Qu'est-ce que la PKI et pourquoi est-elle importante pour les signatures numériques ?

L'entité de confiance qui émet des certificats numériques. La CA vérifie l'identité des demandeurs de certificats, émet des certificats, maintient un répertoire de certificats valides et révoque les certificats lorsqu'ils sont compromis ou expirés.

Un composant optionnel qui gère la vérification d'identité au nom de la CA. L'RA collecte et vérifie les documents d'identité mais ne délivre pas de certificats directement. Dans certains systèmes, la CA effectue les deux fonctions.

Lorsqu'un certificat est compromis ou plus valide, il doit être révocable. Les listes de révocation de certificats (CRL) sont des listes périodiques de certificats révoqués. OCSP (Online Certificate Status Protocol) fournit un statut de révocation en temps réel. Les deux sont vérifiés pendant la validation de la signature.

Un certificat est fiable parce qu'il est émis par une CA, qui est fiable parce qu'elle est accréditée par une CA racine ou un cadre national de confiance. Cette chaîne de confiance — CA racine → CA intermédiaire → certificat utilisateur final — est ce qui rend les signatures basées sur la PKI vérifiables par n'importe qui.

HSM (Hardware Security Module) de niveau FIPS 140-2 de niveau 3 (nécessaire pour QES) : 8 000-25 000 $ par unité. HSM cloud (AWS KMS, Azure Key Vault) : 1-3 $ par clé par mois + 0,03 $ par 10 000 opérations. eSign.AI gère l'infrastructure HSM en interne, éliminant ainsi ce coût pour les clients. Une déploiement PKI typique de l'entreprise nécessite 2-4 HSM (production + DR + staging).

Signature RSA 2048 dans HSM : 50-200 ms par opération. Signature ECC P-256 dans HSM : 5-30 ms. Vérification RSA 2048 : 1-3 ms. Validation de la chaîne de certificats (3 niveaux) : 10-50 ms y compris la vérification CRL. À 100 signatures par seconde soutenues, RSA 2048 nécessite 3-5 instances HSM ; ECC P-256 nécessite 1.

Le point faible de la PKI est la gestion des clés, pas la cryptographie. Défaillances courantes : clé privée stockée dans un logiciel (pas HSM), comptes de service partagés avec des clés de signature, rotation des clés insuffisante et absence de double contrôle pour les opérations de clé. eSign.AI impose le stockage exclusif des clés HSM et l'approbation multipartite pour toutes les opérations de signature supérieures à 100K $ de valeur.

Construire une PKI en interne nécessite : matériel HSM ($8K-25K par unité, 2-4 pour production+DR), logiciel CA (OpenSSL est gratuit, CA d'entreprise comme Microsoft ADCS coûte 3K-15K en licence), expertise PKI (2-3 ingénieurs en sécurité à temps plein), audit et coûts de conformité continus. Idéal pour les grandes entreprises avec >100K signatures par an et des exigences strictes de souveraineté des données. Non recommandé pour les PME — le coût total de possession dépasse le prix des services gérés en dessous de ~50K signatures par an.

Les services gérés comme eSign.AI gèrent l'HSM, la CA, l'émission de certificats, la révocation, la signature temporelle et les traces d'audit en tant que offre packagée. Avantages : pas d'investissement en capital, pas d'expertise PKI nécessaire, déploiement plus rapide, conformité intégrée avec eIDAS/ETO/ETA. Inconvénients : moins de contrôle sur les politiques de gestion des clés, potentiel de verrouillage du fournisseur, coûts par transaction à haut volume. La plupart des entreprises APAC choisissent les services gérés car les partenariats CA locaux (Singpass, iAM Smart, PSrE) sont difficiles à reproduire en interne.

Certaines entreprises fonctionnent selon un modèle hybride : elles utilisent un service géré pour la plupart des signatures, mais conservent une CA locale pour certains cas d'utilisation spécifiques (documents classifiés internes, dépôts gouvernementaux nécessitant une CA nationale). eSign.AI soutient ce modèle via son API — les organisations peuvent utiliser leur propre CA pour certains types de documents tout en utilisant les partenariats gérés par eSign.AI pour d'autres.