUR-Lex) (EUR-Lex)

10) LegalStamp remplace-t-il un service qualifié ?

LegalStamp sert à structurer une preuve robuste avec un workflow clair : hash -> horodatage -> archivage -> vérification. Si votre besoin exige du qualifié eIDAS, il faut utiliser un service qualifié opéré par un QTSP référencé.

Conclusion

L'horodatage eIDAS fonctionne en deux modes. Le non qualifié est recevable et suffit au quotidien quand la conservation et la traçabilité sont bien gérées. Le qualifié repose sur la même logique, mais avec une présomption juridique et une reconnaissance UE qui simplifient les discussions en cas de litige.

Dans les deux cas, le process est identique : hash → horodatage → archivage → vérification. Ce que vous choisissez détermine combien vous aurez à argumenter sur la fiabilité si ça arrive un jour.

Disclaimer : cet article est fourni à titre informatif et pédagogique. Il ne constitue pas un avis juridique. Pour un cas concret (litige, conformité, procédure), faites valider votre stratégie de preuve par un professionnel du droit.