Gouvernance des clés de signature : le socle de confiance
Gouvernance des clés de signature électronique : cycle de vie, détention, protection, rotation, révocation et conformité (ISO 27001, ETSI).
- La gouvernance des clés couvre le cycle de vie complet : création, stockage, usage, rotation et révocation.
- Qui détient les clés, qui peut signer et comment les clés sont protégées déterminent la fiabilité du système.
- Les clés de signature et les clés de chiffrement ont des usages distincts et des politiques distinctes.
- Une gouvernance documentée est exigée par les référentiels de sécurité et rassure auditeurs et clients.
La signature électronique repose sur des clés cryptographiques. Leur gouvernance est le socle de la confiance : sans politique claire, un système « sécurisé » reste fragile. Cet article détaille ce que couvre la gouvernance des clés.
Les types de clés à gouverner
- Clés de signature : servent à signer (certificats, signatures qualifiées).
- Clés de chiffrement : protègent les documents en transit et au repos.
- Clés d'authentification : valident les appels API et les webhooks.
Chaque famille a un usage, une durée de vie et une politique propres. Les mélanger complique la gouvernance.
Le cycle de vie des clés
| Étape | Actions clés |
|---|---|
| Création | Génération sûre, contexte documenté |
| Stockage | HSM ou coffre-fort, accès restreint |
| Usage | Journalisation, séparation des rôles |
| Rotation | Renouvellement planifié |
| Révocation | Compromission, fin d'usage, procédure |
| Destruction | Suppression sécurisée et tracée |
Chaque étape doit être documentée et tracée.
Qui détient les clés
La détention des clés est une décision stratégique :
- Prestataire : clés hébergées chez le prestataire, moins de contraintes, dépendance.
- Entreprise : clés sous votre contrôle (BYOK), plus de responsabilité.
- Hybride : certaines clés chez le prestataire, d'autres gérées par vous.
La réponse dépend de vos exigences de souveraineté, de conformité et de capacité technique.
Protection et contrôle d'accès
Les clés doivent être protégées comme des secrets critiques :
- stockage dans un HSM ou un gestionnaire de secrets ;
- accès limité par rôle (séparation des tâches) ;
- journalisation de chaque usage ;
- double validation pour les opérations sensibles ;
- pas de clé dans le code, les logs ou les fichiers de configuration.
Une clé exposée peut permettre de signer à la place de l'organisation.
Rotation et révocation
La rotation remplace régulièrement les clés :
- durée de vie définie par la politique ;
- planification sans interruption de service ;
- vérification que les anciennes clés sont bien retirées.
La révocation intervient en cas de compromission ou de fin d'usage :
- procédure documentée et testée ;
- notification des parties concernées ;
- preuves conservées malgré la révocation.
Une clé révoquée n'invalide pas les signatures passées : elle empêche les usages futurs.
Gouvernance et conformité
Une gouvernance documentée des clés répond aux attentes :
- référentiels de sécurité (ISO 27001, ETSI, SSTI) ;
- auditeurs et clients exigeants ;
- régulateurs (secteur financier, assurance) ;
- continuité d'activité (récupération en cas de sinistre).
La gouvernance est autant une politique documentée qu'une mise en œuvre technique.
Erreurs fréquentes à éviter
- Ne pas séparer les rôles : la même personne gère clés, signatures et journaux.
- Clés dans le code : une fuite du dépôt expose les secrets.
- Pas de plan de rotation : des clés quasi éternelles fragilisent le système.
- Révocation sans procédure : la réponse à une compromission est improvisée.
- Pas de journalisation : impossible d'auditer l'usage des clés.
Checklist de la gouvernance des clés
- Documenter la politique (rôles, cycle de vie, stockage).
- Choisir la détention (prestataire, BYOK, hybride).
- Protéger le stockage (HSM, coffre, accès restreint).
- Planifier rotation et révocation.
- Journaliser les usages et auditer.
- Tester la récupération en cas de sinistre.
Pour aller plus loin
- PKI et certificats numériques — la chaîne de confiance.
- Révocation d'un certificat — l'impact sur les signatures (programmé).
- Audit interne de la conformité — vérifier la gouvernance (programmé).
Questions fréquentes
Faut-il un HSM ?
Pour les signatures à enjeu élevé et les prestataires qualifiés, le stockage dans un HSM est la norme. Pour un usage simple, un coffre de secrets peut suffire.
À quelle fréquence renouveler les clés ?
Cela dépend de la politique et du référentiel. Des durées d'un à deux ans sont fréquentes, à adapter au risque.
Une révocation invalide-t-elle les signatures passées ?
Non. La révocation empêche les usages futurs ; les signatures émises avant restent valables si elles ont été correctement horodatées.
Sources officielles
- ETSI EN 319 401 — gestion des clés des prestataires de confiance
- Article 1367 du code civil — signature électronique
- RFC 5280 — certificats et cycles de vie
La gouvernance des clés s'appuie sur la PKI et les certificats. La chaîne de confiance est détaillée dans l'article sur la PKI.
Ce contenu fournit une information générale et ne remplace pas les recommandations de votre RSSI ou d'un auditeur de sécurité.
Important
Ce contenu fournit une information générale et ne remplace pas un avis juridique ou un audit de conformité. Le niveau de signature adapté dépend du contexte, de l’identification, de l’authentification et des preuves effectivement produites.