PKI et certificats numériques expliqués au métier de l'assurance

Ce qu'il faut retenir

Une PKI (infrastructure à clé publique) est le socle qui permet de rattacher une identité à une clé cryptographique via un certificat numérique.
Dans l'assurance, le certificat ne sert pas qu'à signer : il sert à authentifier l'émetteur, garantir l'intégrité des documents et conserver des preuves horodatées.
Le « certificat » n'est pas un fichier magique : il a une durée de vie, un émetteur, un niveau de confiance et des règles de révocation qu'il faut connaître.
Le métier doit pouvoir poser les bonnes questions à son prestataire : qui émet le certificat, combien de temps il vit, comment il est révoqué, et ce qu'il prouve réellement.

La PKI est souvent évoquée comme une évidence technique dans les projets de signature, sans que les équipes métier sachent précisément ce qu'elle fait. Cet article explique, pour un lecteur non cryptographe travaillant dans l'assurance, ce qu'est une PKI, ce qu'est un certificat numérique, ce qu'ils changent concrètement dans un parcours de signature et quelles questions poser à un prestataire.

Une PKI en une phrase

Une infrastructure à clés publiques est l'ensemble des composants qui permettent de créer, distribuer, utiliser et révoquer des certificats numériques. Son rôle pratique : lier de façon vérifiable une identité (une personne, une organisation, un serveur) à une clé cryptographique.

Concrètement, la PKI répond à trois questions :

Qui parle ? Le certificat rattache l'identité du signataire ou de l'émetteur à une clé.
Est-ce bien ce document ? La clé privée scelle l'empreinte du document, vérifiable avec la clé publique.
Est-ce toujours valable ? La PKI gère la durée de vie, la révocation et le renouvellement.

Dans un projet de signature électronique, la PKI est le moteur invisible qui rend les mécanismes de signature vérifiables par un tiers.

Le certificat numérique : ce qu'il y a « dedans »

Un certificat numérique est un fichier standardisé (le format X.509) qui associe plusieurs informations :

Élément du certificat	Rôle	Pourquoi c'est important pour l'assurance
Identité du titulaire	Nom, organisation, adresse	Permet d'attribuer la signature à une entité précise
Clé publique	Vérifie les signatures produites avec la clé privée	Permet de vérifier un document signé sans contact avec le signataire
Émetteur (autorité de certification)	Entité qui a délivré le certificat	Détermine le niveau de confiance du certificat
Période de validité	Début et fin de validité	Un certificat expiré ne prouve plus la signature de la même façon
Empreintes et extensions	Usages autorisés, contraintes	Indique si le certificat est destiné à signer, à chiffrer, etc.

L'idée à retenir : le certificat ne dit pas « c'est une bonne personne », il dit « cette identité a été vérifiée selon le processus de l'émetteur, à cette date ». Le niveau de confiance vient du processus de l'émetteur.

Ce que la PKI apporte à un parcours de signature dans l'assurance

Dans un parcours de souscription ou de gestion, la PKI joue plusieurs rôles :

Authentification : le certificat peut authentifier le client ou l'agent lors de la signature.
Intégrité : l'empreinte scellée par la clé privée garantit que le document n'a pas été modifié.
Non-répudiation : le lien entre l'identité et le geste de signature limite les contestations.
Horodatage : l'horodatage qualifié, émis au sein de la chaîne de confiance, date les événements de façon vérifiable.

Le bénéfice métier est double : des parcours digitaux acceptables pour les contrats, et un dossier de preuve qui documente chaque étape de façon vérifiable.

Ce que le métier doit comprendre du niveau de confiance

Le niveau de confiance d'un certificat dépend de qui l'a émis et comment l'identité a été vérifiée :

Certificat dit « interne » ou auto-signé : émis par l'organisation elle-même. Utile pour des usages internes, mais la confiance ne repose que sur l'organisation.
Certificat d'une autorité reconnue : l'identité est vérifiée selon un processus audité, au sein d'une chaîne de confiance établie (racines publiques, listes de confiance).
Certificat qualifié : délivré par un prestataire de services de confiance qualifié, il ouvre droit aux effets juridiques de la signature qualifiée (article 25.3 eIDAS).

Pour une signature avancée ou qualifiée, le certificat doit être émis dans une chaîne dont la fiabilité est vérifiable par un tiers. C'est une question à poser au prestataire : « dans quelle chaîne de confiance votre certificat s'inscrit-il ? »

Le cycle de vie du certificat : ce qu'il faut surveiller

Un certificat n'est pas permanent. Son cycle de vie comporte :

la délivrance : après vérification d'identité ;
l'usage : pendant la période de validité ;
la révocation : en cas de compromission ou de fin d'usage (liste de révocation CRL, vérification en ligne OCSP) ;
l'expiration : le certificat arrive à échéance et doit être renouvelé.

Le point critique pour le métier : la révocation d'un certificat ne « casse » pas rétroactivement une signature déjà émise. La valeur d'une signature se juge à la date où elle a été créée, avec le certificat alors valide. En revanche, un certificat expiré ou révoqué affaiblit les signatures nouvelles.

Le prestataire doit donc documenter sa gestion du cycle de vie : durée, renouvellement, révocation et impact sur les preuves.

PKI et réglementation assurance : ce qui change

Dans l'assurance, la signature électronique intervient dans des contextes réglementés (souscription, mandats, informations précontractuelles, DORA pour la résilience). La PKI y apporte des garanties utilisables par le métier :

une identification fiable des signataires pour les contrats ;
des preuves horodatées pour démontrer le respect des délais (information, rétractation) ;
une chaîne de confiance auditable pour les dossiers de preuve.

La PKI n'est pas une fin en soi : elle est l'un des moyens de produire les preuves que le régulateur et le juge pourront vérifier.

Les erreurs fréquentes à éviter

Confondre « certificat » et « garantie d'identité » : un certificat prouve ce que l'émetteur a vérifié, rien de plus.
Ignorer la durée de vie : des certificats non renouvelés bloquent la signature ou affaiblissent les preuves.
Négliger la révocation : un certificat compromis qui reste actif est une faille majeure.
Croire qu'un certificat interne suffit pour des engagements externes : la confiance d'un tiers repose sur une chaîne reconnue.
Ne pas conserver les éléments de preuve liés au certificat : la chaîne de validation fait partie du dossier de preuve.

Les questions à poser à son prestataire

Quelle autorité émet les certificats et dans quelle chaîne de confiance ?
Quel est le processus de vérification d'identité avant délivrance ?
Quelle est la durée de vie des certificats et comment sont-ils renouvelés ?
Comment fonctionne la révocation (CRL, OCSP) et quel est son impact sur les signatures ?
L'horodatage est-il qualifié et dans quelle chaîne ?
Comment les preuves du cycle de vie du certificat sont-elles conservées ?

Pour aller plus loin

Les 3 niveaux de signature eIDAS expliqués — où la PKI s'insère dans la SES, l'AES et la QES.
Horodatage RFC 3161 ou heure serveur — la question du temps dans les preuves.
Signature électronique dans l'assurance — les cas d'usage de la signature en assurance.

Sources officielles

Pour aller plus loin

La chaîne de confiance d'un certificat détermine sa recevabilité. Le fonctionnement des autorités racines, CRL et OCSP est expliqué dans l'article sur la chaîne de confiance des certificats (programmé).

Ce contenu fournit une information générale et ne remplace pas un avis juridique ou un audit technique. La mise en œuvre d'une PKI et le choix des certificats doivent être validés avec des spécialistes.