Vérifier si un PDF a été modifié
Qu’un PDF ait été modifié après la signature ne se prouve que de deux façons : par une signature intégrée au fichier, ou par la comparaison avec une version conservée ailleurs. Toute personne qui reçoit un document canusign peut le vérifier des deux façons, sans compte, et le fichier ne quitte pas l’appareil.
Ce que montrent les métadonnées, et ce qu’elles ne montrent pas
Un PDF contient des informations comme la date de création, la date de modification et le logiciel qui l’a produit. Elles figurent dans les propriétés du document de votre lecteur PDF. Ce sont des indices, pas des preuves : qui modifie le fichier peut les changer ou les supprimer sans difficulté.
Ce qui vaut preuve
- Une signature intégrée au fichier : Adobe Acrobat Reader affiche l’état de chaque signature dans son panneau des signatures, et Microsoft Edge peut aussi afficher et valider les signatures par certificat dans les PDF. Une signature collée sous forme d’image n’en fait pas partie.
- La comparaison avec une version conservée : si l’empreinte du fichier correspond à celle d’une version détenue par un tiers indépendant, il s’agit du même fichier, octet par octet.
Par l’identifiant du document
Chaque PDF signé porte un identifiant de document sur chaque page et dans le certificat d’audit. Saisissez-le sur la page de vérification ou scannez le QR code du certificat. La page indique qui a signé et quand, ainsi que l’empreinte de la version conservée.
Par le fichier
Sur la page de résultat, déposez le PDF dans la zone prévue. Le navigateur calcule lui-même l’empreinte et la compare à la version conservée chez canusign. Le fichier n’est pas envoyé.
Dans Adobe Acrobat
L’horodatage provient de DigiCert selon la RFC 3161 et est intégré avec DSS et LTV. Acrobat l’affiche dans les propriétés de la signature et le signale comme approuvé.
Les PDF qui ne viennent pas de canusign
La page de vérification ne connaît que les documents signés avec canusign. Elle ne peut pas vérifier un PDF quelconque. Si le PDF porte une signature, vérifiez-la dans Acrobat Reader. Si vous avez conservé une copie, comparez les empreintes des deux fichiers : sur Mac dans le Terminal avec shasum -a 256 fichier.pdf, sous Windows dans PowerShell avec Get-FileHash fichier.pdf. Sans signature ni version conservée, une modification ne peut pas être prouvée.
Ce que la vérification ne montre pas
Elle prouve que le fichier n’a pas changé depuis la signature et quand il a été signé. Elle ne prouve pas l’identité des signataires : canusign produit une signature électronique simple selon eIDAS, valable là où la loi n’exige pas la forme écrite.