Horodatage RFC 3161, donner une date certaine à un fichier

Commençons par démolir la fausse évidence, parce que tout part de là.

Votre ordinateur inscrit une date sur chaque fichier. Elle semble officielle, elle s’affiche partout, et elle ne vaut rien.

• Elle est écrite par votre propre machine, celle qui a intérêt dans l’affaire.
• Elle se modifie en une commande, sans laisser de trace.
• Elle change à la moindre copie, ce que nous avons constaté nous-mêmes en voulant dater nos pages. Sur 370 fichiers, elle ne donnait que 3 jours distincts parce qu’une opération de masse les avait tous touchés.

Le problème n’est pas la précision, il est la partialité. Une date que vous produisez vous-même n’engage que vous.

C’est toute la logique du tampon de la Poste sur une lettre. Ce n’est pas la Poste qui écrit votre courrier, et c’est exactement pour ça que son tampon compte.

Là, une bonne surprise attend ceux qui imaginent devoir confier leurs documents à un tiers.

Votre fichier ne part jamais.

Le mécanisme est le suivant. On calcule l’empreinte du fichier, une suite de caractères qui en découle par un calcul irréversible. Il suffit de 2 fichiers différents pour obtenir 2 empreintes différentes. Mais on ne peut pas remonter au fichier à partir de son empreinte, jamais.

C’est cette empreinte, et elle seule, qui part chez le tiers. Il y ajoute la date et l’heure, il signe l’ensemble, il vous renvoie le tout. Ce paquet s’appelle un jeton d’horodatage.

Le tiers atteste donc l’existence de quelque chose sans jamais savoir de quoi il s’agit. La question de la confidentialité est réglée avant même d’être posée, et c’est ce qui rend le dispositif utilisable sur un dossier sensible.

Et la vérification, plus tard, ne demande rien de plus. On recalcule l’empreinte du fichier, on la compare à celle du jeton. Si le fichier a bougé d’un seul caractère, ça ne correspond plus.

Voilà le cœur du sujet, et c’est là que les offres commerciales deviennent floues.

RFC 3161 est un protocole technique. Une norme publique qui décrit comment demander un horodatage et à quoi ressemble la réponse. Elle date de 2001 et elle est parfaitement stable.

Qualifié est un statut juridique. Défini par le règlement européen eIDAS, il suppose que le service soit rendu par un prestataire de services de confiance qualifié, contrôlé, audité, inscrit sur une liste officielle.

Ce sont 2 choses différentes, et voici la conséquence.

• Un horodatage peut suivre parfaitement la norme RFC 3161 sans être qualifié.
• Il sera techniquement irréprochable et juridiquement beaucoup plus faible.

Un prestataire qui met en avant sa conformité RFC 3161 ne vous dit donc rien de sa valeur devant un tiers. Il vous dit qu’il parle la bonne langue, pas qu’il a autorité.

La question à poser tient en une phrase. Êtes-vous un prestataire de services de confiance qualifié au sens d’eIDAS, et sur quelle liste figurez-vous ? Une réponse évasive vaut un non.

Petite parenthèse utile, parce que le sigle intimide et qu’il sert d’argument commercial.

RFC veut dire Request For Comments, littéralement demande de commentaires. Le premier a été publié par Steve Crocker le 7 avril 1969, et c’était exactement ce que le nom annonce, un texte envoyé à quelques personnes pour recueillir leur avis. Le format est resté. Toutes les briques d’Internet ont aujourd’hui leur RFC.

Mais un RFC n’est pas une loi, et tous ne sont pas des normes. Certains décrivent un standard, d’autres ne font qu’informer, d’autres consignent une bonne pratique. Et une trentaine sont des canulars, traditionnellement publiés un 1er avril. Le plus célèbre décrit la transmission de paquets par pigeon voyageur, et il a même été mis en œuvre pour de vrai.

Là où ça devient instructif pour vous, c’est la suite. Des acheteurs sérieux, y compris des universités, rédigent des appels d’offres en listant les RFC auxquels le prestataire devra se conformer. Ils prennent la liste, ils cochent, et ils demandent parfois la conformité à un RFC humoristique qu’ils n’ont manifestement pas lu.

Et il y a un piège de numéro à connaître, parce qu’il se produit tout le temps. Il y a 2 RFC qui portent sur le temps et n’ont rien à voir.

• RFC 3339 décrit un format d’écriture de la date, celui qui donne 2026-08-08T09:15:00Z. Il sert à ce que 2 machines lisent la même date de la même façon, sans confondre le jour et le mois. C’est une convention d’écriture, elle ne prouve rien.
• RFC 3161 décrit le protocole d’attestation par un tiers. C’est celui dont parle cet article, et le seul qui produise une preuve.

Écrire une date proprement et faire attester une date sont 2 choses différentes. Un prestataire qui répond RFC 3339 à une question sur la preuve n’a pas compris la question, ou espère que vous ne verrez pas la différence.

La leçon vaut au-delà de l’anecdote. Un numéro de RFC dans un devis n’est pas une garantie, c’est une référence. Il vous dit quel document est censé être suivi. Il ne vous dit pas si ce document est une norme, ni si votre prestataire l’applique, ni s’il a la moindre valeur juridique. C’est exactement le cas de RFC 3161, qui est une vraie norme technique et n’a strictement aucune portée en droit.

Ce n’est pas un label commercial, c’est un effet juridique précis.

Un horodatage électronique qualifié bénéficie d’une présomption d’exactitude de la date et de l’heure qu’il indique, et d’une présomption d’intégrité des données auxquelles ils se rapportent. Cette présomption est reconnue dans tous les États membres de l’Union européenne.

Traduit en langage utile, ça change qui doit prouver quoi.

Sans horodatage qualifié, c’est à vous de démontrer que votre document existait bien à cette date. Bon courage.

Avec, c’est à celui qui conteste de démontrer que la date est fausse. Et il s’attaque à une signature délivrée par un organisme contrôlé, avec des jetons signés dans une infrastructure protégée par des modules matériels qualifiés par l’agence nationale de sécurité des systèmes d’information.

Une partie de la doctrine y voit l’équivalent électronique de la date certaine, la notion que le droit connaît depuis toujours pour le papier.

C’est un renversement de la charge de la preuve. En contentieux, c’est rarement un détail.

Jusqu’ici on a parlé de preuve et de contentieux. Il existe un usage beaucoup plus quotidien, et c’est celui qui fait perdre le plus d’argent quand on l’ignore.

Une signature électronique meurt avec le certificat qui l’a produite.

Prenez un logiciel, un pilote, une application, un document signé. Vous le signez aujourd’hui avec un certificat valable 2 ans. Dans 25 mois, le certificat a expiré, et toutes les copies déjà distribuées deviennent non fiables d’un coup. L’utilisateur voit un avertissement de sécurité à la place de votre nom.

Sauf si la signature a été horodatée.

L’horodatage prouve que la signature a été apposée pendant que le certificat était encore valable. La signature survit alors à l’expiration, et elle reste vérifiable bien après.

La nuance sur la révocation mérite d’être connue aussi. Un certificat révoqué ne casse pas les signatures antérieures, à condition que la date de révocation soit postérieure à l’horodatage. Ce qui a été signé avant l’incident tient. Ce qui a été signé après, non.

C’est l’oubli le plus coûteux du domaine, parce qu’il ne se voit pas au moment où on le commet. Rien ne signale l’absence d’horodatage le jour de la signature. Le problème apparaît des mois plus tard, sur tout ce qui a déjà été diffusé, et la seule issue est de tout re-signer et de tout redistribuer.

Pas tout, et surtout pas au hasard. La valeur vient du choix, pas du volume.

• Une création. Un dessin, une maquette, un plan, une identité visuelle, un texte. Le jour où quelqu’un affirme l’avoir conçu avant vous, la discussion est close en une minute.
• Un livrable client. La version exacte remise à une date donnée, quand le client soutiendra plus tard qu’il avait demandé autre chose.
• Un cahier des charges ou un devis. Ce qui avait été convenu, dans l’état où ça l’a été.
• Une méthode ou un savoir-faire que vous n’allez pas breveter mais que vous voulez pouvoir dater.
• Un constat. Une page web à un instant, un échange, un état de fait que vous voudrez peut-être opposer.

Ce dernier point rejoint un réflexe que nous appliquons déjà dans nos contre-expertises. Quand on constate un écart, la valeur du constat tient à sa date autant qu’à son contenu.

Ce qui ne mérite pas d’être horodaté, en revanche, c’est la production courante. Vos articles de blog, vos publications, vos visuels d’illustration. Personne ne vous les disputera, et horodater par principe transforme un outil de preuve en cérémonie.

Une dernière chose, et c’est elle qui relie ce sujet au précédent.

L’horodatage et la provenance signée ne répondent pas à la même question, et beaucoup les confondent.

• La provenance signée dit qui a produit un contenu, avec quoi, et ce qui a été modifié depuis.
• L’horodatage dit quand il existait, attesté par un tiers extérieur.

Or une signature de provenance porte sa propre date, et cette date est déclarée par le producteur. Nous l’avons écrit dans notre article sur la provenance signée, c’est sa limite principale.

Les 2 assemblés donnent ce que ni l’un ni l’autre ne donne seul. Qui, quoi, et quand, chacun attesté par le mécanisme qui convient. C’est la forme la plus aboutie de preuve numérique disponible aujourd’hui, et elle ne demande aucune technologie exotique.

Notre conseil pour finir, et il est modeste. Commencez par une seule chose. Choisissez le type de document qui vous exposerait le plus dans un désaccord, et horodatez celui-là. Un dispositif qui protège un document important vaut mieux qu’un dispositif complet que personne n’applique.