Les 3 niveaux de signature eIDAS expliqués simplement

Ce qu'il faut retenir

• eIDAS définit trois niveaux de signature électronique : simple (SES), avancée (AES) et qualifiée (QES). Le niveau ne se choisit pas sur une étiquette mais sur ce que le parcours démontre réellement.
• La signature simple prouve une intention ; la signature avancée rattache le signataire au document de façon univoque ; la signature qualifiée ajoute un certificat émis par un prestataire de confiance qualifié.
• Le « niveau » n'est pas une promesse marketing : il résulte de l'identification, du contrôle exclusif des données de création, de l'intégrité du document et de la traçabilité des événements.
• Pour la plupart des contrats courants, une signature simple ou avancée suffit ; la qualifiée n'est requise que pour les actes que la loi réserve à ce niveau.

Quand on parle de « signature électronique », on recouvre en réalité trois réalités très différentes. Comprendre ces trois niveaux, c'est savoir quoi demander à son outil et ce que l'on peut prouver en cas de litige. Cet article explique chacun des trois niveaux avec ce qu'il fait, ce qu'il garantit et comment le reconnaître en pratique — sans jargon.

Ce que dit le règlement eIDAS en une phrase

Le règlement (UE) n° 910/2014, dit « eIDAS », pose le cadre commun des signatures électroniques en Europe. Son article 25 donne la règle essentielle : une signature électronique ne peut pas être refusée comme preuve au seul motif qu'elle est électronique. À partir de là, il définit trois niveaux, du plus courant au plus exigeant.

Une idée importante à retenir : ces trois niveaux ne forment pas une échelle de qualité pure, mais trois réponses à trois besoins différents de preuve. Un contrat de devis n'a pas besoin du même niveau qu'une procuration notariée.

Niveau 1 — La signature électronique simple (SES)

La signature simple est la plus répandue. Le règlement la définit comme « des données sous forme électronique jointes ou associées logiquement à d'autres données, que le signataire utilise pour signer ». Concrètement :

• le signataire reçoit un lien d'accès à son document ;
• il s'identifie de façon déclarative ou légère (adresse e-mail, code envoyé par e-mail) ;
• il consulte le document et coche une case de consentement ;
• il clique pour signer ;
• les événements sont enregistrés et horodatés.

Ce niveau prouve essentiellement une intention : la personne a eu accès au document et l'a validé. Il convient aux parcours à faible risque de contestation : devis, bons de commande, CGV, accords internes, avenants simples.

Ses limites sont aussi sa force : simple à déployer, aucun certificat à gérer, coût faible. Mais si le document est contesté, la preuve repose sur la qualité de la piste d'audit, pas sur une identité vérifiée.

Niveau 2 — La signature électronique avancée (AES)

La signature avancée ajoute des garanties techniques précises. L'article 26 du règlement impose quatre exigences cumulatives :

1. être liée univoquement au signataire ;
2. permettre l'identification du signataire ;
3. être créée à l'aide de données de création que le signataire peut utiliser sous son contrôle exclusif ;
4. être liée aux données signées de telle sorte que toute modification ultérieure soit détectable.

En pratique, ces exigences se traduisent par : une identification plus forte (code OTP envoyé sur un canal distinct, vérification d'un justificatif), un lien direct entre l'action de signer et l'identité, et le calcul d'empreintes qui rendent toute altération visible.

La signature avancée convient aux contrats à enjeu moyen : contrats commerciaux, RH, mandats, souscriptions. Elle offre une présomption de qualité technique sans nécessiter de certificat qualifié.

Niveau 3 — La signature électronique qualifiée (QES)

La signature qualifiée est une signature avancée qui ajoute un dernier étage : elle est créée avec un certificat qualifié et un dispositif de création de signature qualifié, émis et géré par un prestataire de services de confiance (PSCo) qualifié.

Sa particularité juridique est forte : l'article 25 (3) du règlement dispose qu'une signature qualifiée a l'équivalent juridique d'une signature manuscrite. C'est le seul niveau auquel ce statut est accordé de plein droit.

En pratique : le signataire détient un certificat personnel, souvent logé dans une clé ou un dispositif sécurisé, et chaque signature repose sur une validation cryptographique reconnue. Le niveau est nécessaire pour les actes où la loi exige la forme notariée ou un équivalent, et pour les engagements à très fort enjeu.

Tableau comparatif des trois niveaux

Comment reconnaître le niveau réel d'un parcours

Le niveau ne se lit pas sur l'interface, mais sur les preuves produites. Trois questions permettent de le vérifier :

1. Comment le signataire a-t-il été identifié ? Un simple e-mail pré-rempli indique une SES ; un code envoyé sur un canal distinct ou une vérification de pièce indique une AES ; un certificat qualifié indique une QES.
2. Le document est-il protégé contre toute modification ? Une empreinte calculée et horodatée avant/après signature est le signe d'un parcours sérieux, quel que soit le niveau.
3. Que contient le dossier de preuve ? S'il documente identité, consentement, événements et empreintes, il peut défendre le niveau annoncé. S'il se limite à l'image d'une signature, il ne le peut pas.

Un piège fréquent : des outils annoncent « avancé » ou « qualifié » sans produire les preuves correspondantes. La promesse d'un niveau vaut ce que la piste d'audit démontre.

Quel niveau pour quel contrat ?

Règle pratique :

• SES : documents à faible enjeu, volume important, où le risque de contestation est limité.
• AES : contrats où l'identité du signataire compte (RH, mandats, commercial, assurance) et où l'on veut une présomption solide.
• QES : actes réservés par la loi à la forme authentique ou exigeant l'équivalent d'une signature manuscrite.

Le choix du niveau relève d'une décision de politique interne, pas d'une habitude. L'important est d'aligner le niveau choisi avec le risque du contrat et la preuve réellement produite.

Les erreurs courantes à éviter

• Croire que « signer électroniquement » suffit : le niveau dépend des mécanismes, pas de l'outil.
• Confondre signature avancée et scan de signature manuscrite : un scan ne crée aucun lien cryptographique entre le signataire et le document.
• Payer pour une QES quand une AES suffit : les cas d'obligation légale de QES sont limités ; bien les identifier évite des coûts inutiles.
• Ne pas conserver les preuves : le niveau annoncé est sans valeur si le dossier de preuve n'est pas complet et conservé.

Pour approfondir chaque niveau

Ce guide donne les bases. Pour aller plus loin :

• Article 25 eIDAS : quels effets juridiques pour une signature électronique ? — ce que la recevabilité change concrètement.
• Article 26 eIDAS : cartographier les quatre exigences de la signature avancée — le détail des conditions de l'AES.
• SES, AES ou QES : comment choisir le bon niveau ? — la méthode de décision complète.
• OTP e-mail et signature électronique — forces et limites du mécanisme d'authentification le plus répandu.

Questions fréquentes

Une signature simple est-elle valable en justice ?

Oui, elle est recevable comme preuve électronique. Sa force probante dépendra de la piste d'audit et pourra être débattue, contrairement à la qualifiée qui bénéficie de l'équivalence légale.

Faut-il toujours la QES pour les actes immobiliers ou RH ?

Non. Seuls certains actes, généralement ceux exigeant une forme authentique ou notariée, la requièrent. Pour la plupart des contrats, SES ou AES suffisent.

Peut-on « monter » d'un niveau après coup ?

Non, on ne transforme pas une signature existante. On choisit le niveau du parcours au moment de l'émission.

Comment prouver le niveau utilisé ?

Par le dossier de preuve : identité, consentement, empreintes, horodatage et, pour la QES, le certificat qualifié et la validation.

Sources officielles

• Règlement eIDAS (UE) n° 910/2014 consolidé
• Article 1367 du code civil — écrit électronique et preuve
• Note du Parlement européen sur le règlement eIDAS

Pour aller plus loin

Le choix d'un niveau de signature engage la politique interne et les preuves produites. Si vous auditez votre dispositif, la méthode pour évaluer un dossier de preuve est décrite dans l'article sur l'audit d'un dossier de preuve.

Ce contenu fournit une information générale et ne remplace pas un avis juridique. Les effets d'une signature dépendent du niveau réellement mis en œuvre et du dossier de preuve produit.