Signature électronique : preuve, vérification et sécurité

Capibara intègre une signature électronique dite « simple » (articles 1366 et 1367 du Code civil, règlement eIDAS n° 910/2014) : le signataire lit le document en ligne, saisit son nom, certifie sa lecture et signe en un clic. Une preuve est scellée au même instant : le contenu certifié du document, le nom du signataire, l'horodatage, l'adresse IP et le navigateur.

Les documents concernés : les devis (la signature vaut acceptation — bon pour accord), les pièces des dossiers de formation (convention, règlement intérieur, livret…), les synthèses de contrat de travail et les comptes rendus d'entretien.

Le lien de signature ne passe QUE par e-mail

Le lien de signature est personnel au signataire : il part par e-mail depuis Capibara et n'est jamais affiché ni copiable dans votre back-office. C'est une protection contre la contrefaçon — si le lien était copiable, n'importe qui côté organisation pourrait ouvrir la page et signer à la place du client ou du salarié, ce qui viderait la preuve de sa valeur.

Votre écran montre l'état, jamais le lien : « envoyé à X, valable jusqu'au Y », puis « Signé par X le… » avec le certificat. Un renvoi passe par le bouton « Renvoyer » (pour les pièces de formation, chaque renvoi révoque le lien précédent, et un anti-spam empêche de renvoyer la même pièce plusieurs fois en 10 minutes). Les liens expirent automatiquement au bout de 30 jours.

Ce que voit le signataire

La page de signature porte votre marque (logo, couleur de votre site). Le bloc de signature est en haut ; en dessous, le document : le PDF quand il existe (devis, contrat) et le « contenu certifié » — le texte exact dont l'empreinte sera scellée dans la preuve.

Après signature, le signataire voit son certificat complet (nom, date et heure, identifiant de preuve, empreinte SHA-256) et peut télécharger une attestation PDF transmissible. Un devis signé notifie immédiatement votre centre de notifications — la facture reste ensuite votre geste, quand vous le décidez.

L'empreinte SHA-256 : ce qu'elle couvre (et ce qu'elle ne couvre pas)

L'empreinte imprimée sur les documents et l'attestation scelle trois choses ensemble : le contenu certifié du document, le nom du signataire et l'horodatage de la signature. Toute altération de l'un des trois donnerait une empreinte différente.

Ce n'est PAS l'empreinte du fichier PDF : si vous hachez le fichier dans un outil, vous obtiendrez une autre valeur — normale et attendue, car le fichier PDF est régénéré à chaque évolution d'affichage (tampon « Acquittée », bloc de signature ajouté, mise en page) sans que le contenu signé ait changé. La bonne façon de vérifier n'est jamais de hacher le fichier : c'est de comparer l'empreinte et l'identifiant imprimés, ou de les saisir sur la page de vérification.

Vérifier une signature (public)

N'importe qui — votre client compris — peut vérifier une signature sur capibara.fr/verifier-signature en saisissant l'identifiant de preuve ou l'empreinte SHA-256 imprimés sur le document. La page confirme l'enregistrement (organisation, document, signataire, date) et propose l'attestation PDF. Un identifiant inconnu, un lien en attente ou révoqué renvoient la même réponse « introuvable » : la page ne confirme jamais l'existence d'un document non signé.

La page permet aussi de détecter un exemplaire modifié : elle affiche le contenu certifié par l'empreinte (re-vérifié mathématiquement à chaque consultation — l'empreinte est recalculée depuis ce contenu et confrontée à la preuve) et fournit le document signé en PDF tel qu'enregistré sur la plateforme. Si quelqu'un a retouché son exemplaire en conservant le bloc certificat imprimé, la comparaison avec le document servi par Capibara révèle immédiatement la différence.

Signature en ligne vs marquage manuel

Marquer un document « signé » à la main (le client a signé sur papier, répondu par téléphone…) reste possible — mais aucun certificat n'est alors affiché ni imprimé : Capibara ne fabrique jamais une preuve qui n'existe pas. Seule une signature posée en ligne, par le signataire, via son lien personnel, produit le certificat, l'empreinte et l'attestation.