Les réglementations comme l’eIDAS, la Partie 11 du titre 21 du Code des règlements fédéraux de la Food and Drug Administration, (FDA CFR 21 Part 11), et les exigences des États-Unis dans le domaine de l’architecture et du génie civil soulignent l’importance de la confiance et de l’identité dans les transactions électroniques. Résultat : la demande pour des signatures numériques fiables et de qualité connaît un essor inédit. Les entreprises s’adressent à leurs fournisseurs de gestion de workflows documentaires ou de transactions numériques pour intégrer directement cette fonctionnalité à leurs plateformes existantes.
D’un côté, les clients veulent des signatures numériques de confiance, de l’autre les prestataires de services voudraient satisfaire leur demande.... mais comment ? Si vous mettez en place une solution pour les banques, les relevés de comptes, les contrats de prêt ou d’hypothèque, les processus d’intégration RH, les essais cliniques ou pharmaceutiques, la location et les prêts automobiles, les relevés de notes ou toute autre application métier qui exigent des signatures de documents intégrées au workflow... cet article est pour vous.
Pendant des années, l’ajout de signatures numériques à une plateforme documentaire exigeait d’assembler des composants cryptographiques complexes pour réaliser l’intégration en interne. De quels composants parle-t-on ?
- Certificats de signature — Délivrés aux signataires dont l’identité a été vérifiée, les certificats de signature sont utilisés pour apposer la signature.
- Services de révocation (OCSP, LRC...) – Ils vérifient le statut/la validité des certificats de signature.
- Services d’horodatage — Plutôt que de se fier à l’horloge du système local, il est possible d’intégrer un sceau d’horodatage tiers à la signature pour plus de garanties sur l’heure effective de l’application de la signature. Même si d’un point de vue technique l’horodatage n’est pas obligatoire pour l’application d’une signature numérique, il est souvent requis pour satisfaire aux exigences de conformité sectorielle, légale ou réglementaire.
- Matériel cryptographique – Il s’agit généralement de modules de sécurité matérielle dits « modules HSM » situés et maintenus sur place, ou hébergés par un tiers, pour stocker et protéger les clés privées des signataires.
- Collaborateurs expérimentés en cryptographie et PKI – Ces profils sont nécessaires pour configurer et maintenir les intégrations et le matériel.
Il vous faudrait alors vous procurer chacun de ces composants auprès de plusieurs fournisseurs, et configurer des appels d’API distincts vers votre plateforme chaque fois qu’une signature est apposée (voir le schéma d’exemple ci-après). Une vraie partie de plaisir, n’est-ce pas ? Surtout au vu de la somme de connaissances nécessaires en cryptographie ! Par simplicité, je désignerai désormais ce scénario par l’expression « déploiement HSM ».
Exemple d’intégrations requises pour un déploiement HSM de signatures numériques
Pour la comparaison, imaginons que vous souhaitiez une nouvelle bibliothèque pour votre bureau, chez vous. Vous pouvez aller acheter du bois, tout le matériel, les plans d’études pour le modèle que vous souhaitez réaliser, et essayer de comprendre comment utiliser les outils nécessaires, puis fabriquer vous-même votre bibliothèque. Certes, à la fin vous avez votre bibliothèque et celle-ci remplit son but, mais que de temps perdu à l’installer ! Et si quelque chose se casse ou que, dans quelque temps, vous voulez ajouter une étagère ? Il vous faudrait alors reprendre vos plans et vos schémas.
Que diriez-vous de vous faire livrer une bibliothèque déjà presque montée, qui ne nécessite pratiquement pas d’assemblage (pas comme les meubles IKEA), avec en prime des garanties de réparation en cas de casse et des possibilités d’extension en cas de besoin ? Ah oui, et j’oubliais : l’installation d’une telle bibliothèque n’exigerait pas de diplôme d’Artisan-menuisier. Cela vaudrait la peine d’y réfléchir, non ?
Mais revenons à notre scénario de signatures numériques. Un service cloud peut vous fournir tous les composants nécessaires pour déployer facilement des signatures numériques sur votre plateforme, sans investissement matériel initial ni développements complexes. Qui plus est, un tel service vous apporte l’évolutivité et la flexibilité nécessaires, et toutes les garanties de sécurité et de conformité. C’est précisément ce que vous offre le nouveau service de signature numérique (DSS) de GlobalSign : il vous fournit tout ce dont vous avez besoin pour intégrer des signatures numériques avec un seul appel d’API REST. Pas besoin de vous procurer séparément chaque composant ni de configurer chaque intégration pour tout ce qui remonte vers votre plateforme. Nous révolutionnons véritablement les fonctionnalités de signature numérique, quelle que soit l’offre de workflow.
Exemple simplifié d’intégration nécessaire au déploiement d’un service de signature dans le Cloud.
Outre une intégration nettement plus simple entre les composants cryptographiques et votre plateforme — une économie de ressources internes de développement et d’experts PKI — notre service DSS dans le cloud présente aussi d’autres avantages :
- Plus de flexibilité avec les identités de signature – En général, seules les identités au niveau de l’organisation ou du département (ex. : comptabilité, finances) sont prises en charge dans le cadre des déploiements HSM. Le service DSS prend également en charge les identités individuelles afin que les employés ou les clients puissent signer en leur propre nom.
- Évolutivité et adaptabilité pour la croissance à venir – Dans le cadre de déploiements multisources, votre expansion peut nécessiter des partitions HSM et des configurations supplémentaires. En revanche, avec le service DSS, la solution évolue avec vous pour faciliter votre expansion.
- Pas de clés privées à gérer pour le fournisseur de services — Avec les déploiements HSM, le fournisseur de services est responsable du sourcing de la gestion des clés privées. Il faut donc généralement investir dans des modules HSM sur site, et les maintenir (avec des sauvegardes) ou trouver un fournisseur HSM dans le cloud et réaliser des intégrations complexes pour le retour vers la plateforme. Grâce à l’API REST, le service DSS prend tout cela en main sans mobiliser de ressources en interne.
- Haute disponibilité par défaut – Les déploiements HSM nécessiteraient des investissements HSM supplémentaires et redondants.
- Conformité aux dernières bonnes pratiques et exigences de base — Face aux mises à jour des exigences des programmes de confiance (comme la liste de confiance approuvée par Adobe [AATL]), à l’entrée en vigueur de nouvelles réglementations, ou aux lancements de nouveaux matériels et firmware par les fournisseurs HSM, vous pouvez être serein : GlobalSign met régulièrement à jour son service de signature numérique et vous aide à rester en conformité avec, de votre côté, un investissement minimal en termes de développement.
L’intégration de signatures numériques à votre plateforme documentaire présente un avantage évident : vous offrez à vos clients la possibilité d’ajouter facilement des signatures fiables et conformes à leurs workflows. Nous pensons cependant qu’un tel avantage ne devrait pas être uniquement réservé aux experts en PKI ou cryptographie. C’est pourquoi le service de signature numérique de GlobalSign entend faciliter l’intégration de signatures numériques pour vous permettre de consacrer vos efforts et votre temps sur votre cœur de métier.
Des questions sur l’intégration des signatures numériques à votre service ? Contactez-nous vite. Pour en savoir plus sur le service de signature numérique en action, découvrez notre nouvelle étude de cas — DocuFirst intègre le service de signature numérique GlobalSign dans un logiciel de prêt dématérialisé pour sécuriser les workflows de documents de bout en bout..
Entre Adobe CDS et AATL, quelles différences pour les signatures numériques ?
