Les meilleurs services d'horodatage RFC 3161 pour la conformité européenne (2026)

Si vous devez prouver qu’un document existait à un moment donné et n’a pas changé depuis, l’horodatage RFC 3161 est le mécanisme standard. Mais “obtenir un horodatage RFC 3161” cache un vrai choix. Certains fournisseurs vous remettent un jeton d’horodatage brut. D’autres vous en donnent un juridiquement qualifié au titre d’eIDAS. D’autres encore vous livrent un artefact de preuve complet et vérifiable. Ce guide compare les options qui comptent pour la conformité européenne, et vous indique laquelle choisir pour quel usage.

Si vous voulez d’abord comprendre le fonctionnement de l’horodatage de confiance, lisez notre article sur les horodatages RFC 3161 et les cas où ils sont légalement requis. Cet article-ci porte sur le choix d’un fournisseur.

Quatre critères qui comptent vraiment

1. Qualifié ou basique ? En vertu d’eIDAS (règlement (UE) 910/2014), un horodatage électronique qualifié émis par un prestataire de services de confiance qualifié (QTSP) bénéficie d’une présomption légale d’exactitude et d’intégrité. Un horodatage RFC 3161 basique est techniquement valide, mais ne bénéficie d’aucune présomption particulière. Pour des preuves à forte valeur ou réglementées, le statut qualifié compte. Pour des contrôles d’intégrité internes, souvent pas.

2. Établi dans l’UE ou non ? Pour un travail sensible en matière de souveraineté, le lieu d’établissement du fournisseur et l’endroit où atterrissent vos données peuvent compter autant que l’horodatage lui-même. Un QTSP belge détenu par une maison mère non européenne ne raconte pas la même histoire de souveraineté qu’un fournisseur détenu par des capitaux européens.

3. Votre mode d’intégration. Certains fournisseurs exposent un simple point de terminaison RFC 3161, idéal pour les pipelines de signature, OpenSSL et les outils PDF. D’autres ajoutent une API REST ou JSON. Choisissez en fonction de votre stack.

4. Jeton ou artefact de preuve ? Un jeton d’horodatage prouve exactement une chose : ce hachage existait à ce moment-là. Un artefact de preuve complet regroupe ce jeton avec une chaîne de hachage, une piste d’audit et un paquet vérifiable que vous pouvez remettre à un tribunal ou à un auditeur. Déterminez ce dont vous avez réellement besoin avant de faire votre choix.

Prestataires de services de confiance qualifiés dans l’UE

Choisissez l’un d’entre eux lorsque vous avez besoin d’un jeton d’horodatage juridiquement qualifié, doté du poids juridique le plus fort, et que vous voulez un fournisseur établi dans l’UE.

Evidency (France). Horodatage qualifié, scellement et archivage pensés API d’abord, par un QTSP qualifié par l’ANSSI. Idéal pour les équipes européennes qui veulent des horodatages qualifiés eIDAS via une API REST propre. Tarifs à partir d’environ 500 euros par mois, sans offre gratuite. Voir evidency.io.
D-Trust / Bundesdruckerei (Allemagne). Le QTSP du groupe public allemand Bundesdruckerei. Ses horodatages qualifiés sont garantis vérifiables jusqu’à 30 ans, avec une source de temps synchronisée sur le signal allemand DCF77. Idéal pour des preuves juridiquement contraignantes à long terme, émises par un fournisseur adossé à l’État. Voir d-trust.net.
Certum / Asseco (Pologne). Une autorité de certification auditée depuis 2002, qui propose l’horodatage qualifié ainsi qu’une TSA publique basique et gratuite (time.certum.pl) pour un usage privé et non lucratif. Idéal pour les équipes européennes qui veulent un fournisseur qualifié avec une option gratuite simple pour commencer à tester. Voir certum.eu.
SK ID Solutions (Estonie). Horodatages qualifiés via le standard RFC 3161, conçus pour de gros volumes en entreprise. L’accès se fait en RFC 3161 sur HTTP plutôt que par une API REST, à des tarifs de niveau entreprise. Idéal pour l’horodatage qualifié à grand volume. Voir skidsolutions.eu.
Utimaco Timestamp-as-a-Service (Allemagne). Horodatages qualifiés d’un éditeur reconnu de HSM et de PKI, via une interface RFC 3161, avec un essai de 30 jours plutôt qu’une offre gratuite permanente. Idéal pour les équipes déjà installées dans l’univers des HSM et des PKI. Voir utimaco.com.

AC mondiales disposant d’entités qualifiées dans l’UE

Si vous utilisez déjà une grande autorité de certification, deux d’entre elles proposent un horodatage qualifié dans l’UE, avec une réserve : l’entité qualifiée est européenne, mais la maison mère ne l’est pas.

GlobalSign. Son horodatage qualifié européen passe par l’entité belge GMO GlobalSign NV/SA, un QTSP reconnu. La maison mère, GMO Internet Group, est basée au Japon : malgré le QTSP belge, ce n’est donc pas un fournisseur détenu par des capitaux européens. Idéal pour les organisations déjà standardisées sur les certificats GlobalSign. Voir globalsign.com.
DigiCert. Exploite une TSA RFC 3161 gratuite et très utilisée pour la signature de code (timestamp.digicert.com), qui n’est pas qualifiée eIDAS, ainsi qu’un horodatage qualifié eIDAS distinct et payant via ses entités DigiCert Europe et QuoVadis, inscrites sur la liste de confiance de l’UE. La maison mère, DigiCert Inc., est basée aux États-Unis. Idéal pour les équipes qui utilisent déjà DigiCert pour leurs certificats. Voir digicert.com.

Options gratuites et pour développeurs

Pour des tests, des prototypes ou des contrôles d’intégrité non critiques, vous n’avez pas besoin d’un fournisseur qualifié.

FreeTSA. Une TSA RFC 3161 gratuite et communautaire, qui fonctionne avec OpenSSL et curl. Sa déclaration de pratiques ne nomme aucune entité juridique et n’offre ni garantie, ni engagement de disponibilité, ni statut qualifié : traitez-la comme une preuve technique, pas comme une preuve juridique. Voir freetsa.org.
La TSA gratuite de DigiCert pour la signature de code et time.certum.pl de Certum sont également gratuites, et également basiques.

La réserve est la même pour les trois : un horodatage basique répond à la question “ce fichier a-t-il changé ?”, mais ne bénéficie d’aucune présomption légale eIDAS. Ne vous appuyez pas dessus là où vous pourriez devoir prouver l’intégrité devant un tribunal ou une administration fiscale.

D’autres modèles : ancrage blockchain et agrégateurs

Tout ce qui existe dans ce domaine n’est pas un QTSP RFC 3161.

OriginStamp (Suisse). Au lieu d’émettre des jetons RFC 3161, il ancre les hachages des documents dans des blockchains publiques comme Bitcoin et Ethereum, comme preuve d’existence, via une API REST. Il est basé en Suisse, hors de l’UE et de l’EEE, et ne revendique aucun statut qualifié eIDAS. Idéal pour les développeurs qui veulent un ancrage blockchain simple plutôt qu’un service de confiance qualifié. Voir originstamp.com.
eID Easy (Estonie). Ce n’est pas une TSA en soi. C’est une API unique qui achemine les demandes d’horodatage vers plusieurs QTSP tiers, avec bascule automatique si l’un d’eux est indisponible. Idéal pour les développeurs qui veulent une seule intégration pour atteindre de nombreux fournisseurs qualifiés. Voir eideasy.com.

La place de SealDoc

SealDoc est une plateforme de preuve. Elle demande des horodatages RFC 3161 à une Autorité d’Horodatage européenne indépendante et les enveloppe dans ce qu’un jeton d’horodatage seul ne vous donne pas : une chaîne de hachage SHA-384 qui rend toute falsification détectable, un Legal Evidence Pack vérifiable et la facturation électronique européenne (Factur-X, ZUGFeRD, XRechnung et Peppol BIS 3.0). Tout fonctionne dans l’UE, sans aucune dépendance à un hyperscaler américain.

La différence tient à ce que vous recevez en retour. Les fournisseurs ci-dessus vous remettent un jeton d’horodatage. SealDoc vous remet l’artefact de preuve complet : le document, l’horodatage, la chaîne de hachage et la piste d’audit, regroupés et vérifiables de manière indépendante.

Choisissez SealDoc lorsque vous avez besoin de l’artefact de preuve complet et de la conformité européenne en un seul ensemble, et pas seulement d’un horodatage. Découvrez ce qu’apporte la couche de preuve.

Comment choisir, en un écran

Besoin d’un jeton d’horodatage juridiquement qualifié et de rien d’autre : un QTSP européen (Evidency, D-Trust, Certum, SK ID Solutions, Utimaco).
Déjà standardisé sur une AC mondiale : le service qualifié de GlobalSign ou de DigiCert, en gardant à l’esprit la réserve sur la maison mère non européenne.
Simples tests ou usage non critique : FreeTSA ou la TSA gratuite de Certum, qui sont basiques et non qualifiées.
Besoin d’un artefact de preuve complet et vérifiable, avec la facturation électronique européenne, en restant souverain dans l’UE : SealDoc.

Quel que soit votre choix, vérifiez deux choses avant de vous engager. D’abord, que l’horodatage est réellement qualifié si votre cas d’usage l’exige, en consultant la liste de confiance de l’UE plutôt que des textes marketing. Ensuite, que vous pourrez encore vérifier l’horodatage dans des années, indépendamment du fournisseur. Ce second point est toute la raison pour laquelle les jetons RFC 3161 sont autonomes : la preuve que vous déposez aujourd’hui doit tenir en 2035, que le fournisseur existe encore ou non.