Une distinction que peu d'acteurs prennent la peine d'expliquer

Sur le marché de la preuve numérique, on entend souvent les termes "RFC 3161" et "eIDAS qualifié" employés comme s'ils désignaient la même chose, ou comme des synonymes de fiabilité maximale. Ce n'est pas le cas. Ce sont deux notions distinctes : l'une est un protocole technique, l'autre est un statut juridique européen à deux niveaux. Comprendre la différence n'est pas un exercice académique. Elle détermine ce qui se passe concrètement le jour où un horodatage est contesté devant un tribunal ou un expert. Cet article fait le point de manière factuelle, y compris sur la position actuelle de ChronoCert.

RFC 3161 : un protocole standardisé, pas un label juridique

RFC 3161 est une norme publiée par l'IETF qui décrit le fonctionnement du Time-Stamp Protocol : une empreinte cryptographique du fichier (un hash) est envoyée à un tiers de confiance appelé TSA (Time Stamping Authority), qui retourne un jeton signé attestant que cette empreinte existait à un instant précis. C'est un mécanisme technique robuste et largement adopté dans l'industrie du logiciel, de la signature électronique et de l'archivage.

Mais RFC 3161 ne dit rien, en soi, du statut juridique de l'autorité qui émet le jeton. N'importe quelle organisation peut déployer une TSA conforme à la norme. Ce qui varie, c'est le niveau de contrôle, d'audit et d'accréditation qui entoure cette autorité, et c'est précisément ce que le règlement eIDAS vient encadrer.

eIDAS distingue deux niveaux d'horodatage, pas un seul

Le règlement européen eIDAS organise deux catégories d'horodatage électronique. Le premier niveau est l'horodatage électronique standard (ou simple) : il est recevable comme élément de preuve, et l'article 41.1 du règlement précise qu'un effet juridique ne peut pas lui être refusé au seul motif qu'il est électronique ou qu'il n'est pas qualifié.

Le second niveau est l'horodatage électronique qualifié. Il est émis par un prestataire de services de confiance qualifié (QTSP), un statut accordé après un audit exigeant portant sur les moyens techniques, la gouvernance, la sécurité des clés et la continuité du service. Ce niveau supplémentaire n'est pas qu'un label : il produit un effet juridique spécifique, détaillé dans la section suivante.

La différence concrète : qui doit prouver quoi en cas de litige

C'est le point le plus souvent mal compris. L'horodatage qualifié bénéficie d'une présomption légale d'exactitude de la date et de l'heure qu'il indique, ainsi que de l'intégrité des données horodatées. En pratique, cela signifie que si une partie souhaite contester la validité d'un horodatage qualifié, c'est à elle d'apporter la preuve contraire : la charge de la preuve est inversée en faveur de celui qui produit l'horodatage.

Un horodatage standard, lui, reste recevable comme preuve : un juge peut parfaitement s'appuyer dessus. Mais il n'y a pas de présomption automatique. Le juge apprécie librement la valeur probante de l'élément, au regard du contexte, de la méthode utilisée et des éléments complémentaires apportés (journal des événements, documentation technique, cohérence des horodatages entre eux).

Où se situe ChronoCert aujourd'hui

ChronoCert délivre aujourd'hui un horodatage RFC 3161 standard. L'intégration technique d'un horodatage eIDAS qualifié est prête côté ChronoCert : le circuit qui permettrait de faire signer une empreinte par un prestataire qualifié est développé et testé. Son activation reste conditionnée à la souscription du service chez le prestataire qualifié, une étape commerciale, pas un chantier technique à construire.

Tant que cette souscription n'est pas active, les horodatages délivrés restent au niveau standard : recevables comme élément de preuve, sans la présomption légale réservée au niveau qualifié. Nous préférons le dire clairement plutôt que de laisser planer une ambiguïté sur un point qui peut avoir un impact réel en cas de contentieux.

Ce qu'il faut retenir avant de choisir un horodatage

Deux questions permettent de s'y retrouver face à n'importe quel prestataire d'horodatage. D'abord, s'agit-il d'un horodatage conforme à RFC 3161 émis par une autorité quelconque, ou par un prestataire qualifié au sens eIDAS ? Ensuite, en cas de contestation, qui devra apporter la preuve : celui qui conteste, ou celui qui produit l'horodatage ?

Pour beaucoup d'usages courants (suivi de chantier, constat photographique, preuve d'antériorité dans un contexte non contentieux à haut risque), un horodatage standard recevable, combiné à une chaîne de hachage et une documentation technique solide, apporte déjà une base sérieuse. Pour des enjeux où la charge de la preuve peut faire basculer une décision, le niveau qualifié reste la référence. L'important est de savoir exactement où l'on se situe, et c'est ce que nous cherchons à rendre lisible ici.