Comment vérifier l'authenticité d'un document PDF

Le problème de l'authenticité documentaire en 2026

En 2026, un faux bulletin de paie convaincant se produit en trois minutes avec un éditeur PDF gratuit. Une facture gonflée de 12 % se modifie sans la moindre trace visible. Les modèles génératifs produisent des relevés bancaires indiscernables d'un original aux yeux d'un humain.

Côté destinataire, trois questions reviennent en boucle. Le document est-il dans son état d'origine ? Vient-il bien de l'émetteur qu'il prétend identifier ? Si un tribunal devait trancher, sur quoi pourrait-on s'appuyer ? Trois méthodes techniques répondent à ces questions, chacune avec ses forces et ses angles morts.

Méthode 1 : inspecter les métadonnées du PDF

Tout PDF embarque un bloc de métadonnées : date de création, date de dernière modification, logiciel producteur, parfois l'auteur déclaré. Ces informations s'inspectent en quelques secondes et permettent de repérer les manipulations les plus naïves.

Avec exiftool (gratuit, multiplateforme)

exiftool facture.pdf | grep -E "Create Date|Modify Date|Producer|Creator"

Sur un PDF émis par un logiciel de facturation propre, on attend une Create Date et une Modify Date identiques, un Producer cohérent (par exemple Pennylane, Sellsy, iText), un Creator qui mentionne le SaaS émetteur.

Sans rien installer (Windows, PowerShell)

Get-Item facture.pdf | Select-Object Name, CreationTime, LastWriteTime

Sans rien installer (macOS, Linux)

stat facture.pdf

Signaux suspects

Trois écarts trahissent presque toujours une manipulation. Une date de modification largement postérieure à la date d'émission déclarée dans le corps du document. Un Producer de type Adobe Acrobat Pro alors que l'émetteur déclaré est un logiciel SaaS qui n'utilise pas Acrobat. Un Creator absent ou réinitialisé à une valeur générique comme Microsoft Word sur un bulletin de paie supposé venir d'un SIRH professionnel.

Limite stricte

Les métadonnées sont éditables. Un faussaire compétent les nettoie en moins d'une minute avec exiftool lui-même, en réécrivant Producer, Creator, CreateDate et ModDate. L'inspection métadonnées sert à attraper les amateurs, pas à fonder une preuve.

Méthode 2 : vérifier une signature électronique embarquée

Un PDF peut contenir une ou plusieurs signatures électroniques conformes à la norme PAdES (PDF Advanced Electronic Signature). Ces signatures lient une identité vérifiée à un état précis du fichier. Toute modification ultérieure casse mécaniquement la signature.

Comment savoir s'il y a une signature

Adobe Acrobat Reader (gratuit) affiche un bandeau bleu en haut du document si une signature est présente. Le panneau Signatures (icône en forme de stylo dans la barre latérale) liste alors chaque signature, son signataire déclaré, son état de validité.

En ligne de commande, l'outil pdfsig du paquet poppler-utils liste les signatures :

pdfsig contrat.pdf

Ce que la signature couvre, ce qu'elle ne couvre pas

Une signature qualifiée (eIDAS niveau QES) lie un signataire identifié par certificat à un instantané du fichier. Si le fichier change, la signature devient invalide. C'est le mécanisme adapté aux contrats, bons de commande, mandats.

En revanche, peu de documents quotidiens sont signés électroniquement. Les factures émises automatiquement par un SaaS, les bulletins de paie, les relevés de compte, les attestations programmatiques arrivent presque toujours sans signature. L'absence de signature n'est donc pas un signal de falsification, juste une absence d'information.

Limite stricte

Une signature électronique authentifie un signataire humain ou organisationnel identifié. Pour les flux documentaires automatiques où chaque facture est produite par un serveur à grande échelle, faire signer électroniquement chaque document est coûteux, lent, et disproportionné. C'est précisément le trou que comble la méthode 3.

Méthode 3 : comparer l'empreinte SHA-256

C'est la méthode la plus solide techniquement. Toute modification d'un seul bit dans un fichier change son empreinte SHA-256. Si l'émetteur a calculé cette empreinte au moment de l'émission et l'a stockée quelque part de fiable, il suffit de recalculer l'empreinte du fichier reçu et de comparer.

Calculer l'empreinte d'un fichier reçu

Sur macOS ou Linux :

shasum -a 256 facture.pdf

Sur Windows PowerShell :

Get-FileHash facture.pdf -Algorithm SHA256

Avec openssl (universel) :

openssl dgst -sha256 facture.pdf

Le résultat est une chaîne hexadécimale de 64 caractères du type 3a7bd3...f9c1. La comparer à celle fournie par l'émetteur prend une seconde.

Le problème d'origine de l'empreinte

L'empreinte SHA-256 est bulletproof à condition que l'empreinte de référence ait été calculée et stockée par l'émetteur de manière indépendante du fichier transmis. Si le destinataire reçoit à la fois le PDF et l'empreinte par le même canal, un attaquant qui intercepte les deux peut remplacer les deux. L'empreinte doit vivre dans un lieu de confiance distinct du fichier qu'elle authentifie.

C'est précisément ce que résout un service tiers de certification documentaire. L'émetteur dépose l'empreinte au moment où il génère le PDF. Le destinataire vérifie en interrogeant ce service tiers, indépendamment du canal qui a acheminé le fichier.

Valeur juridique

L'empreinte SHA-256 constitue un élément technique d'intégrité que les juges retiennent régulièrement comme indice fort, lorsqu'elle a été calculée et horodatée de manière indépendante de la partie qui produit le document. Couplée à un horodatage qualifié, elle approche de la valeur probante d'une signature électronique avancée, à un coût et une friction radicalement inférieurs.

Quelle méthode pour quel cas ?

Aucune méthode ne couvre tous les besoins. Le bon choix dépend du type de document et de l'enjeu.

Pour un contrat, un bon de commande, une procuration : signature électronique qualifiée. La force probante l'emporte sur la friction.

Pour un dossier locatif, un audit comptable, une vérification de bulletin de paie reçu d'un tiers : inspection métadonnées plus demande à l'émetteur d'une empreinte SHA-256 indépendante. Si l'émetteur ne sait pas la fournir, c'est un signal d'alerte en soi.

Pour les flux de factures, bulletins, attestations émis automatiquement par un SaaS : empreinte SHA-256 déposée chez un tiers de confiance au moment de l'émission. C'est la seule méthode qui scale à des millions de documents par mois sans alourdir la chaîne.

Ce qui devient le standard en 2026

Le déclencheur, c'est l'IA générative. À partir du moment où produire un faux PDF convaincant coûte trois minutes et zéro centime, l'examen visuel d'un document n'a plus aucune valeur informative. Les destinataires qui prenaient le temps de vérifier abandonnent. Ceux qui ne vérifiaient pas se font avoir.

La réponse qui s'impose ressemble beaucoup à ce qui s'est passé pour le web il y a quinze ans avec HTTPS. Un sceau apposé à l'émission, par l'éditeur du logiciel qui produit le document, vérifiable par n'importe qui en une seconde, gratuit pour le destinataire. Le destinataire n'a plus à inspecter quoi que ce soit : il glisse le fichier sur une page web, il a sa réponse immédiate.

Les éditeurs SaaS qui produisent les documents (Pennylane, Sellsy, PayFit, Qonto et leurs équivalents sectoriels) ont un rôle clé. Sceller à l'émission coûte trois lignes de code et quelques centimes par document. Le bénéfice, un destinataire qui ne se pose plus la question, devient un argument commercial direct.

FAQ