Signature électronique à distance de contrats simples

Rapport de comparaison pour une coopérative française Cas d'usage : autorisation d'accès, bulletin d'adhésion, contrat d'intervention — signés à distance, par des adhérents et des intervenants, sans contact physique.

Avertissement de méthode. Aucun prix, aucune certification et aucune fonctionnalité n'a été deviné. Quand une information n'a pas pu être vérifiée à la source, la mention « non trouvé » figure explicitement. Les pages tarifaires de plusieurs éditeurs (Yousign/YouTrust, Adobe, LibreSign) sont générées en JavaScript et n'ont pas pu être lues directement : ces cas sont signalés et, lorsqu'un chiffre provient d'une source tierce, la source est nommée comme telle. Ce rapport documente des faits et des prix ; il ne constitue pas un conseil juridique.

1. Le cadre juridique en trois lignes (à connaître avant de lire les tableaux)

Le règlement européen eIDAS (UE) n° 910/2014 distingue trois niveaux de signature, et cette distinction commande tout le reste :

Sources :

• Règlement (UE) n° 910/2014, texte consolidé — EUR-Lex, CELEX 32014R0910 (consulté le 2026-10-06)
• Articles 25 et 26 in extenso, copie lisible du règlement conservée en droit britannique — legislation.gov.uk, eIDAS chapter III (consulté le 2026-10-06). La rédaction des articles 25 §1, 25 §2 et 26 y est reproduite telle quelle ; EUR-Lex renvoyait une réponse vide (HTTP 202) au moment de la consultation.
• Présentation institutionnelle du règlement — Commission européenne, eIDAS Regulation (consulté le 2026-10-06)

Correction d'une idée fausse répandue. L'équivalence avec la signature manuscrite ne vient pas de l'article 25 §1 (qui est une clause de non-discrimination), mais de l'article 25 §2, réservé à la signature qualifiée. Une signature simple n'est donc pas « l'équivalent d'une signature manuscrite » : elle ne peut simplement pas être écartée au seul motif de sa forme.

Le point décisif pour une coopérative : pour des contrats simples (autorisation d'accès, adhésion, intervention), le niveau simple suffit en principe — l'article 25 §1 interdit d'écarter une signature électronique au seul motif qu'elle n'est pas qualifiée. Ce qui fait la différence en pratique, c'est ce que la coopérative pourra prouver si l'adhérent conteste avoir signé. C'est là que se joue le choix entre « gratuit » et « à valeur probante ».

2. Tableau comparatif principal

2.1 Prestataires (cloud)

2.2 Solutions libres / auto-hébergées, et signature PGP

2.3 Vérification officielle du statut « qualifié » (France)

Le catalogue officiel de l'ANSSI permet de vérifier, fournisseur par fournisseur, quels services sont qualifiés au titre d'eIDAS :

Yousign — « Yousign qualified signature », OID 1.2.250.1.302.1.16.1.0, n° 1543, du 25/09/2025 au 26/09/2027 ; « Yousign qualified seal », n° 691. Docusign — « Docusign Premium Cloud / Docusign France », n° 1352, 1351, 1876, 1898 (signature et horodatage qualifiés), valides notamment du 08/08/2025 au 08/08/2027. Universign — « AC Matérielle Universign / Cryptolog international », n° 1975, 1976, 1977, valides du 18/12/2025 au 01/12/2027. Adobe : 0 occurrence. Skribble : 0 occurrence (Skribble relève de la supervision suisse ZertES, pas de la liste française).

Source : Catalogue des produits et services certifiés, qualifiés et agréés — ANSSI / meservices.cyber.gouv.fr (PDF) (consulté le 2026-10-06). Le registre européen consolidé est consultable sur EU Trusted List Browser (consulté le 2026-10-06).

3. Recommandations

3.1 Scénario « gratuit ou presque » — auto-hébergement maîtrisé

Cible : contrats simples à faible enjeu (autorisation d'accès à un local, adhésion annuelle de faible montant), volume modéré, coopérative disposant d'un peu de compétence technique ou d'un hébergeur associatif.

Montage recommandé :

1. Documenso Community Edition, auto-hébergée — gratuite, sans limite d'usage, licence AGPL-3.0. C'est le seul des outils étudiés dont l'éditeur publie noir sur blanc le niveau eIDAS réellement atteint (SES), ce qui évite de croire à une conformité supérieure. Source : docs.documenso.com — Signature Levels ; documenso.com/self-hosted.
2. Alternative : OpenSign auto-hébergé (AGPL-3.0, gratuit) ou LibreSign (AGPL-3.0, gratuit, si la coopérative utilise déjà Nextcloud). Aucun des deux ne revendique de niveau eIDAS — ce qui est un aveu d'honnêteté, pas un défaut, pour un usage à faible enjeu.
3. Complément à coût quasi nul : signature PGP/GPG du PDF final (GnuPG, gratuit). Elle apporte une preuve d'intégrité vérifiable. Elle ne remplace pas l'identification du signataire.

Coût : 0 € de licence. Coût réel = hébergement + temps d'administration. Limite à assumer : niveau simple pour Documenso ; aucun niveau revendiqué pour OpenSign et LibreSign. La preuve du lien entre le signataire et la signature repose sur la piste d'audit de l'outil (adresse e-mail de remise, journal des accès, certificat de complétion) — utile, mais contestable. Levier peu coûteux pour renforcer ce scénario : conserver, en plus du PDF signé, la piste d'audit complète et un double canal de confirmation (e-mail + SMS ou courrier de confirmation). Cela améliore la force probante sans changer de niveau eIDAS.

3.2 Scénario « à valeur probante » — signature avancée ou qualifiée

Cible : contrats d'intervention ou engagements financiers susceptibles d'être contestés, adhérents non technophiles, besoin d'une preuve robuste et d'un tiers de confiance identifiable.

Montage recommandé :

1. Niveau avancé (AES) au meilleur coût, en France : Universign à 189 € HT pour 100 signatures (soit ~1,89 € HT la signature), avec horodatage qualifié inclus et utilisateurs illimités. Le pack de 25 signatures revient à 1,96 € HT l'unité. C'est le seul tarif public clair de cette catégorie parmi les prestataires étudiés. Source : universign.com/fr/tarifications.
2. Variante à l'acte, sans abonnement : Skribble AES 3,00 € / signature, QES 4,50 € / signature. Source : help.skribble.com — plan changes.
3. Niveau qualifié (QES) si l'enjeu le justifie : Yousign/YouTrust (service qualifié n° 1543 au catalogue ANSSI), DocuSign (QTSP UE, « Docusign France SAS », n° 1352/1351/1876/1898) ou Universign (n° 1975-1977). Ces trois-là sont vérifiables dans le catalogue officiel : c'est le critère qui doit emporter la décision, pas la plaquette commerciale.
4. Si l'on reste sur une solution libre : LibreSign accepte un certificat qualifié au format PFX et permet donc un parcours QES — mais l'éditeur précise lui-même que la conformité dépend alors « du certificat, de la vérification d'identité, de l'hébergement et du processus opérationnel ». Il faut donc acheter le certificat qualifié auprès d'un QTSP (non compris) et assumer l'ensemble de la chaîne. Source : libresign.coop/faq.

Hébergement : privilégier YouTrust (données hébergées en France : OVH, Azure Irlande, AWS Luxembourg — sous-traitants officiels) ou Universign (prestataire français). DocuSign héberge les comptes UE sur l'infrastructure UE (liste des sous-traitants) ; Skribble héberge en Suisse (security). À noter : Adobe Acrobat Sign ne peut pas être chiffré ni évalué sur son statut qualifié à partir des sources accessibles — Adobe n'apparaît pas dans le catalogue ANSSI et ne revendique pas le statut de QTSP ; la QES y dépend d'un identifiant numérique fourni par un tiers.

4. À faire valider par un avocat

Tout ce qui suit relève du droit et non de la technique. Aucun de ces points ne peut être tranché par ce rapport ni par le choix d'un logiciel.

1. Le niveau eIDAS réellement nécessaire pour chaque type de contrat. Ce rapport constate ce que les éditeurs annoncent et ce que l'ANSSI qualifie. Il ne dit pas si un contrat d'adhésion ou une autorisation d'accès exige un écrit ad validitatem ou seulement ad probationem, ni si une clause du règlement intérieur de la coopérative impose une forme particulière. C'est une question de droit des contrats et de droit des sociétés coopératives.
2. La valeur probante d'une signature de niveau simple en cas de contentieux. L'article 25 §1 interdit d'écarter une signature électronique au seul motif de sa forme, mais il ne crée aucune présomption. C'est au juge que revient l'appréciation. Le point à faire trancher : la piste d'audit produite (courriel de remise, journal des accès, certificat de complétion) suffit-elle à établir le lien entre le signataire et l'acte ?
3. L'usage de PGP/GPG dans un acte juridique. Question à ne pas trancher seul : une signature OpenPGP peut satisfaire au critère de détection des modifications de l'article 26 (d), mais les critères (a) « liée uniquement au signataire », (b) « capable d'identifier le signataire » et (c) « contrôle exclusif » supposent une gestion de clés et une vérification d'identité que PGP n'apporte pas par lui-même. Il faut aussi statuer sur la preuve de la date et sur les conséquences d'une perte de clé privée.
4. Les obligations RGPD et la qualité de responsable de traitement. En auto-hébergement, la coopérative est responsable de traitement et doit tenir son propre registre ; en cloud, elle reste responsable de traitement et l'éditeur devient sous-traitant (Documenso le formule ainsi : « You (the organisation using Documenso) determine the purposes and means of processing » — docs.documenso.com — GDPR). Il faut valider les mentions d'information, la durée de conservation et les sous-traitants ultérieurs.
5. Le transfert hors Union européenne. À valider pour tout prestataire dont les sous-traitants ou sauvegardes sortent de l'UE, et pour le recours à des prestataires d'authentification tiers (DocuSign cite par exemple TeleSign, Vonage et Prove pour l'authentification par SMS — sous-traitants).
6. La conservation à valeur probante et l'archivage. Aucun des prestataires étudiés ne garantit l'archivage à long terme au-delà de sa durée contractuelle. Le décret n° 2017-1416 et l'article 1367 du Code civil sur la présomption de fiabilité n'ont pas pu être consultés à la source le 2026-10-06 (Légifrance renvoyait « Just a moment... » / HTTP 403, et aucune copie archivée n'était disponible). Ces textes doivent être vérifiés et commentés par l'avocat, et non repris sur la foi de ce rapport.
7. Les règles propres aux coopératives. Formalisme d'adhésion, information précontractuelle, délégations de pouvoir au président ou au conseil d'administration pour signer : à valider avec les statuts sous les yeux.
8. Le sort des preuves en cas de changement de prestataire. À faire cadrer contractuellement : les PDF déjà signés restent vérifiables, mais le dossier de preuve doit être exporté et conservé par la coopérative.

5. Annexe — sources et limites

Ce qui a pu être vérifié à la source officielle : tarifs Universign, tarifs DocuSign (page e-commerce officielle), hébergement DocuSign, hébergement YouTrust, hébergement et certifications Skribble, statut qualifié au catalogue ANSSI (Yousign, DocuSign, Universign ; absence d'Adobe), tarifs Documenso, niveaux eIDAS Documenso, licence Documenso (AGPL-3.0), licence OpenSign (AGPL-3.0), licence LibreSign (AGPL-3.0), FAQ LibreSign, GnuPG / GPGME, textes eIDAS art. 25-26.

Ce qui n'a pas pu être vérifié et qui est signalé « non trouvé » :

• Tarifs publics officiels de YouTrust/Yousign (page en JavaScript, non lisible) — chiffres cités provenant d'une source tierce, à confirmer.
• Prix d'Adobe Acrobat Sign (renvoi au contact commercial en entreprise ; prix particuliers non lisibles) et localisation de ses centres de données (HTTP 403 sur les pages Adobe).
• Grille tarifaire générale de Skribble (hors édition spéciale) et prix de l'API Skribble.
• Prix de la Business Edition auto-hébergée de Documenso (« Fixed Yearly License », montant non publié).
• Prix des prestations infogérées de LibreSign (page en JavaScript).
• Niveau eIDAS revendiqué par OpenSign : aucun.
• Article 1367 du Code civil et décret n° 2017-1416 : Légifrance inaccessible le 2026-10-06.

Règle appliquée : aucune donnée n'a été extrapolée. Une case « non trouvé » vaut mieux qu'un chiffre inventé.

Aucun compte n'a été créé, aucun prestataire n'a été contacté, aucun paiement n'a été engagé, aucun serveur n'a été modifié.