Article 42 eIDAS : comment vérifier qu’un horodatage est vraiment qualifié

La réponse courte

Un horodatage n’est qualifié que s’il satisfait aux exigences de l’article 42 du règlement eIDAS et s’il est délivré par un prestataire de services de confiance disposant du statut qualifié pour l’horodatage. Ce n’est qu’alors qu’il bénéficie de la présomption de l’article 41, paragraphe 2 : exactitude de la date et de l’heure qu’il indique et intégrité des données auxquelles elles se rapportent.

Un PDF qui affiche « horodatage qualifié » ne prouve rien à lui seul. Ce qui compte, c’est le jeton d’horodatage lui-même, le statut du prestataire sur la liste de confiance de l’UE au moment de la délivrance et une signature qui se vérifie toujours. Ces trois éléments peuvent être contrôlés par un juge, un expert ou la partie adverse, sans devoir faire confiance au fournisseur qui a créé la preuve.

Ce qu’exige l’article 42, paragraphe 1

L’article 42, paragraphe 1, énumère les exigences applicables à l’horodatage électronique qualifié. Lues avec la définition de l’article 3, point 34, elles donnent quatre conditions :

• Lien : il lie la date et l’heure aux données de manière à raisonnablement exclure la possibilité de modification indétectable des données.
• Source de temps : il repose sur une source d’information temporelle exacte rattachée au temps universel coordonné (UTC).
• Signature : il est signé au moyen d’une signature électronique avancée ou cacheté au moyen d’un cachet électronique avancé du prestataire de services de confiance qualifié, ou par une méthode équivalente.
• Émetteur : il est délivré par un prestataire de services de confiance qualifié auquel le statut qualifié a été accordé pour ce service.

Un horodatage qui manque l’une de ces conditions n’est pas sans valeur. Selon l’article 41, paragraphe 1, on ne peut lui refuser l’effet juridique au seul motif qu’il est électronique ou non qualifié, mais le juge l’apprécie librement, sans présomption. Cette différence pèse dès que la date d’une page web, d’un contrat ou d’une publication est contestée.

Ce qu’a changé eIDAS 2 : article 42, paragraphe 1 bis, et règlement 2025/1929

Le règlement (UE) 2024/1183, dit eIDAS 2, a modifié l’article 42. Il a ajouté une présomption de conformité (article 42, paragraphe 1 bis) : lorsqu’un service d’horodatage respecte les normes de référence fixées par la Commission, les exigences de l’article 42, paragraphe 1, sont présumées satisfaites. L’article 42, paragraphe 2, charge la Commission de fixer ces normes par voie d’actes d’exécution.

C’est chose faite avec le règlement d’exécution (UE) 2025/1929 du 29 septembre 2025, en vigueur depuis le 20 octobre 2025. Ses considérants indiquent que la présomption vise les organes de contrôle : un prestataire qui suit les normes listées doit être présumé conforme lorsque son statut qualifié est accordé ou confirmé. Pour qui s’appuie sur des horodatages, l’effet pratique est un socle technique unique et publié de ce que doit faire un service d’horodatage qualifié.

Les normes techniques derrière un horodatage qualifié

L’annexe du règlement d’exécution 2025/1929 s’appuie sur des documents que vous retrouverez dans les politiques des prestataires et les rapports de vérification :

• ETSI EN 319 421 V1.3.1 : exigences de politique et de sécurité pour les prestataires qui délivrent des horodatages, y compris la protection des clés de signature, l’exactitude de l’horloge et des tests de sécurité réguliers.
• ETSI EN 319 422 V1.1.1 : protocole d’horodatage et profil du jeton. Un jeton déclaré comme horodatage électronique qualifié doit contenir une extension qcStatements avec la déclaration esi4-qtstStatement-1.
• RFC 3161 : le protocole d’horodatage Internet sur lequel repose le format du jeton.

Vérifier un horodatage vous-même : six étapes

Pas besoin d’être cryptographe. Ces contrôles prennent quelques minutes avec des outils gratuits et le paquet de preuves lui-même :

• Obtenez le jeton. Demandez le jeton d’horodatage RFC 3161 (souvent un fichier .tsr ou .tst) et les données exactes ou l’empreinte qu’il couvre, pas seulement un rapport qui le mentionne.
• Lisez-le. Des outils gratuits comme OpenSSL (openssl ts -reply -text) affichent l’unité d’horodatage émettrice, l’heure, la politique et l’empreinte des données horodatées.
• Comparez l’empreinte. Calculez le SHA-256 de la preuve, ou du manifeste que le jeton lie, et comparez-le à l’empreinte contenue dans le jeton. Un seul octet modifié suffit à rompre la correspondance.
• Vérifiez le prestataire sur la liste de confiance de l’UE. Trouvez le prestataire et confirmez un service d’horodatage qualifié (type de service QTST) au statut granted à la date indiquée dans le jeton.
• Vérifiez la chaîne de signature. Le certificat de signature du jeton doit remonter au certificat que la liste de confiance enregistre pour ce service qualifié.
• Cherchez la déclaration qualifiée. Selon l’EN 319 422, un jeton déclaré qualifié porte esi4-qtstStatement-1 ; si elle manque, posez des questions avant de vous fier à la présomption.

Signaux d’alerte : quand un horodatage n’est pas ce qu’il prétend

• Vous ne recevez qu’un PDF ou une capture d’écran qui mentionne un horodatage, sans jeton vérifiable.
• Le prestataire ne figure pas sur la liste de confiance de l’UE, ou son service d’horodatage n’était pas au statut granted à la date concernée.
• L’heure provient de l’horloge du serveur du fournisseur ou d’une blockchain seule. Un ancrage blockchain peut être une preuve complémentaire utile, mais ce n’est pas un horodatage électronique qualifié.
• La vérification ne fonctionne que sur le site du fournisseur, sans possibilité de contrôle hors ligne.
• L’empreinte du jeton ne correspond à aucun fichier du paquet, ou personne ne sait vous dire ce qui a été horodaté exactement.

Ce qu’un horodatage qualifié ne prouve pas

L’article 41, paragraphe 2, présume deux choses : que la date et l’heure sont exactes et que les données horodatées n’ont pas changé depuis. Il ne dit pas que le contenu est vrai, qui l’a créé, ni qu’une capture web montre tout ce qu’un visiteur a vu. Ces questions relèvent de la manière dont la preuve a été recueillie ; la méthode de capture, sa documentation et la chaîne de conservation restent donc déterminantes.

En pratique, un horodatage qualifié ferme une ligne d’attaque, à savoir que la preuve aurait pu être modifiée après coup, et le débat se déplace vers le contenu lui-même. C’est exactement là que doit se jouer un litige sur une preuve en ligne.

La place de GetProofAnchor

Dans toutes les offres payantes de GetProofAnchor, chaque preuve est liée par SHA-256 à un horodatage électronique qualifié (RFC 3161) de SK ID Solutions, prestataire de services de confiance qualifié de l’UE. Vous pouvez appliquer les six vérifications ci-dessus à nos propres paquets de preuves :

• Application web : capturez une page par URL ou depuis votre navigateur et obtenez un Evidence ZIP avec le jeton d’horodatage, un instantané de la liste de confiance de l’UE et un manifeste SHA-256 de chaque fichier. À partir de 9 € HT pour 3 preuves (10,89 € TTC avec TVA tchèque de 21 %), abonnements mensuels à partir de 19 € HT.
• Forensic Browser : une application Windows pour les sessions multipages et connectées, capable de produire un PDF avec l’horodatage qualifié intégré (PAdES), validé par Adobe Acrobat Reader. Licences annuelles à partir de 290 € HT.
• Assisted Capture : nous capturons les URL pour vous, à partir de 49 € HT par URL en 90 minutes, ou en 60 minutes avec la formule Rush.

L’outil open source gpa-verify vérifie nos paquets hors ligne, y compris la chaîne d’horodatage, de sorte que ni le juge ni la partie adverse n’ont à nous croire sur parole.

Questions fréquentes

Sources

• Règlement (UE) n° 910/2014 (eIDAS), articles 3, 41 et 42
• Règlement (UE) 2024/1183 modifiant eIDAS (eIDAS 2)
• Règlement d’exécution (UE) 2025/1929 de la Commission sur les horodatages électroniques qualifiés
• Navigateur des listes de confiance de l’UE (Commission européenne)
• RFC 3161 : Internet X.509 PKI Time-Stamp Protocol (TSP)