RFC 3161 vs eIDAS qualifié : où en est vraiment l'horodatage électronique en France

Une distinction que peu d'acteurs prennent la peine d'expliquer

Sur le marché de la preuve numérique, « RFC 3161 » et « eIDAS qualifié » sont souvent employés comme s'ils désignaient la même chose, ou comme des synonymes de fiabilité maximale. Ce n'est pas le cas. L'un est un protocole technique, l'autre un statut juridique européen à deux niveaux. Comprendre la différence n'est pas un exercice académique : elle détermine qui devra prouver quoi, le jour où un horodatage est contesté devant un tribunal ou un expert. Cet article fait le point, y compris sur ce que ChronoCert vous propose.

RFC 3161 : un protocole standardisé, pas un label juridique

RFC 3161 est une norme publiée par l'IETF qui décrit le Time-Stamp Protocol : l'empreinte cryptographique du fichier (un hash) est envoyée à un tiers de confiance, la TSA (Time Stamping Authority), qui renvoie un jeton signé attestant que cette empreinte existait à un instant précis. C'est un mécanisme robuste, largement adopté dans le logiciel, la signature électronique et l'archivage.

Mais RFC 3161 ne dit rien, en soi, du statut juridique de l'autorité qui émet le jeton. N'importe quelle organisation peut déployer une TSA conforme à la norme. Ce qui varie, c'est le niveau de contrôle, d'audit et d'accréditation qui entoure cette autorité, et c'est précisément ce que le règlement eIDAS encadre.

eIDAS distingue deux niveaux d'horodatage, pas un seul

Le règlement européen eIDAS organise deux catégories d'horodatage électronique. Le premier niveau est l'horodatage standard (ou simple) : il est recevable comme élément de preuve, et l'article 41.1 du règlement précise qu'un effet juridique ne peut pas lui être refusé au seul motif qu'il est électronique ou qu'il n'est pas qualifié.

Le second niveau est l'horodatage qualifié. Il est émis par un prestataire de services de confiance qualifié (QTSP), un statut accordé après un audit exigeant sur les moyens techniques, la gouvernance, la sécurité des clés et la continuité du service. En France, c'est l'ANSSI qui qualifie, et le prestataire est inscrit sur la liste de confiance européenne. Ce niveau n'est pas qu'un label : il produit un effet juridique spécifique.

La différence concrète : qui doit prouver quoi en cas de litige

C'est le point le plus souvent mal compris. L'horodatage qualifié bénéficie d'une présomption légale d'exactitude de la date et de l'heure qu'il indique, et de l'intégrité des données horodatées (article 41.2). Si une partie veut contester un horodatage qualifié, c'est à elle d'apporter la preuve contraire. Autrement dit : c'est à l'adversaire de prouver que la date est fausse, pas à vous de prouver qu'elle est vraie.

Un horodatage standard, lui, reste recevable : un juge peut parfaitement s'appuyer dessus. Mais il n'y a pas de présomption automatique. Le juge apprécie librement la valeur de l'élément, au regard du contexte, de la méthode et des pièces complémentaires (journal des événements, documentation technique, cohérence des horodatages entre eux). D'où l'importance d'un dossier de preuve complet autour du jeton.

Ce qu'il faut retenir avant de choisir un horodatage

Deux questions suffisent face à n'importe quel prestataire. D'abord, s'agit-il d'un horodatage RFC 3161 émis par une autorité quelconque, ou par un prestataire qualifié au sens eIDAS ? Ensuite, en cas de contestation, qui devra apporter la preuve : celui qui conteste, ou celui qui produit l'horodatage ?

Pour beaucoup d'usages courants (suivi de chantier, photo datée, antériorité dans un contexte peu contentieux), un horodatage standard par un tiers, combiné à un dossier de preuve documenté, apporte déjà une base sérieuse. Pour les enjeux où la charge de la preuve peut faire basculer une décision, le niveau qualifié est la référence. L'important est de savoir exactement où l'on se situe.

Où se situe ChronoCert

ChronoCert inclut sur toutes ses formules un horodatage eIDAS standard, délivré par une autorité d'horodatage indépendante. La date n'est pas la nôtre, c'est celle d'un tiers. Et sur chaque formule payante, vous pouvez activer au mois l'horodatage qualifié eIDAS : votre fichier est alors horodaté par un prestataire qualifié par l'ANSSI, inscrit sur la liste de confiance européenne, et votre scellement monte d'un cran sans rien changer à votre façon de travailler. Chaque pièce a son certificat et se vérifie en ligne sur chronocert.fr, sans compte. Dans les deux cas, nous vous disons clairement lequel vous avez, parce que c'est ce qui compte le jour où quelqu'un conteste.