Signature électronique eIDAS dans Odoo : définition et fonctionnement (SES, AES et QES)

Quand une PME commence à signer des contrats, des devis ou des bons de commande fournisseur depuis Odoo, il est facile de croire que toutes les signatures électroniques se valent. Ce n'est pas le cas. Le règlement (UE) 910/2014, dit eIDAS, définit trois niveaux de signature électronique (simple (SES), avancée (AES) et qualifiée (QES)) et un seul a, par la loi, le même effet juridique qu'une signature manuscrite dans toute l'Union européenne. Savoir lequel il vous faut pour chaque document, c'est la différence entre un accord solide et un papier qu'il vous faudra défendre vous-même s'il est contesté.

Qu'est-ce que la signature électronique eIDAS ?

eIDAS est le sigle de electronic IDentification, Authentication and trust Services. C'est le règlement (UE) nº 910/2014, en vigueur depuis juillet 2016, qui harmonise l'identification électronique et les services de confiance (signature, cachet, horodatage, envoi recommandé électronique) dans tous les États membres de l'UE. Son objectif : qu'un document signé électroniquement en Espagne ait la même reconnaissance légale en Allemagne, en France ou en Belgique, sans démarche supplémentaire. Avant eIDAS, chaque pays réglementait la signature électronique à sa façon et la reconnaissance transfrontalière était incertaine.

SES, AES et QES : la vraie différence (et pourquoi elle compte juridiquement)

Signature simple (SES)

Définie à l'article 3.10 du règlement, la SES est toute donnée sous forme électronique jointe ou associée logiquement à d'autres données électroniques, que le signataire utilise pour signer. Le seuil est très bas : un clic sur « J'accepte », un nom saisi à la fin d'un e-mail, l'image scannée d'une signature manuscrite ou une case à cocher de confirmation sont, techniquement, une signature SES. L'article 25.1 d'eIDAS dispose qu'on ne peut pas refuser d'effet juridique à une signature électronique au seul motif qu'elle est électronique : la SES est donc valable. Mais elle ne bénéficie d'aucune présomption d'authenticité : si la partie adverse conteste le document, celui qui veut le faire valoir doit prouver qui a signé et qu'il n'y a pas eu de manipulation, avec les moyens de preuve habituels (journaux, IP, e-mail de confirmation).

Signature avancée (AES)

L'article 26 d'eIDAS exige quatre conditions pour qu'une signature soit une AES : elle doit être liée au signataire de manière univoque, permettre de l'identifier, avoir été créée avec des données de signature placées sous son contrôle exclusif, et être liée au document de sorte que toute modification ultérieure soit détectable. En pratique, on y parvient en vérifiant l'identité du signataire (pièce d'identité, biométrie faciale, vérification par vidéo) avant de le laisser signer, et en générant un hash cryptographique du document. L'AES a plus de poids probatoire que la SES (identité vérifiée et preuve technique d'intégrité) mais, contrairement à la QES, le règlement ne lui accorde pas la présomption automatique d'équivalence avec la signature manuscrite : en cas de litige, c'est toujours le juge qui apprécie la preuve, avec toutefois bien meilleurs éléments qu'avec une SES.

Signature qualifiée (QES)

La QES est, selon l'article 3.12, une AES créée par un dispositif qualifié de création de signature (QSCD) et fondée sur un certificat qualifié émis par un prestataire de services de confiance qualifié (QTSP), inscrit sur la liste de confiance de son pays. C'est la seule catégorie à laquelle l'article 25.2 d'eIDAS accorde expressément « l'effet juridique équivalant à celui d'une signature manuscrite » dans toute l'UE. En pratique, cela inverse la charge de la preuve en faveur de celui qui l'utilise : en cas de contestation, c'est celui qui nie avoir signé qui doit le prouver, et non l'inverse. C'est le niveau que demandent par défaut les services juridiques et les assureurs quand le contrat a une forte valeur économique ou un risque juridique réel.

Tableau récapitulatif : SES, AES et QES

Ce que fait (et ne fait pas) Odoo Sign, la signature native

Odoo Sign, l'application de signature incluse d'origine dans Odoo, permet d'envoyer un document que le destinataire signe en dessinant son tracé à la souris ou au doigt, en saisissant son nom, ou simplement en acceptant d'un clic, et il est archivé dans le chatter de l'enregistrement. C'est rapide, gratuit et parfaitement valable comme SES : il respecte l'article 25.1 d'eIDAS. Ce qu'il ne fait pas, c'est vérifier l'identité du signataire à partir d'un document officiel ni émettre un certificat qualifié ; il ne peut donc produire ni AES ni QES par lui-même. Pour des accusés de réception, des conditions internes ou des documents à faible risque, c'est suffisant. Pour un contrat de distribution, un accord de collaboration portant sur un montant important, ou tout document dont la partie adverse pourrait contester l'auteur, ça ne l'est pas.

La plupart des connecteurs de signature pour Odoo s'arrêtent aussi à la SES

La même limite se retrouve dans une grande partie des connecteurs de signature qui existent pour Odoo : ils encapsulent une intégration avec un fournisseur externe, mais le niveau réel de signature qu'ils délivrent reste la SES (clic pour signer) ou, avec un peu de chance, une AES basique avec vérification par e-mail ou SMS. Émettre une vraie QES exige ce que la plupart des connecteurs n'intègrent pas : un accès direct à un prestataire de services de confiance qualifié (QTSP) inscrit sur la Trusted List de l'UE, avec les méthodes d'identification que ce QTSP exige pour émettre le certificat qualifié. Sans cela, aussi soignée que soit l'intégration, le plafond juridique reste celui d'Odoo Sign natif.

Le vrai connecteur de FlexigoTech avec e-Signature.eu : une vraie QES dans Odoo

FlexigoTech a développé, avec l'équipe d'e-Signature.eu (VisitOnWeb SRL, Belgique (Bruno Biemans et Dimitri), un vrai connecteur pour Odoo 17, 18 et 19 qui permet d'envoyer n'importe quel document de l'ERP)devis, contrat, facture, bon de commande fournisseur : à la signature eIDAS en choisissant le niveau exact dont vous avez besoin : SES, AES ou QES, sans quitter Odoo. Le signataire s'identifie avec la méthode correspondant à chaque niveau et à chaque pays : itsme® ou Evrotrust pour la QES, vérification par vidéo avec Veriff pour l'AES, ou code OTP par SMS pour la SES.

Le connecteur est publié sur l'App Store d'Odoo pour 149 € en paiement unique (Odoo 17, 18 et 19). Le prix par signature est fixé par e-Signature.eu selon le niveau et la méthode choisis, et se paie à l'usage, sans abonnement : vous ne payez que les signatures que vous envoyez réellement.

Ce qu'il vous faut pour avoir une vraie signature qualifiée dans Odoo

• Installer l'e-Signature.eu Connector depuis l'App Store d'Odoo (149 €, paiement unique, Odoo 17 à 19).
• Créer un compte sur e-Signature.eu (VisitOnWeb) : sans abonnement, paiement par signature envoyée.
• Choisir le niveau de signature (SES, AES ou QES) directement depuis le document Odoo, avant de l'envoyer.
• Le signataire s'identifie avec itsme®, Evrotrust, Veriff ou un code OTP, selon le niveau choisi.
• Le document signé, le certificat et la preuve (horodatage inclus) sont archivés automatiquement dans Odoo.

Quand utiliser chaque niveau : guide pratique

En pratique, la plupart des entreprises n'ont pas besoin de la QES pour tout : utiliser la QES pour un accusé de réception interne, c'est dépenser trop. La logique qui fonctionne est la suivante : SES pour les documents à faible risque (confirmations internes, accusés de réception, conditions déjà négociées par un autre canal) ; AES pour les contrats commerciaux standard entre entreprises où il est utile d'avoir une identité vérifiée mais sans risque juridique extrême ; et QES pour tout ce qui a une forte valeur économique, pour les contrats avec des contreparties qui exigent le niveau de garantie maximal, ou pour tout document pour lequel, s'il finit en litige, vous voulez la charge de la preuve de votre côté. Une nuance honnête : la QES ne remplace pas les actes que la loi exige de passer en acte authentique devant notaire (par exemple, une vente immobilière en Espagne) ; pour cela, il faut toujours un notaire, quel que soit le niveau de signature électronique.

Liens utiles chez FlexigoTech

Questions fréquentes

Ce que nous faisons à ce sujet