Les 3 niveaux de signature eIDAS (SES, AES, QES) expliqués

Ce qu'il faut retenir

eIDAS définit trois niveaux de signature électronique : simple (SES), avancée (AES) et qualifiée (QES). Le niveau ne se choisit pas sur une étiquette mais sur ce que le parcours démontre réellement.
La signature simple prouve une intention ; la signature avancée rattache le signataire au document de façon univoque ; la signature qualifiée ajoute un certificat émis par un prestataire de confiance qualifié.
Le « niveau » n'est pas une promesse marketing : il résulte de l'identification, du contrôle exclusif des données de création, de l'intégrité du document et de la traçabilité des événements.
Pour la plupart des contrats courants, une signature simple ou avancée suffit ; la qualifiée n'est requise que pour les actes que la loi réserve à ce niveau.

Quand on parle de « signature électronique », on recouvre en réalité trois réalités très différentes. Comprendre ces trois niveaux, c'est savoir quoi demander à son outil et ce que l'on peut prouver en cas de litige. Cet article explique chacun des trois niveaux avec ce qu'il fait, ce qu'il garantit et comment le reconnaître en pratique — sans jargon.

Ce que dit le règlement eIDAS en une phrase

Le règlement (UE) n° 910/2014, dit « eIDAS », pose le cadre commun des signatures électroniques en Europe. Son article 25 donne la règle essentielle : une signature électronique ne peut pas être refusée comme preuve au seul motif qu'elle est électronique. À partir de là, il définit trois niveaux, du plus courant au plus exigeant.

Une idée importante à retenir : ces trois niveaux ne forment pas une échelle de qualité pure, mais trois réponses à trois besoins différents de preuve. Un contrat de devis n'a pas besoin du même niveau qu'une procuration notariée.

Niveau 1 — La signature électronique simple (SES)

La signature simple est la plus répandue. Le règlement la définit comme « des données sous forme électronique jointes ou associées logiquement à d'autres données, que le signataire utilise pour signer ». Concrètement :

le signataire reçoit un lien d'accès à son document ;
il s'identifie de façon déclarative ou légère (adresse e-mail, code envoyé par e-mail) ;
il consulte le document et coche une case de consentement ;
il clique pour signer ;
les événements sont enregistrés et horodatés.

Ce niveau prouve essentiellement une intention : la personne a eu accès au document et l'a validé. Il convient aux parcours à faible risque de contestation : devis, bons de commande, CGV, accords internes, avenants simples.

Ses limites sont aussi sa force : simple à déployer, aucun certificat à gérer, coût faible. Mais si le document est contesté, la preuve repose sur la qualité de la piste d'audit, pas sur une identité vérifiée.

Niveau 2 — La signature électronique avancée (AES)

La signature avancée ajoute des garanties techniques précises. L'article 26 du règlement impose quatre exigences cumulatives :

être liée univoquement au signataire ;
permettre l'identification du signataire ;
être créée à l'aide de données de création que le signataire peut, avec un niveau de confiance élevé, utiliser sous son contrôle exclusif ;
être liée aux données signées de telle sorte que toute modification ultérieure soit détectable.

Un OTP envoyé sur un canal distinct ou la vérification d’un justificatif peut contribuer à l’identification. Aucun de ces mécanismes ne suffit à qualifier le parcours d’AES : les quatre conditions de l’article 26 doivent être démontrées ensemble.

L’AES exige une démonstration technique et probatoire de ses quatre conditions. L’absence de certificat qualifié ne dispense pas de cette démonstration.

Niveau 3 — La signature électronique qualifiée (QES)

La signature qualifiée est une signature avancée qui ajoute un dernier étage : elle est créée avec un certificat qualifié et un dispositif de création de signature qualifié, émis et géré par un prestataire de services de confiance (PSCo) qualifié.

L’article 25, paragraphe 2, du règlement eIDAS reconnaît à la signature électronique qualifiée un effet juridique équivalent à celui d’une signature manuscrite.

La QES est pertinente lorsqu’un texte applicable exige ce niveau ou lorsque la politique de risque retient les garanties associées. Il faut vérifier séparément les règles de forme propres à l’acte. Une signature qualifiée ne transforme pas, à elle seule, un document privé en acte authentique.

Tableau comparatif des trois niveaux

Critère	SES — simple	AES — avancée	QES — qualifiée
Ce que cela prouve	Une intention exprimée sur un document	Le lien univoque entre le signataire et le document	Le lien univoque + identité vérifiée via prestataire qualifié
Identification	Déclarative ou légère (e-mail, OTP e-mail)	Mécanismes d’identification documentés ; les quatre conditions de l’AES restent à démontrer	Certificat qualifié délivré après vérification
Certificat	Aucun	Pas obligatoire (peut être interne)	Certificat qualifié obligatoire
Équivalent juridique	Écrit électronique recevable	Écrit électronique recevable	Équivalence avec la signature manuscrite — article 25, paragraphe 2
Usage typique	Devis, CGV, accords courants	Contrats RH, commerciaux, mandats	Cas exigeant ce niveau ou garanties retenues après analyse du risque ; conditions de forme à vérifier séparément
Complexité de déploiement	Faible	Moyenne	Élevée (PSCo, certificats, dispositifs)

Comment reconnaître le niveau réel d'un parcours

Le niveau ne se lit pas sur l'interface, mais sur les preuves produites. Trois questions permettent de le vérifier :

Comment le signataire a-t-il été identifié ? Décrivez les attributs déclarés et les vérifications réellement effectuées. Un OTP ou un justificatif contribue à cette analyse, mais ne suffit pas à qualifier tout le parcours d’AES. Il faut aussi démontrer le lien univoque, le contrôle exclusif des données de création et la détection des modifications.
Le document est-il protégé contre toute modification ? Une empreinte calculée et horodatée avant/après signature est le signe d'un parcours sérieux, quel que soit le niveau.
Que contient le dossier de preuve ? S'il documente identité, consentement, événements et empreintes, il peut défendre le niveau annoncé. S'il se limite à l'image d'une signature, il ne le peut pas.

Un piège fréquent : des outils annoncent « avancé » ou « qualifié » sans produire les preuves correspondantes. La promesse d'un niveau vaut ce que la piste d'audit démontre.

Quel niveau pour quel contrat ?

Règle pratique :

SES : documents à faible enjeu, volume important, où le risque de contestation est limité.
AES : parcours dont les quatre conditions ont été démontrées, lorsque ce niveau répond aux exigences du document et à l’analyse du risque.
QES : exigences expresses d’un texte ou garanties retenues après analyse du risque. Les conditions de forme, dont l’intervention éventuelle d’un notaire ou d’un autre officier public, restent à vérifier séparément.

Le choix du niveau relève d'une décision de politique interne, pas d'une habitude. L'important est d'aligner le niveau choisi avec le risque du contrat et la preuve réellement produite.

Les erreurs courantes à éviter

Croire que « signer électroniquement » suffit : le niveau dépend des mécanismes, pas de l'outil.
Confondre signature avancée et scan de signature manuscrite : un scan ne crée aucun lien cryptographique entre le signataire et le document.
Payer pour une QES quand une AES suffit : les cas d'obligation légale de QES sont limités ; bien les identifier évite des coûts inutiles.
Ne pas conserver les preuves : le niveau annoncé est sans valeur si le dossier de preuve n'est pas complet et conservé.

Pour approfondir chaque niveau

Ce guide donne les bases. Pour aller plus loin :

Article 25 eIDAS : quels effets juridiques pour une signature électronique ? — ce que la recevabilité change concrètement.
Article 26 eIDAS : cartographier les quatre exigences de la signature avancée — le détail des conditions de l'AES.
SES, AES ou QES : comment choisir le bon niveau ? — la méthode de décision complète.
OTP e-mail et signature électronique — forces et limites du mécanisme d'authentification le plus répandu.

Questions fréquentes

Une signature simple est-elle valable en justice ?

Oui, elle est recevable comme preuve électronique. Sa force probante dépendra de la piste d'audit et pourra être débattue, contrairement à la qualifiée qui bénéficie de l'équivalence légale.

Faut-il toujours la QES pour les actes immobiliers ou RH ?

Le domaine d’activité ne suffit pas pour choisir le niveau. Vérifiez l’acte précis, le texte applicable et ses conditions de forme. La signature qualifiée et l’acte authentique sont deux questions distinctes.

Peut-on « monter » d'un niveau après coup ?

Non, on ne transforme pas une signature existante. On choisit le niveau du parcours au moment de l'émission.

Comment prouver le niveau utilisé ?

Par le dossier de preuve : identité, consentement, empreintes, horodatage et, pour la QES, le certificat qualifié et la validation.

Sources officielles

Pour aller plus loin

Le choix d'un niveau de signature engage la politique interne et les preuves produites. Si vous auditez votre dispositif, la méthode pour évaluer un dossier de preuve est décrite dans l'article sur l'audit d'un dossier de preuve.

Ce contenu fournit une information générale et ne remplace pas un avis juridique. Les effets d'une signature dépendent du niveau réellement mis en œuvre et du dossier de preuve produit.