Qu'est-ce qu'un dossier de preuve juridique pour un document ?
Un dossier de preuve juridique est un ensemble autonome réunissant un document et tout ce qui permet d'établir qu'il est bien ce qu'il prétend être : le document dans un format d'archivage, son empreinte cryptographique, un horodatage de confiance, une piste d'audit de chaque action, et un manifeste qui scelle à la fois les fichiers individuels et l'ensemble. Son objectif est qu'un tiers puisse le vérifier sans accès au système qui l'a produit.
L’épreuve qu’un dossier de preuve doit passer
Une seule question décide si un ensemble est une preuve ou un simple dossier : une personne qui ne vous fait pas confiance, et n’a aucun accès à vos systèmes, peut-elle le vérifier ?
Si la vérification suppose de se connecter à votre plateforme, ou d’utiliser l’outillage de votre fournisseur, alors vous ne détenez pas une preuve mais l’affirmation de votre fournisseur. C’est le mode de défaillance contre lequel il faut concevoir, car il ne se révèle qu’au moment où le matériel devient nécessaire, c’est-à-dire souvent des années plus tard et en plein litige.
Ce qui doit s’y trouver
Le document, dans un format d’archivage. PDF/A est la norme ISO de conservation à long terme ; elle retire les fonctions susceptibles de modifier l’affichage dans de futurs lecteurs. PDF/A-3 autorise en particulier les pièces jointes arbitraires, ce qui permet à la preuve de voyager dans le même conteneur que le document.
Une empreinte cryptographique du document. Une empreinte de longueur fixe, SHA-256 ou SHA-384. Toute modification du fichier produit une valeur entièrement différente. C’est ce qui rend l’altération détectable plutôt que seulement interdite.
Un horodatage de confiance. Un jeton RFC 3161 liant cette empreinte à un instant attesté par un tiers. Sans lui, toute date du dossier est une date que vous avez produite vous-même.
Une piste d’audit. Chaque action sur le document : ce qui s’est passé, qui l’a fait, quand et depuis où. Écrite en ajout seul, chaque entrée étant chaînée à l’empreinte de la précédente, de sorte que retirer une entrée rompt la chaîne au lieu de laisser un trou propre.
Un manifeste qui scelle l’ensemble. C’est la partie que la plupart des dossiers ratent. Hacher chaque fichier séparément prouve que chaque fichier est intact, mais pas que la collection est complète. On peut retirer un fichier gênant sans que les empreintes restantes cessent de concorder. Un manifeste hache à la fois les fichiers et l’ensemble, si bien qu’une omission devient aussi détectable qu’une modification.
Le matériel de vérification. Chaînes de certificats et état de révocation tels qu’ils étaient à l’émission de l’horodatage. Les certificats expirent, les autorités cessent leur activité, et les services de révocation finissent par ne plus répondre. Collectez-les à la création, car ils ne se reconstituent pas après coup.
Ce qu’il prouve
Un dossier de preuve établit qu’un contenu déterminé existait à un instant déterminé et n’a pas changé depuis, et que sa manipulation est retracée. Une sauvegarde répond à « l’avons-nous encore ». Un dossier de preuve répond à « pouvons-nous établir ce que c’était ».
Où SealDoc intervient
SealDoc produit un dossier de preuve par document, sur demande : un fichier PDF/A-3B validé selon ISO 19005-3, le jeton d’horodatage RFC 3161 que SealDoc demande par défaut, une chaîne d’empreintes SHA-384, un journal de chaîne de responsabilité, et un manifeste qui scelle chaque fichier et l’ensemble. L’export est un téléchargement unique, conçu pour être vérifiable sans SealDoc.
Dernière vérification: