L'horodatage blockchain est-il qualifié au sens d'eIDAS ? Non. Voici ce qu'il vaut réellement

La réponse courte

Non. Un horodatage inscrit dans Bitcoin, Ethereum ou toute autre blockchain publique n'est pas un horodatage électronique qualifié au sens du règlement eIDAS (UE) n° 910/2014. Le caractère qualifié n'est pas une propriété d'une technologie. C'est un statut juridique que seul un prestataire de services de confiance qualifié (PSCQ), supervisé dans un État membre et inscrit sur la liste de confiance de cet État, peut conférer en délivrant un horodatage conforme à l'article 42.

Cela ne rend pas l'horodatage blockchain sans valeur. Selon l'article 41, paragraphe 1, l'effet juridique et la recevabilité comme preuve d'un horodatage électronique ne peuvent être refusés au seul motif qu'il se présente sous forme électronique ou qu'il n'est pas qualifié. La différence tient à la charge de la preuve : l'horodatage qualifié bénéficie d'une présomption légale d'exactitude et d'intégrité au titre de l'article 41, paragraphe 2, tandis que l'horodatage blockchain doit être expliqué et défendu par celui qui l'invoque.

Ce qui rend un horodatage qualifié au sens d'eIDAS

L'article 3, point 34, définit l'horodatage électronique qualifié comme celui qui satisfait aux exigences de l'article 42. Concrètement, cela signifie quatre choses :

• Il lie la date et l'heure aux données de manière à exclure raisonnablement la possibilité de modifier les données sans que cela soit détectable.
• Il repose sur une source d'horloge exacte reliée au temps universel coordonné (UTC).
• Il est signé au moyen d'une signature électronique avancée ou cacheté au moyen d'un cachet électronique avancé du prestataire de services de confiance qualifié, ou par une méthode équivalente.
• Il est délivré par un prestataire disposant du statut qualifié pour ce service, ce que chacun peut vérifier sur la liste de confiance de l'UE.

C'est précisément ce dernier point qu'une blockchain publique ne peut pas remplir. Bitcoin n'a pas d'exploitant supervisé, audité et doté du statut qualifié. Un mineur n'est pas un prestataire de services de confiance, et l'heure du bloc n'est signée par personne qui en réponde.

La place de l'horodatage blockchain : l'article 41, paragraphe 1

eIDAS n'exclut volontairement pas les horodatages non qualifiés. En vertu de l'article 41, paragraphe 1, un juge ne peut pas en écarter un au seul motif qu'il est électronique ou non qualifié. Il l'apprécie comme tout autre élément de preuve, selon ses propres règles de procédure nationales.

Ce qui change, c'est qui doit prouver quoi. Avec un horodatage qualifié, la partie adverse doit renverser la présomption que la date, l'heure et l'intégrité des données sont exactes. Avec un horodatage blockchain, c'est à vous de montrer au juge comment la preuve fonctionne, pourquoi elle est fiable et que l'empreinte correspond bien à votre fichier. Cela exige en général une explication d'expert, et l'adversaire peut attaquer chaque maillon de la chaîne.

Ce que prouve un horodatage blockchain, et ce qu'il ne prouve pas

Ancrer une empreinte SHA-256 dans une blockchain publique est un fait technique solide, mais étroit. Lisez-le avec précision :

• Il prouve que des données ayant exactement cette empreinte existaient au plus tard au moment du bloc dans lequel l'empreinte, ou une racine de Merkle qui la contient, a été inscrite.
• Il ne prouve pas une heure exacte. L'heure d'un bloc Bitcoin est fixée par le mineur dans les tolérances du protocole, et les services d'agrégation comme OpenTimestamps regroupent de nombreuses empreintes, si bien que la confirmation prend des heures.
• Il ne prouve pas qui a créé le contenu, d'où il vient ni à quoi ressemblait une page web. L'empreinte d'une capture d'écran manipulée est ancrée aussi bien que celle d'une capture authentique.
• Il ne dépend de la survie d'aucune entreprise. Chacun peut vérifier l'ancrage sur la chaîne publique des années plus tard, et c'est là sa vraie force.

eIDAS 2.0 : les registres électroniques qualifiés

La révision d'eIDAS de 2024, le règlement (UE) 2024/1183, a ajouté les registres électroniques (electronic ledgers) comme nouveau service de confiance. L'article 45k reprend pour eux la règle de non-discrimination et accorde aux enregistrements d'un registre électronique qualifié une présomption d'ordre chronologique séquentiel unique et exact et d'intégrité.

Le mot clé est à nouveau qualifié. Selon l'article 45l, un registre électronique qualifié doit être créé et géré par un ou plusieurs prestataires de services de confiance qualifiés, établir l'origine des enregistrements et rendre toute modification ultérieure immédiatement détectable. Le règlement d'exécution (UE) 2025/2531 de la Commission, en vigueur depuis janvier 2026, fixe les normes de référence, notamment des signatures ou cachets fondés sur des certificats qualifiés et des dispositifs certifiés pour les clés de signature.

eIDAS 2.0 ne fait donc pas de Bitcoin un registre qualifié. Il ouvre une voie permettant à des services de registre supervisés d'obtenir le statut qualifié. Avant de vous appuyer sur l'un d'eux, vérifiez le prestataire et le service qualifié concerné sur la liste de confiance de l'UE.

Règles nationales : l'exemple italien

Certains États membres sont allés plus loin de leur propre initiative. Le décret-loi italien n° 135/2018, article 8-ter, prévoit que la conservation d'un document au moyen d'une technologie de registre distribué produit les effets juridiques d'un horodatage électronique au sens de l'article 41 d'eIDAS, sous réserve de normes techniques fixées par l'agence numérique italienne AgID. Notez la formulation : les effets d'un horodatage électronique, non d'un horodatage qualifié. Une telle règle peut aider dans un pays, mais elle ne crée pas de statut qualifié à l'échelle de l'UE.

En pratique : utiliser les deux dans un litige

Pour les avocats, les experts judiciaires et les équipes conformité, la réponse pratique n'est pas l'un ou l'autre. Utilisez chaque couche pour ce qu'elle fait de mieux :

• Obtenez un horodatage électronique qualifié d'un PSCQ sur les empreintes de tout ce que vous avez capturé. C'est lui qui déclenche la présomption de l'article 41, paragraphe 2.
• Ajoutez un ancrage en blockchain comme témoin indépendant que l'enregistrement existait à un bloc donné, vérifiable sans aucun prestataire.
• Conservez le dossier complet : les fichiers d'origine, un manifeste avec les valeurs SHA-256, le jeton d'horodatage RFC 3161 et la chaîne de certificats de l'autorité d'horodatage.
• Conservez un instantané du statut du prestataire sur la liste de confiance de l'UE au moment de l'horodatage, pour que la vérification fonctionne même si la liste change ensuite.
• Documentez la méthode : qui a capturé quoi, avec quel outil, depuis quelle URL et dans quel ordre.

Un horodatage ne couvre que ce qui a été haché. Si la capture elle-même est une simple capture d'écran, le meilleur horodatage du monde prouve seulement que cette capture d'écran existait. Les juges examinent toute la chaîne, de la collecte à la vérification.

Comment GetProofAnchor combine les deux

GetProofAnchor scelle chaque preuve par un horodatage qualifié eIDAS de SK ID Solutions, PSCQ inscrit sur la liste de confiance de l'UE, appliqué à des données qui lient les empreintes de tous les éléments : capture pleine page, HTML, MHTML, vidéo, HAR, chaîne de certificats TLS, données DNS et WHOIS. En outre, la chaîne d'empreintes de toutes les preuves est ancrée par lots dans Bitcoin via OpenTimestamps, de sorte que l'enregistrement peut être vérifié sur la blockchain publique sans avoir à nous faire confiance.

L'Evidence ZIP contient le jeton d'horodatage et un instantané de la liste de confiance de l'UE, et l'outil open source gpa-verify le vérifie hors ligne. Vous pouvez commencer par un pack de trois preuves à 9 EUR, utiliser l'application de bureau Forensic Browser pour des sessions de plusieurs pages avec un PDF PAdES qui se valide dans Adobe Acrobat Reader, ou commander Assisted Capture à partir de 49 EUR si vous préférez que nous capturions les pages pour vous. La recevabilité et la force probante relèvent toujours du juge.

Questions fréquentes

Sources

• Règlement (UE) n° 910/2014 (eIDAS), articles 3, 41 et 42 – EUR-Lex
• Règlement (UE) 2024/1183 (eIDAS 2.0), articles 45k et 45l – EUR-Lex
• Règlement d'exécution (UE) 2025/2531 de la Commission sur les registres électroniques qualifiés – EUR-Lex
• Navigateur des listes de confiance de l'UE – Commission européenne
• Italie : décret-loi n° 135/2018, article 8-ter – Normattiva
• OpenTimestamps – site du projet