Esup-Signature est une application web qui propose un espace utilisateur permettant :
d’envoyer des documents à la signature
de signer
de démarrer des processus prédéfinis
L'outil prend en charge les fonctions suivantes :
Vous pourrez retrouver des informations sur cette présentation faite aux Esup Days : https://www.esup-portail.org/wiki/download/attachments/813400065/ED29_AP2020--04-ESUP_signature.pdf?version=2&modificationDate=1580911121000&api=v2
OUI.
Esup-Signature est une application indépendante de l'ENT EsupPortail.
Esup-Signature est soutenu par le consortium EsupPortail. Il est distribué sous license open sources Apache v2 (et donc gratuitement)
Esup-Signature est développé en Java / Spring Boot. Le stockage des données et des documents est assuré par PostgreSQL.
Les signatures électroniques ainsi que leurs validations sont prises en charge par la bibliothèque DSS Signature de la Commission Européenne, voir :
https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/DSS+releases
La documentation de DSS Signature est disponilble ici : https://ec.europa.eu/digital-building-blocks/DSS/webapp-demo/doc/dss-documentation.html
L'horodatage des signatures électroniques est assuré par un serveur dont l'adresse est configuré, par défaut, avec le service proposé par la Belgique et présent d'origine dans le projet DSS Signature.
http://tsa.belgium.be/connect
Attention toutefois, ce service est limité à 100 jetons par jours.
Voici une liste de services de timestamps gratuits disponibles (attention, certains ont des restriction d'utilisation) : https://gist.github.com/Manouchehri/fd754e402d98430243455713efada710
Il est, bien sûr, possible d'utiliser un autre service en modifiant l'adresse dans la configuration. Plus de détails ici : Configuration#dss
La conversion des documents est faite via Ghostscript. L'affichage et la manipulation des PDF sont assurés par PDF.js et PDFBox
La signature électronique est un sujet hautement d'actualité, encore plus depuis la crise sanitaire qui a mis en exergue les avantages de la dématérialisation des procédures de parapheurs classiques.
Aussi, beaucoup d'établissements sont intéressés par esup-signature et souhaiteraient une présentation de la solution.
Solution libre, esup-signature propose dès maintenant quelques documentations en libre accès, et son installation est possible dès aujourd'hui.
Pour ce qui est d'une présentation fonctionnelle, vous pouvez :
Esup-Signature est en production à l’université de Rouen Normandie depuis avril 2020. La crise sanitaire aidant, en l'espace de 2 mois ce sont près de 2000 documents qui ont été signés via cette application.
Lors de cette première phase de mise en production, les documents qui ont été signés par cette application sont les documents courants signés simplement habituellement sous format papier et ne demandant pas une validité juridique forte (pas d'actes juridiques, pas de documents susceptibles d'être contestés par recours, ...).
Ainsi ont été signés de manière dématérialisée via esup-signature des déclarations de déplacements, bons de commandes, entretiens professionnels, demandes de congés, justificatifs, ...
Actuellement plusieurs établissements utilisent esup-signature en production. Certains d'entre eux signent leurs marchés publiques à l'aide de clés cryptographiques.
Si vous mettez en œuvre un projet de signature électronique dans votre établissement de l'ESR, choisir Esup-Signature peut être une option.
L'offre sur le marché est de plus en plus riche, chaque solution met en avant ses possibilités techniques avancées de signatures, l'argument phare d'actualité étant le respect du règlement eIDAS.
Sont disponibles ainsi des solutions (en SaaS ou non) telles que (liste non exhaustive) : i-Parapheur, DocaPost, YouSignOn, DocuSign, CertSign, HelloSign, EchoSign, RightSignature, SignNow, Universign, Oodrive, Tessi, EchoSign, AdobeSign, ...
Le choix peut être difficile. Il faut cependant (re)considérer l'usage que l'on souhaite faire. Que souhaite-t-on signer ? Que doit-on signer dans l'établissement avec une signature conforme à eIDAS ?
La mise en œuvre d'une signature conforme eIDAS est lourde (en terme de matériel, certificat, archivage) et donc coûteuse. Mais elle ne doit être considérée que pour les actes qui le requièrent, c'est à dire pour une part minime de l'ensemble des actes de signatures réalisés dans un établissement et par peu d'agents !
Notez que (même si Esup-Signature le permet grâce à DSS) ce type de signature très pointue ne nécessite cependant pas forcément un outil supplémentaire aux outils que vous utilisez quotidiennement ! Une signature de ce type peut être mise en place directement avec le logiciel Adobe Reader : https://helpx.adobe.com/fr/sign/using/digital-signatures.html
Si les aptitudes à permettre d'être conforme juridiquement à la réglementation en vigueur sont intéressantes, un outil de signature doit aussi (surtout ?) permettre, par sa souplesse et son agilité, de s'intégrer dans votre établissement et de répondre aux besoins fonctionnels en matière de parapheur.
Par rapport aux solutions du marché, Esup-Signature a par construction plusieurs avantages :
Actuellement le choix d'Esup-Signature implique cependant un investissement humain, sans accompagnement d'un prestataire de service vendant une solution générique et clef en main.
Le projet esup-signature fait parti de l'incubateur Esup. À ce titre il est distribué par le consortium ESUP-Portail avec les assurances minimales suivantes :
Esup-Signature permet de signer tout type de document, l'usage du format pdf est très recommandé, ce pour des questions d'archivage, de standardisation, du support natif de la technologie de signature et horodatage.
Esup-Signature intègre la solution DSS de la Commission Européenne qui est l'implémentation de référence pour proposer des signatures électroniques respectant le règlement eIDAS (electronic IDentification, Authentification and trust Services). Établi en juillet 2014, c'est ce règlement qui fixe techniquement les conditions de validité des signatures électroniques dans l'Union Européenne et donc en France ( https://fr.wikipedia.org/wiki/Electronic_identification_and_trust_services ).
Configuré en ce sens, allié à des certificats électroniques avancés spécifiques (et nécessitant des clefs électroniques via périphériques matériels) Esup-Signature peut permettre de signer des documents à valeur juridique forte au même titre que les solutions du marché qui sont spécialisées sur ces aspects de signatures juridiquement incontestables (avec archivage en sus).
Cependant, la grande majorité des documents signés dans nos établissements par la majorité des agents ne nécessite pas un niveau de sécurité aussi élevé.
Ces signatures (ou visas) demandent souvent d'être consultées ou signées par un certain nombre d'agents, avec une certaine souplesse, en suivant un cheminement de validation dans le contexte du référentiel utilisateurs du Système d'Information de l'établissement.
Esup-Signature peut se révéler très adapté à ces cas d'usage, notamment par rapport à d'autres solutions non créées et pensées pour être intégrées dans un Système d'Information d'un Établissement de l'Enseignement Supérieur et de la Recherche.
Oui. La partie signature est prise en charge par DSS Signature (commission européenne).
Les clés cryptographiques (RGS...) sont prises en charge par l'application Esup-DSS-Client associée à DSS pour accéder aux keystores locaux et saisir la passphrase (voir Esup-DSS-Client)
À l'université de Rouen la signature est concluante avec un certificat obtenu auprès de certinomis : Offre SERVEUR 2 étoiles / Cachet 2 étoiles G2 - sur carte. L'autorité de certification est reconnue par la trustlist française sous le nom "Certinomis - Prime CA G2" Le materiel reçu est une clé Feitian Technologies, Inc. SCR301 avec une carte Gemalto pris en charge par OpenSC (pilote "idprime : Gemalto IDPrime") Vous trouverz la liste des matériels supportés ici : https://github.com/OpenSC/OpenSC/wiki/Supported-hardware-%28smart-cards-and-USB-tokens%29 |
Les certificats cachet d'établissement sont aussi pris en charge, coté serveur, pour verrouiller des documents en fin de circuit (pas de passphrase à saisir).
Deux solutions sont possibles pour les certificats personnels :
Pour les certificats cachet, il faudra brancher la clé cryptographique sur le serveur hébergeant esup-signature. Après configuration, la signature avec ce certificat sera disponible de 2 manières :
Voici comment esup-signature contrôle la validité des signatures :
En conclusion, le seul moyen d'avoir une signature 100% valide lors de la vérification (tous les voyants au vert), c'est de signer avec un certicat eIDas non révoqué et un timesamps, tous deux présents dans la trustlist européenne (voir "Statut DSS" dans la partie admin)
Oui, il est possible d'ajouter des signatures supplémentaires à un document PDF déjà signé. Les normes AdES, en conformité avec eIDAS, définissent les critères des signatures électroniques avancées, permettant l'ajout de nouvelles signatures sans altérer celles déjà existantes. DSS-Signature, se conformant à ces normes, offre la flexibilité de "sur-signer" un document PDF en ajoutant de nouvelles signatures tout en préservant l'intégrité des signatures précédemment apposées.
Les librairies SEDALib du projet Vitam sont intégrées dans esup-signature (https://www.programmevitam.fr/pages/ressources/sedalib/). Une implémentation à minima (POC) est proposée via cette classe https://github.com/EsupPortail/esup-signature/blob/master/src/main/java/org/esupportail/esupsignature/service/export/SedaExportService.java. Cette partie est à affiner avec l'aide d'une personne compétente en matière archivage électronique.
Pour la signature électronique, tous types de documents. Seuls le format PDF permet apposer un visuel de la signature (les images sont converties en PDF pour permettre ce type de signature). Dans ce cas il est possible de faire une signature simple (apposition d'une image) ou une signature PAdES visuelle.
Pour tout autre format, esup-signature proposera une signature du fichier au format XAdES.
Oui. Deux cas se présente en fonction du type de signature :
Quels types de signatures sont gérés dans Esup-Signature ?
Esup-Signature gère plusieurs niveaux de signature :
Voici un tableau des formats utilisés en fonction des cas d'usages. Le format XAdES ou CAdES est configuré de manière globale par l'administrateur
| Signature visuelle | Signature détachée | |
|---|---|---|
| Document PDF | PAdES | XAdES/CAdES |
| Document autre | N/A | XAdES/CAdES |
L'utilisation d'un certificat eIDAs sur support cryptographique nécessite le logiciel Esup-DSS-Client .
Conformément aux deux questions précédentes, à savoir : "Je dispose d'un certificat RGS** ou RGS*** (EIDAS). Esup-Signature me permet-il de signer des documents officiels avec ce type de certificats ?" et "Quels types de certificats sont pris en charge par Esup-Signature ?", Esup-Signature offre la possibilité de signer des documents de manière sécurisée avec différents types de certificats :
Certificats personnels sécurisés : Esup-Signature permet aux utilisateurs de signer des documents avec des certificats personnels, qu'ils soient stockés matériellement (dispositifs USB) ou logiciellement (dans des magasins de certificats). L'utilisation de l'outil libre et gratuit esup-dss-client est possible sur les systèmes d'exploitation Windows, macOS et Linux, offrant ainsi une compatibilité avec les trois principaux systèmes de bureau du marché. Des installateurs sont disponibles pour chaque système d'exploitation.
Cachets d'établissement : Esup-Signature prend également en charge l'utilisation de cachets d'établissement, qui correspondent à des certificats RGS**. Dans ce cas, le cachet doit être positionné au niveau du serveur à l'aide d'un dispositif USB sécurisé. La signature avec ce cachet est ensuite possible grâce au logiciel esup-signature, comme décrit dans la question "Quels types de certificats sont pris en charge par Esup-Signature ?". Cette approche présente de nombreux avantages, tant fonctionnels (le certificat n'est pas lié à une personne spécifique mais à l'établissement, ce qui permet une économie substantielle en termes d'achat et de mise en œuvre) que techniques (aucune installation ou configuration spécifique requise sur le poste utilisateur). En outre, ce mode de fonctionnement permet à un utilisateur de signer avec un certificat RGS** depuis n'importe quel navigateur, y compris un simple navigateur sur un smartphone.
En résumé, par rapport aux autres solutions disponibles sur le marché, et dans ses dernières versions, Esup-Signature se distingue comme un logiciel offrant la possibilité de réaliser des signatures qualifiées sur tous les systèmes d'exploitation, tout en étant l'une des options les plus abordables : logiciel libre et gratuit de bout en bout, dont le client et ses installateurs associés.
Oui. Il s'agit d'envoyer un mail suivi d'un SMS (One Time Password) au destinataire externe à l'établissement. Une fois celui-ci authentifié, il aura accès à toutes les fonctionnalités d'esup-signature pour la durée de sa session.
Pour l'envoi de SMS, il existe une implémentation pour Esup-SMSU. Un développeur pourra éventuellement implémenter une autre méthode (utilisation d'une API d'un opérateur par ex).
Attention si les personnes concernées font partie de la fédération d'identité, il est possible d'utiliser l'authentification Shibboleth
Oui, il existe deux façons de faire de la signature en masse avec esup-signature :
Oui, Esup-Signature peut être utilisé comme un parapheur électronique. Pour ce faire, il s'appuie sur un système de circuits (spécifiques ou génériques), un système d'annotation, de post-it ainsi que la possibilité d'ajouter des pièces jointes.
Il est possible créer des circuits à l'aide de l'interface d'Esup-Signature.
Un circuit est une succession d'étapes comportant les paramètres suivants :
Un utilisateur peut construire un circuit, à l'aide de l'assistant, lorsqu'il crée une demande de signature.
Les administrateurs peuvent aussi ajouter des circuits spécifiques avec des paramètres plus poussés (source/destination/des documents, affectation de gestionnaires)
Esup-Signature propose 3 modes d’intégration des documents :
Pour des documents dont le format est bien structuré, Esup-Signature dispose d'un outil permettant une dématérialisation complète (pré-remplissage automatique du document en fonction du contexte, saisie des données, validation, signature)
Ce système s'appuie sur PDF Forms. Le modèle du document doit être un PDF disposant de champs de formulaire. Lorsque celui-ci sera intégré dans Esup-Signature, il sera analysé et un formulaire web sera généré.
Les champs des formulaires peuvent être édités au niveau de l'interface d'administration voir : Documentation administrateur#Lesformulaires
La partie formulaire d'Esup-Signature correspond à un ensemble d'outils permettant de dématérialiser des procédures simples s'appuyant sur un document comme des demandes de mission par exemple.
L'université de Rouen Normandie utilise cette fonction pour dématérialiser l'attestation de déplacement lors de la période de COVID.
Oui, c'est une des fonctionnalités proposée par la gestion des formulaires PDF d'esup-signature. Il est possible de configurer des sources de données pour chaque champ de formulaire et donc permet de les pré-remplir à l'aide des données issues de l'annuaire LDAP de l'établissement. Il est aussi possible de développer d'autres sources de données depuis des applications métiers (SIHAM, APOGEE, etc.) à l'aide de classes d'interface voir : Documentation administrateur#Classedepr%C3%A9-remplissage
Un système de délégation est proposé par Esup-Signature. Il permet à un utilisateur (mandant) de déléguer la signature ou la saisie de documents. Les délégués pourront "switcher" facilement sur le compte d'un des mandants.
Esup-signature propose aussi une fonction de transfert des demandes en cours et à venir vers une autres personne. Cette fonction est utilisée dans le cas d'un départ ou du remplacement, d'un utilisateur, elle est définitive.
Esup-Signature dispose de 3 modes authentification :
Ces 3 modes peuvent être activés simultanément.
Oui, dans son profil, un utilisateur a la possibilité de stocker plusieurs signatures calligraphiques (ie images). On peut imaginer une signature sans tampon, avec tampon spécifique (en fonction des rôles ou missions d'un utilisateur), avec mentions ("Lu et approuvé", "bon pour...", etc.)
Non, le système repose sur l'attribution de rôles obtenus lors de la connexion en fonction d'un mapping paramétrer au niveau du fichier de configuration d'esup-signature. Tous les détails sur l'attribution des rôles sont disponible sur cette page : Configuration de la sécurité
Pour l'instant Esup-Signature n'est pas proposé en mode hébergé. Il faut donc l'installer sur un serveur local de l'établissement.
Développé en Java/Spring Boot, esup-signature demande de connaitre à minima Java, Maven, Git, PostgreSQL. Pour l'exploiter totalement il est bien de connaitre aussi Spring, CAS, Shibboleth, Apache, Tomcat.
Pour plus de détail vous pouvez consulter la documentation ici : Installation
Voir la page dédiée : Prérequis
Non. Esup-signature fonctionne de manière autonome, et dispose de sa propre base de données pour stocker les documents.
Toutefois, ESUP-Signature accepte en entrée ET en sortie différentes sources documentaires, telles :
Esup-Signature est libre, open-source, donc ouvert aux contributions.
Par ailleurs des classes "interface" sont disponibles pour implémenter des comportements spécifiques à plusieurs niveaux :
Sans être experts juridiques, nous nous aventurons ici à retranscrire des informations générales sur la valeur juridique ou probante d'une signature dématérialisée en France.
Le marché de la signature électronique est tel que les entreprises vendant ces dispositifs de signature électronique ont tendance à inciter leurs clients à utiliser des signatures avancées pour tout type de documents, en se permettant parfois d'avancer que telle ou telle procédure n'a aucune valeur juridique.
Tout comme un email ou même un simple tweet, un document signé manuellement puis simplement scané peut avoir une valeur juridique.
Les actualités, et la jurisprudence qui en découle, le prouvent très régulièrement.
Aussi, si en recherchant sur un moteur de recherche à savoir si une signature numérisée a une valeur juridique, il est fort probable que vous tombiez sur des articles et documentation de sites d'éditeurs de logiciel de signature affirmant que ce n'est pas le cas. Mais si vous faites la même recherche sur le fil d'actualités de ce même moteur de recherche, vous serez étonné du nombre de résultats vous prouvant tout le contraire ; dont cet exemple sur service-public.fr.
A contrario, même un document signé avec un niveau de sécurité le plus élevé possible et avec le logiciel le plus avancé qui soit (dont esup-signature allié à DSS signature 
), peut être contesté : erreur humaine, consentement non éclairé, vice de forme, fraude, preuve de l'identité de l'auteur, abus de confiance, signature sous la contrainte, ...
En France, la signature électronique est régie par le règlement européen eIDAS (Règlement (UE) n° 910/2014) et le Code civil français (articles 1366 à 1377).
La valeur probante d'une signature dématérialisée peut dépendre du contexte et des exigences spécifiques de chaque transaction ou contrat.
Signature électronique simple : une signature dématérialisée réalisée avec une simple image scannée (apposition d'image) peut être considérée comme une signature électronique simple. Si cette forme de signature est généralement valide pour la plupart des transactions courantes et a une force probante légale, elle peut être sujette à contestation si sa validité est mise en doute lors d'un litige : elle offre un niveau de sécurité moindre par rapport à d'autres types de signatures.
Signature électronique avancée et qualifiée : pour une valeur probante plus élevée et une meilleure reconnaissance légale, il est recommandé d'utiliser une signature électronique avancée ou qualifiée. Ces signatures exigent des niveaux de sécurité plus élevés et doivent respecter certaines conditions spécifiques pour être reconnues comme ayant une valeur probante équivalente à celle d'une signature manuscrite.
Dans les deux cas, les logs d'authentification et d'action de signature des usagers conservés sur esup-signature peuvent aussi servir de preuve de l'identification et de l'intégrité du processus de signature. Ils peuvent renforcer la valeur probante de la signature dématérialisée en démontrant que l'utilisateur a effectivement signé le document et qu'il s'est authentifié de manière appropriée.