PKI et certificats numériques expliqués au métier de l'assurance

Ce qu'il faut retenir

Une PKI (infrastructure à clé publique) est le socle qui permet de rattacher une identité à une clé cryptographique via un certificat numérique.
Selon le parcours, un certificat peut contribuer à l’identification et à la vérification d’une signature. Il ne produit pas à lui seul un horodatage qualifié ni un dossier de preuve complet.
Le « certificat » n'est pas un fichier magique : il a une durée de vie, un émetteur, un niveau de confiance et des règles de révocation qu'il faut connaître.
Le métier doit pouvoir poser les bonnes questions à son prestataire : qui émet le certificat, combien de temps il vit, comment il est révoqué, et ce qu'il prouve réellement.

La PKI est souvent évoquée comme une évidence technique dans les projets de signature, sans que les équipes métier sachent précisément ce qu'elle fait. Cet article explique, pour un lecteur non cryptographe travaillant dans l'assurance, ce qu'est une PKI, ce qu'est un certificat numérique, ce qu'ils changent concrètement dans un parcours de signature et quelles questions poser à un prestataire.

Une PKI en une phrase

Une infrastructure à clés publiques est l'ensemble des composants qui permettent de créer, distribuer, utiliser et révoquer des certificats numériques. Son rôle pratique : lier de façon vérifiable une identité (une personne, une organisation, un serveur) à une clé cryptographique.

Concrètement, la PKI répond à trois questions :

Qui parle ? Le certificat rattache l'identité du signataire ou de l'émetteur à une clé.
Est-ce bien ce document ? La clé privée scelle l'empreinte du document, vérifiable avec la clé publique.
Est-ce toujours valable ? La PKI gère la durée de vie, la révocation et le renouvellement.

Une PKI est une technique courante pour créer et vérifier des signatures cryptographiques. Le niveau juridique dépend des exigences satisfaites par l’ensemble du parcours, pas de la seule présence d’une PKI.

Le certificat numérique : ce qu'il y a « dedans »

Un certificat numérique est un fichier standardisé (le format X.509) qui associe plusieurs informations :

Élément du certificat	Rôle	Pourquoi c'est important pour l'assurance
Identité du titulaire	Nom, organisation, adresse	Permet d'attribuer la signature à une entité précise
Clé publique	Vérifie les signatures produites avec la clé privée	Permet de vérifier un document signé sans contact avec le signataire
Émetteur (autorité de certification)	Entité qui a délivré le certificat	Détermine le niveau de confiance du certificat
Période de validité	Début et fin de validité	La validation historique doit être distinguée de la validité actuelle du certificat
Empreintes et extensions	Usages autorisés, contraintes	Indique si le certificat est destiné à signer, à chiffrer, etc.

L'idée à retenir : le certificat ne dit pas « c'est une bonne personne », il dit « cette identité a été vérifiée selon le processus de l'émetteur, à cette date ». Le niveau de confiance vient du processus de l'émetteur.

Ce que la PKI apporte à un parcours de signature dans l'assurance

Dans un parcours de souscription ou de gestion, la PKI joue plusieurs rôles :

Authentification : le certificat peut authentifier le client ou l'agent lors de la signature.
Intégrité : la vérification cryptographique permet de détecter une modification des données signées ; elle doit porter sur la version exacte du document et sur un procédé correctement validé.
Non-répudiation : le lien entre l'identité et le geste de signature limite les contestations.
Horodatage : un service d’horodatage peut lier des données à un instant. Son caractère qualifié doit être vérifié séparément ; il ne découle pas du seul certificat de signature.

Le bénéfice métier est double : des parcours digitaux acceptables pour les contrats, et un dossier de preuve qui documente chaque étape de façon vérifiable.

Ce que le métier doit comprendre du niveau de confiance

Le niveau de confiance d'un certificat dépend de qui l'a émis et comment l'identité a été vérifiée :

Certificat dit « interne » ou auto-signé : émis par l'organisation elle-même. Utile pour des usages internes, mais la confiance ne repose que sur l'organisation.
Certificat d'une autorité reconnue : l'identité est vérifiée selon un processus audité, au sein d'une chaîne de confiance établie (racines publiques, listes de confiance).
Certificat qualifié de signature électronique : il est délivré par un prestataire qualifié pour le service concerné et répond aux exigences applicables. Il ne suffit pas, seul, à créer une QES : celle-ci doit aussi satisfaire aux exigences d’une signature avancée et être créée avec un dispositif qualifié. L’équivalence avec la signature manuscrite relève de l’article 25(2) ; le paragraphe 3 porte sur la reconnaissance entre États membres.

Une signature avancée doit satisfaire aux exigences de l’article 26 d’eIDAS. Cet article ne fait pas d’une chaîne de certificats reconnue une condition universelle autonome. Si le parcours utilise des certificats, demandez comment leur chaîne, leur statut et les données signées sont vérifiés ; pour une QES, contrôlez aussi les exigences propres au certificat et au dispositif qualifiés.

Le cycle de vie du certificat : ce qu'il faut surveiller

Un certificat n'est pas permanent. Son cycle de vie comporte :

la délivrance : après vérification d'identité ;
l'usage : pendant la période de validité ;
la révocation : en cas de compromission ou de fin d'usage (liste de révocation CRL, vérification en ligne OCSP) ;
l'expiration : le certificat arrive à échéance et doit être renouvelé.

Pour valider une signature ancienne, distinguez le statut actuel du certificat de sa situation au moment de la signature. Examinez les dates, le statut de révocation, les éléments de validation conservés et une éventuelle compromission. Une expiration ou une révocation constatée aujourd’hui ne permet pas, à elle seule, de conclure à la validité ou à l’invalidité de toute signature antérieure.

Le prestataire doit donc documenter sa gestion du cycle de vie : durée, renouvellement, révocation et impact sur les preuves.

PKI et réglementation assurance : ce qui change

Dans l'assurance, la signature électronique intervient dans des contextes réglementés (souscription, mandats, informations précontractuelles, DORA pour la résilience). La PKI y apporte des garanties utilisables par le métier :

une identification fiable des signataires pour les contrats ;
des preuves horodatées pour démontrer le respect des délais (information, rétractation) ;
une chaîne de confiance auditable pour les dossiers de preuve.

La PKI n'est pas une fin en soi : elle est l'un des moyens de produire les preuves que le régulateur et le juge pourront vérifier.

Les erreurs fréquentes à éviter

Confondre « certificat » et « garantie d'identité » : un certificat prouve ce que l'émetteur a vérifié, rien de plus.
Ignorer la durée de vie : des certificats non renouvelés bloquent la signature ou affaiblissent les preuves.
Négliger la révocation : un certificat compromis qui reste actif est une faille majeure.
Déduire un niveau juridique du seul émetteur du certificat : un certificat interne ou reconnu doit être évalué avec le procédé complet et les exigences de l’usage ; il ne confère pas à lui seul une qualification eIDAS.
Ne pas conserver les éléments de preuve liés au certificat : la chaîne de validation fait partie du dossier de preuve.

Les questions à poser à son prestataire

Quelle autorité émet les certificats et dans quelle chaîne de confiance ?
Quel est le processus de vérification d'identité avant délivrance ?
Quelle est la durée de vie des certificats et comment sont-ils renouvelés ?
Comment fonctionne la révocation (CRL, OCSP) et quel est son impact sur les signatures ?
L'horodatage est-il qualifié et dans quelle chaîne ?
Comment les preuves du cycle de vie du certificat sont-elles conservées ?

Pour aller plus loin

Les 3 niveaux de signature eIDAS expliqués — où la PKI s'insère dans la SES, l'AES et la QES.
Horodatage RFC 3161 ou heure serveur — la question du temps dans les preuves.
Signature électronique dans l'assurance — les cas d'usage de la signature en assurance.

Sources officielles

Pour aller plus loin

L’examen de la chaîne et du statut d’un certificat fait partie de la validation du procédé ; il ne décide pas seul de la recevabilité d’une signature. Le fonctionnement des autorités racines, CRL et OCSP est expliqué dans l’article sur la chaîne de confiance des certificats.

Ce contenu fournit une information générale et ne remplace pas un avis juridique ou un audit technique. La mise en œuvre d'une PKI et le choix des certificats doivent être validés avec des spécialistes.