Publié par : Anaëlle Quivrin-Tessier — Rédactrice spécialisée en informatique
Pour signer électroniquement un marché public, il faut une solution produisant au minimum une signature avancée reposant sur un certificat qualifié. Une clé USB n’est pas nécessairement obligatoire, et la signature n’est pas systématiquement demandée au dépôt de l’offre. Avant tout achat, vérifiez le règlement de consultation, le moment où vous devrez signer et la compatibilité avec le profil acheteur.
Déposer une offre et signer le marché sont deux étapes distinctes
Le dépôt électronique d’un dossier ne signifie pas automatiquement que chaque document doit être signé électroniquement. Les pièces de candidature, l’offre et le contrat répondent à des exigences différentes. Le premier réflexe consiste donc à lire le règlement de consultation et les instructions de la plateforme pour identifier quels documents signer, par qui et à quel moment.
Lorsque la signature n’est pas exigée au dépôt, vous pouvez transmettre votre offre sans disposer immédiatement d’un certificat. Il reste prudent d’anticiper son acquisition : si votre entreprise devient attributaire, vous devrez être prêt à signer le contrat selon les modalités prévues par l’acheteur.
Le cadre applicable repose notamment sur l’article R. 2182-3 du code de la commande publique et l’arrêté du 22 mars 2019 relatif à la signature électronique des contrats de la commande publique. La DAJ rappelle également, à propos d’une décision du Conseil d’État, que la signature électronique par l’attributaire n’implique pas systématiquement le même mode de signature pour l’acheteur. Cette précision ne dispense pas de respecter les instructions de votre consultation.
Enfin, identifiez le bon signataire avant de commander : le certificat est rattaché à une personne physique. Son titulaire doit être le représentant légal ou une personne habilitée à engager l’entreprise. Un certificat valide ne prouve pas, à lui seul, le pouvoir de signer pour la société.
Choisir un certificat qualifié sans confondre les niveaux de signature
Le certificat identifie, la signature engage sur un document
Un certificat de signature électronique associe des données de validation de signature à une personne physique et confirme son identité selon les conditions prévues par le règlement eIDAS n° 910/2014 du 23 juillet 2014. Il ne faut pas le confondre avec un simple certificat d’authentification : pouvoir se connecter à un service ne signifie pas pouvoir signer un contrat avec le niveau requis.
La signature électronique résulte de l’utilisation de ce certificat avec un dispositif et un logiciel adaptés. Elle permet de relier le signataire au document, de manifester son consentement et de détecter une modification du fichier signé. Une image de signature manuscrite collée dans un PDF ne remplit pas ces fonctions cryptographiques.
Le minimum réglementaire et la signature qualifiée
Le règlement eIDAS distingue les signatures simples, avancées et qualifiées. Pour la signature électronique des contrats de la commande publique, l’arrêté du 22 mars 2019 prévoit au minimum une signature avancée reposant sur un certificat qualifié. Une signature simple n’est donc pas suffisante pour satisfaire cette exigence.
La signature électronique qualifiée ajoute notamment l’utilisation d’un dispositif de création de signature qualifié. Acheter un certificat qualifié ne garantit donc pas, à lui seul, que chaque signature produite sera qualifiée : toute la solution doit correspondre au niveau annoncé. Demandez au fournisseur de préciser explicitement le niveau obtenu avec son offre.
Concernant le RGS, les règles transitoires ont permis l’utilisation des certificats délivrés conformément à l’arrêté du 15 juin 2012 jusqu’à leur expiration, lors du passage au cadre eIDAS évoqué au 1er octobre 2018. Cette disposition historique ne constitue pas un critère d’achat actuel : pour une nouvelle acquisition, recherchez un certificat qualifié eIDAS adapté.
Obtenir sa solution : prestataire, support et coût réel
Les certificats qualifiés sont délivrés par des prestataires de services de confiance qualifiés. L’ANSSI n’en délivre pas. Sa liste des produits et services qualifiés permet de repérer les services concernés ; les listes de confiance européennes constituent également un repère pour vérifier la qualification. Contrôlez le service précis proposé, plutôt que la seule réputation commerciale du fournisseur.
Pour obtenir votre certificat, demandez au prestataire les justificatifs d’identité et d’entreprise nécessaires, les modalités de vérification du titulaire, puis les étapes de remise et d’activation. Les procédures et les délais varient : faites-les confirmer avant de vous engager, surtout si une échéance de signature approche.
| Support ou solution | Point d’attention pratique |
|---|---|
| Clé USB cryptographique | Vérifier les pilotes, les ports disponibles et la compatibilité avec le poste utilisé. |
| Carte à puce | Prévoir un lecteur compatible et les composants logiciels nécessaires. |
| Solution logicielle ou à distance | Faire confirmer le niveau de signature produit, les modalités d’authentification et l’acceptation par la plateforme. |
Le support n’est donc pas le critère décisif. Une offre dématérialisée n’est pas automatiquement conforme, pas plus qu’une clé physique ne garantit à elle seule une signature qualifiée. Vérifiez l’ensemble certificat, dispositif et outil de signature.
Comparez aussi le coût total : délivrance, support éventuel, logiciel, assistance et renouvellement. Un montant d’environ 270 euros HT a été mentionné par marche-public.fr, mais sans périmètre suffisamment détaillé pour servir de tarif de référence. Demandez un devis précisant la durée de validité, les prestations incluses et les conditions de remplacement ou de révocation en cas de perte.
Faire fonctionner ensemble certificat, logiciel et format
La signature repose sur un rouage souvent sous-estimé : la continuité entre le poste du signataire et l’outil de contrôle de l’acheteur. Un certificat conforme peut produire un fichier difficile à vérifier si le logiciel exporte un format inadapté ou si une pièce de signature séparée manque au dépôt. Testez donc toute la chaîne, jusqu’à la vérification du fichier final, et pas seulement la détection de votre clé USB.
Le logiciel doit accepter votre certificat et produire un format compatible avec les exigences de la consultation. Les trois formats à connaître sont les suivants :
- PAdES : adapté aux documents PDF, avec une signature intégrée au fichier.
- XAdES : associé aux documents et structures XML.
- CAdES : adapté à des données numériques, avec notamment des usages de signature détachée.
Pour un acte d’engagement en PDF, PAdES est souvent pratique, sous réserve des instructions applicables. Si la signature est détachée, conservez et transmettez le document ainsi que le fichier de signature associé. Ne présumez pas qu’un simple PDF portant une marque visible est correctement signé : une signature valide peut aussi être invisible à l’ouverture.
Vérifiez enfin les prérequis du profil acheteur : système d’exploitation, navigateur, droits d’installation, pilotes et logiciel. Windows, macOS ou Linux ne garantissent pas une compatibilité universelle. Utilisez les fonctions de test de la plateforme lorsqu’elles existent, suffisamment tôt pour solliciter l’assistance.
Contrôler le fichier signé avant son envoi
L’acheteur peut vérifier l’identité du signataire, la catégorie du certificat, le format, la validité du certificat à la date de signature et l’intégrité du document. Le profil acheteur peut automatiser une partie de ces contrôles. Une alerte doit être examinée avant le dépôt, sans supposer qu’elle sera résolue par le destinataire.
- Confirmez les pièces à signer et l’habilitation du titulaire du certificat.
- Contrôlez l’expiration du certificat et son éventuelle révocation.
- Finalisez le document avant de lancer la signature.
- Vérifiez la signature produite avec l’outil prévu ou accepté par la plateforme.
- Déposez tous les fichiers nécessaires et conservez l’accusé de réception.
Ne modifiez plus le document après signature. Une correction, une conversion ou une recomposition du PDF peut compromettre la vérification de son intégrité. Si le contenu doit changer, repartez du document corrigé et signez-le à nouveau. Enfin, signer et déposer sont deux opérations différentes : une signature réussie ne prouve pas que votre dossier a été transmis dans les délais.
