Comment puis-je prouver qu'un PDF n'a pas été modifié ?

Pourquoi les méthodes évidentes échouent

Trois approches viennent à l’esprit en premier, et toutes trois sont plus faibles qu’elles n’en ont l’air.

Les métadonnées du fichier. Ouvrir les propriétés du document et comparer la date de création à la date de modification ressemble à une vérification. Ce n’en est pas une. Le simple téléchargement d’un fichier peut modifier son horodatage sans qu’un seul octet ait changé, et beaucoup d’outils d’édition laissent intacts les champs auteur et producteur. Les métadonnées sont écrites par celui qui a tenu le fichier en dernier, c’est-à-dire précisément la partie dont le comportement est en question.

La conformité PDF/A. PDF/A est un format d’archivage. Il retire les fonctions susceptibles de faire s’afficher un document différemment à l’avenir, comme les scripts embarqués et les références à des polices externes. C’est utile, et cela ne dit rien sur le fait que le contenu ait changé ou non. Un fichier PDF/A peut être modifié puis enregistré de nouveau en PDF/A parfaitement conforme.

Une signature collée. Une signature scannée insérée dans un document est une image. Elle n’entretient aucun lien cryptographique avec les octets qui l’entourent.

Ce qui fonctionne réellement

Trois mécanismes, qui répondent à trois questions différentes. En omettre un laisse un trou.

1. Une empreinte cryptographique, pour détecter le changement. Une fonction de hachage réduit le fichier à une empreinte de longueur fixe. Changez un seul bit, où que ce soit, et l’empreinte change entièrement. SHA-256 ou SHA-384 sont aujourd’hui les choix raisonnables. L’empreinte prouve que le fichier que vous détenez est octet pour octet celui dont elle a été tirée.

Seule, elle ne prouve rien sur le quand, ni sur qui l’a calculée. Une empreinte que vous avez calculée vous-même et rangée dans votre propre base reste votre parole.

2. Un horodatage de confiance, pour fixer l’instant. La RFC 3161 décrit comment envoyer une empreinte à une autorité d’horodatage et recevoir en retour un jeton signé contenant cette empreinte et l’heure. Seule l’empreinte quitte vos systèmes ; le document, jamais.

C’est la partie qui transforme votre affirmation en preuve émanant d’un tiers, car l’attestation est signée par quelqu’un qui n’a aucun intérêt dans votre document.

3. Une chaîne de responsabilité, pour couvrir l’intervalle. L’empreinte et l’horodatage prouvent l’état du fichier à un instant. Un auditeur interroge la période entre cet instant et aujourd’hui. La chaîne de responsabilité y répond : chaque action sur le document, qui l’a effectuée, quand et depuis où, écrite en ajout seul afin qu’aucune entrée ne puisse disparaître discrètement.

En chaînant chaque entrée à l’empreinte de la précédente, une suppression au milieu rompt la chaîne. C’est ce qui rend l’absence d’altération démontrable plutôt que simplement affirmée.

Ce qu’il faut conserver en pratique

Conservez ensemble le document, l’empreinte, le jeton d’horodatage et la chaîne de responsabilité, dans un format que vous pourrez encore ouvrir dans dix ans. En pratique cela signifie PDF/A-3 pour le document, car ce format autorise les pièces jointes et peut donc transporter la preuve à côté du fichier.

Conservez aussi le matériel de vérification. Un jeton d’horodatage se vérifie contre la chaîne de certificats de l’autorité, et les certificats expirent. Pour vérifier en 2035 ce que vous avez horodaté en 2026, il faut avoir conservé la chaîne et l’état de révocation tels qu’ils étaient. Ce matériel est disponible aujourd’hui et ne le sera plus ensuite.

Où SealDoc intervient

SealDoc automatise les trois mécanismes. Chaque document traité devient un fichier PDF/A-3B validé selon ISO 19005-3, horodaté par défaut selon la RFC 3161, avec une chaîne d’empreintes SHA-384 et un journal de chaîne de responsabilité. L’export est un dossier de preuve par document, sur demande : le document, la piste d’audit et un manifeste qui scelle à la fois les fichiers individuels et l’ensemble.