L’horodatage est la technique qui atteste qu’un document numérique existait à un instant précis et qu’il n’a pas été modifié depuis.
En droit, cette certitude fait la différence entre une preuve solide et un document qu’un juge peut remettre en question.
Nous expliquons ici comment ça fonctionne, ce que disent eIDAS et la loi espagnole 6/2020, quand il est obligatoire et comment les communications certifiées de Legalpin intègrent des horodatages qualifiés qui renforcent la valeur probatoire de chaque envoi.
Qu’est-ce que l’horodatage et comment fonctionne-t-il
Un horodatage (timestamp) lie cryptographiquement un document ou une donnée numérique à une date et une heure exactes, émises par une Autorité d’Horodatage (TSA, Time Stamping Authority).
Le processus technique, défini dans le RFC 3161, se comprend en trois étapes.
Premièrement, on calcule le hash (empreinte numérique) du document. Deuxièmement, ce hash est envoyé à la TSA. Troisièmement, la TSA renvoie une réponse signée contenant le hash et la marque de temps, garantissant que le contenu n’a pas changé d’un seul bit depuis ce moment.
Différence entre horodatage simple et cachet qualifié
Un horodatage simple peut être généré par n’importe quel système ou serveur : il enregistre la date, mais n’offre pas de garanties juridiques solides car il ne provient pas d’une autorité de confiance reconnue.
Un horodatage qualifié est émis par un Prestataire de Services de Confiance Qualifié (PSCQ) inscrit sur la liste de confiance européenne (ETSI EN 319 421).
La différence est juridique : le cachet qualifié bénéficie d’une présomption d’exactitude de la date et d’intégrité de la donnée devant les tribunaux de l’Union européenne.
| Caractéristique | Horodatage simple | Cachet qualifié |
|---|---|---|
| Émetteur | N’importe quel système | PSCQ sur liste de confiance UE |
| Cadre normatif | Aucune réglementation spécifique | eIDAS Art. 41-42, ETSI EN 319 421 |
| Présomption légale | Aucune automatique | Oui, devant les tribunaux européens |
| Usage recommandé | Audit interne | Preuve en contentieux, conformité |
| Validité transfrontalière | Limitée | Reconnue dans toute l’UE |
Cadre juridique : eIDAS et la loi 6/2020 en Espagne
Le Règlement eIDAS (UE 910/2014) réglemente les cachets électroniques qualifiés dans ses articles 41 et 42.
L’article 41 établit qu’un horodatage qualifié ne peut pas être refusé comme preuve dans des procédures judiciaires ou administratives au seul motif qu’il est sous forme électronique.
En Espagne, la loi 6/2020 sur les services de confiance complète eIDAS et fixe le cadre des prestataires nationaux qualifiés supervisés par le Ministère des Affaires économiques.
Ce qu’atteste exactement un horodatage qualifié
Un horodatage qualifié atteste trois choses simultanément et de façon vérifiable.
Que le document existait à la date et à l’heure indiquées. Que le contenu n’a pas changé depuis cet instant (intégrité). Que la source temporelle provient d’un système de temps fiable (généralement synchronisé avec l’UTC via les laboratoires nationaux de métrologie).
Cette triple attestation transforme le cachet en argument probatoire très difficile à contester devant un tribunal.
Quand est-il obligatoire et quand est-il conseillé
La réglementation exige un horodatage qualifié dans des scénarios précis : facturation électronique pour certains cas, dossiers judiciaires électroniques, registres de marchés publics et systèmes où la date de dépôt détermine des droits ou des délais.
Au-delà de l’obligation légale, il est conseillé lorsque le risque de contentieux est élevé ou lorsque le destinataire peut nier avoir reçu une communication à une date donnée.
Les contrats de services longue durée, les préavis de résiliation, les réclamations d’impayés et les notifications disciplinaires sont des cas où le cachet temporel renforce la position probatoire de l’expéditeur.
Trois situations où l’absence d’horodatage crée un risque réel
Un contrat signé numériquement sans cachet qualifié peut être contesté si l’autre partie allègue que la signature n’existait pas avant une date clé.
Un accusé de réception sans marque de temps fiable prouve seulement que le message est arrivé, pas quand ; dans les délais de prescription ou de forclusion, ce détail est déterminant.
Une communication interne sur des décisions d’entreprise sans horodatage ne peut pas protéger la société si un salarié conteste la séquence chronologique des faits.
Horodatage dans les communications certifiées
Chez Legalpin, chaque email certifié et chaque buromail incluent un horodatage soutenu par un PSCQ.
Le dossier que nous générons contient le hash du message, l’horodatage et la signature du prestataire qualifié, formant un ensemble de preuves qui peut être présenté directement dans une procédure sans expertise supplémentaire.
L’API Legalpin permet d’intégrer l’horodatage dans des flux automatisés : plateformes de contrats, CRM, systèmes de gestion documentaire ou outils de recouvrement qui ont besoin d’attester quand chaque notification a été envoyée.
Horodatage et signature électronique : comment ils se complètent
La signature électronique atteste l’identité du signataire et son intention d’accepter un document.
L’horodatage atteste quand ce document signé existait et qu’il n’a pas été modifié depuis.
Les combiner, comme Legalpin le permet dans ses flux notification puis signature, crée un dossier où ni l’identité, ni le contenu, ni la date ne peuvent être contestés indépendamment.
Checklist pour un dossier à intégrité temporelle documentée
Utilisez un PSCQ de la liste de confiance européenne pour émettre les cachets, pas une solution interne sans audit externe.
Conservez le token RFC 3161 complet, pas seulement la date visible ; le token contient le hash et la signature qui permettent la vérification indépendante des années plus tard.
Liez le cachet au document spécifique : un cachet de session générique ne protège pas un document particulier de la même façon qu’un cachet sur le hash exact du fichier.
Documentez la chaîne de conservation : qui a envoyé, à quel système, quand le token a été reçu et où le dossier est stocké. Cette traçabilité est ce qui convainc les tribunaux.
Appliquez le SMS certifié comme canal parallèle lorsque le destinataire est plus réactif sur mobile : l’horodatage couvre aussi l’envoi SMS, fermant le dossier par double canal.
Certifiez la date, le contenu et la remise
- Horodatage et traçabilité probatoire complète
- Email, buromail et SMS certifiés
- Signature électronique dans le même parcours
Questions fréquentes
Un horodatage qualifié est-il la même chose qu’une signature électronique qualifiée ?
Non : ce sont deux services de confiance distincts sous eIDAS.
La signature qualifiée identifie le signataire et engage sa volonté. Le cachet qualifié atteste la date et l’intégrité de la donnée sans avoir besoin d’identifier une personne signataire. Ils peuvent être utilisés ensemble ou séparément selon le cas.
Quelle est la durée de validité d’un horodatage ?
Le cachet lui-même n’expire pas, mais le certificat de la TSA qui l’a signé a une durée de vie. Pour des dossiers de longue durée, la pratique recommandée est de renouveler le cachet avant l’expiration du certificat émetteur, en appliquant un nouveau cachet sur l’ensemble du dossier précédent.
Puis-je utiliser l’horodatage de mon serveur interne lors d’un contentieux ?
Avec difficulté : un serveur interne n’est pas une autorité de confiance reconnue, donc la partie adverse peut contester la fiabilité de la source temporelle. Pour une preuve avec toutes les garanties, utilisez un PSCQ de la liste de confiance de l’UE.
L’horodatage protège-t-il contre la falsification du contenu ?
Oui, avec une nuance : le cachet protège le hash du document au moment du cachetage. Si le document original est modifié après, le hash ne correspondra plus et le cachet le révélera. Mais si le document a été falsifié avant le cachetage, le cachet certifie l’existence de cette version falsifiée, pas de l’original.
Legalpin utilise-t-il des horodatages dans tous ses services certifiés ?
Oui : aussi bien l’email certifié que le buromail et le SMS certifié incluent un horodatage soutenu par des prestataires de confiance qualifiés. Le dossier que génère Legalpin peut être présenté directement dans des procédures judiciaires ou administratives comme preuve d’envoi, de contenu et de date.
Information de caractère général ; ceci ne constitue pas un conseil juridique individualisé.
