Signature électronique : Votre prestataire est-il dans l'illégalité sans le savoir ?
Blog post description.
8/8/20268 min lire
Depuis l'entrée en vigueur de la loi n°43-20 relative aux services de confiance pour les transactions électroniques, la signature électronique s'est imposée comme un outil incontournable pour les entreprises, les administrations et les particuliers marocains. Contrats, factures électroniques, démarches administratives : de plus en plus d'actes peuvent aujourd'hui être signés à distance, avec une valeur juridique reconnue.
Mais cette croissance rapide du marché s'accompagne d'un risque : celui de la confusion. De nombreux prestataires communiquent aujourd'hui sur leur "conformité" à la loi 43-20 ou citent la DGSSI (Direction Générale de la Sécurité des Systèmes d'Information) parmi leurs garanties, sans que l'utilisateur dispose toujours des moyens simples de vérifier ce que ces affirmations recouvrent réellement. Chez LRE Trust, nous pensons que la transparence est la meilleure protection pour nos clients — et pour l'ensemble de l'écosystème de confiance numérique marocain. Voici donc, de façon factuelle, comment vérifier vous-même la conformité d'un prestataire.
Le principe : seule la DGSSI agrée les PSCo
La loi 43-20 confie à la DGSSI un rôle exclusif : celui d'agréer et de contrôler les Prestataires de Services de Confiance (PSCo). Ce sont ces PSCo agréés qui sont juridiquement habilités à délivrer des certificats électroniques et à fournir les services de confiance encadrés par la loi (signature électronique, cachet électronique, horodatage électronique, envoi recommandé électronique).
L'article 53 de la loi 43-20 impose à la DGSSI de publier la liste des PSCo agréés. Cette liste est accessible publiquement sur le site officiel de la DGSSI (dgssi.gov.ma), dans la rubrique "Prestations et produits réglementés". C'est, à ce jour, le seul registre faisant foi pour vérifier si une entreprise est effectivement un PSCo agréé, et pour quels services précis.
Le réflexe à avoir avant de faire confiance à un prestataire de signature électronique : ne pas se contenter des affirmations figurant sur son propre site, mais consulter directement ce registre officiel pour vérifier son nom, les services qu'il est habilité à fournir, et le niveau exact de ces services.
Un autre pilier de conformité, souvent oublié : la loi 53-05
L'agrément PSCo au titre de la loi 43-20 n'est pas la seule brique réglementaire à vérifier. Tout prestataire fournissant des services reposant sur des mécanismes de cryptographie — ce qui est le cas de toute solution de signature électronique — doit également respecter les obligations déclaratives prévues par la loi n°53-05 relative à l'échange électronique de données juridiques et son décret d'application n°2-08-518 du 21 mai 2009.
C'est la loi 53-05 qui, historiquement, a posé au Maroc le cadre juridique reliant le monde physique et le monde électronique en matière de valeur probante : elle établit les conditions dans lesquelles un document ou une signature électronique peut produire des effets juridiques comparables à un acte physique. Elle impose notamment aux fournisseurs de prestations de cryptographie (dont la signature électronique en ligne) de déposer auprès de la DGSSI une déclaration préalable, en application des articles 13, 14, 15, 21 et 23 de cette loi.
Cette déclaration donne lieu à un récépissé officiel délivré par la DGSSI, mentionnant notamment le numéro d'enregistrement du dossier, l'identité du déclarant et le type précis de prestation de cryptographie concerné. LRE Trust dispose de ce récépissé (n° d'enregistrement DC-01/2022) pour la fourniture de prestations de cryptographie liées à la signature électronique en ligne — un document que nous tenons à la disposition de nos clients et partenaires qui souhaitent le consulter.
Vérifier qu'un prestataire dispose bien de ce récépissé, en plus de son éventuel agrément PSCo au titre de la loi 43-20, constitue donc une étape de vigilance supplémentaire et complémentaire.
Le cas particulier de la lettre recommandée électronique (LRE)
Le tableau officiel de la DGSSI permet également de vérifier, service par service, quels PSCo sont agréés pour l'envoi recommandé électronique (LRE), un service à forte valeur juridique puisqu'il fait foi de la date d'envoi, de réception et du contenu d'un échange, au même titre qu'un recommandé postal.
À la lecture du tableau public, à ce jour, LRE Trust est le seul prestataire de droit marocain agréé par la DGSSI pour ce service. Un autre acteur y figure également pour un service d'envoi recommandé électronique — Lleidanetworks Serveis Telematics — mais il s'agit d'une société de droit espagnol, domiciliée à Madrid. Cette distinction a son importance pour les entreprises et administrations marocaines qui souhaitent traiter avec un prestataire national, notamment pour des raisons de souveraineté des données, de proximité contractuelle ou de simplicité de recours en cas de litige.
Il est intéressant de noter que Barid Al Maghrib, l'opérateur postal historique, figure lui aussi sur le tableau officiel de la DGSSI — mais uniquement au titre de la délivrance de certificats de signature électronique avancée. Il ne figure pas, à ce jour, parmi les prestataires agréés pour le service d'envoi recommandé électronique. Même l'opérateur postal national n'échappe donc pas à la règle : seule l'inscription effective sur le tableau officiel, service par service, permet de savoir ce qu'un acteur est réellement habilité à fournir — indépendamment de sa notoriété ou de son statut.
Ce que dit réellement le registre officiel de la DGSSI aujourd'hui
C'est le point le plus important, et pourtant le moins souvent mentionné dans les communications commerciales du secteur : à la date de rédaction de cet article, le tableau officiel des PSCo agréés publié par la DGSSI ne comporte que deux colonnes de niveau de service : "Simple" et "Avancé". Aucune colonne "Qualifié" n'y figure, pour aucun service, pour aucun prestataire.
Or, la loi 43-20 prévoit bien trois niveaux de signature électronique — simple, avancée et qualifiée — et de nombreux acteurs du marché communiquent activement sur leur capacité à fournir une "signature qualifiée". Il y a donc un écart net entre ce que le registre public officiel atteste aujourd'hui et ce que le marché affirme.
Attention aux appellations commerciales qui imitent le vocabulaire réglementaire
Sur ce même tableau, on trouve parfois des noms de produits comportant des mentions comme "classe 3", terminologie héritée des anciennes conventions de nommage utilisées historiquement dans l'industrie des infrastructures à clés publiques (PKI), bien avant l'entrée en vigueur de la loi 43-20. Il est important de le souligner : "classe 3" n'est ni une norme, ni un niveau de certification reconnu par la loi 43-20, ni une catégorie que le tableau officiel de la DGSSI utilise pour classer les niveaux de service. Seules deux catégories figurent aujourd'hui dans ce tableau : Simple et Avancé.
Un produit portant un nom commercial incluant "classe 3" n'est donc, au regard de la réglementation marocaine actuelle, ni plus ni moins qu'un produit classé selon le niveau effectivement coché dans la colonne officielle — le plus souvent "Avancé" dans les cas observés à ce jour. C'est cette colonne, et non le nom commercial du produit, qui détermine sa portée juridique réelle. Et comme indiqué plus haut, seules deux colonnes existent aujourd'hui sur ce tableau : Simple et Avancé — aucune catégorie "Qualifié" n'y figure à ce jour, quel que soit le nom commercial affiché par le prestataire.
Une confusion nourrie par une littérature venue d'ailleurs
Une partie de la confusion générale autour des niveaux de signature s'explique par l'origine même de la documentation disponible sur le sujet. Une grande partie de la littérature technique et juridique consultée aujourd'hui au Maroc sur la signature électronique qualifiée est directement issue de sources françaises et européennes — règlement eIDAS, référentiels de l'ANSSI, guides de prestataires français. Or, en France comme dans l'Union européenne, la signature électronique qualifiée est un dispositif pleinement opérationnel depuis plusieurs années : des dispositifs de création de signature y sont effectivement certifiés, et une liste de confiance publique (Trust List) recense les prestataires et services qualifiés en vigueur.
Transposer telle quelle cette littérature au contexte marocain, sans vérifier l'état effectif du dispositif national, peut ainsi laisser croire à tort que la même maturité existe déjà au Maroc. Or ce n'est pas le cas à ce jour : le registre officiel de la DGSSI n'atteste, à la date de rédaction de cet article, d'aucun niveau qualifié pour quelque prestataire que ce soit. Reprendre le vocabulaire et les certitudes d'un marché européen mature pour décrire une réalité marocaine encore en construction est trompeur, même lorsque cela n'est pas fait de mauvaise foi.
La confusion la plus répandue : confondre "certificat qualifié" et "signature qualifiée"
Cet écart s'explique aussi par une confusion — volontaire ou non — largement répandue dans les argumentaires commerciaux : celle entre un certificat qualifié et une signature électronique qualifiée. Ce sont deux notions juridiquement et techniquement très différentes, même si elles portent toutes deux le mot "qualifié". Un certificat est un certificat : il identifie qui signe. Il ne constitue en rien, à lui seul, une signature — encore moins une signature qualifiée.
Communiquer sur la disponibilité d'un "certificat qualifié" en laissant entendre qu'une "signature qualifiée" complète est de ce fait disponible est un raccourci trompeur — d'autant plus que le registre public de la DGSSI, à ce jour, n'atteste d'aucun niveau qualifié, pour quelque service que ce soit.
Notre recommandation : vérifiez, ne présumez pas
Avant de choisir un prestataire de signature électronique, en particulier pour des actes à enjeu (contrats commerciaux importants, marchés publics, facturation électronique réglementée), nous recommandons cinq vérifications simples :
Consultez vous-même le registre officiel des PSCo agréés sur dgssi.gov.ma et vérifiez le niveau de service réellement affiché pour le prestataire concerné — plutôt que de vous fier au vocabulaire employé sur son propre site.
Demandez au prestataire son récépissé de déclaration préalable de fourniture de prestations de cryptographie au titre de la loi 53-05 et du décret 2-08-518, qui constitue un pilier de conformité distinct et complémentaire de l'agrément PSCo.
Vérifiez la nationalité juridique du prestataire lorsque la localisation des données ou la simplicité d'un recours contractuel est importante pour vous — un agrément DGSSI n'est pas réservé aux seules sociétés de droit marocain.
Ne vous fiez pas aux noms commerciaux de produits ("classe 3" ou autres) : seule la colonne "Niveau du service de confiance" du tableau officiel (Simple / Avancé, à ce jour) fait foi.
Distinguez systématiquement, dans toute communication commerciale, ce qui relève du certificat et ce qui relève de la signature elle-même. Si un prestataire évoque une "signature qualifiée", demandez-lui explicitement s'il s'agit d'un certificat qualifié seul, ou d'une signature qualifiée complète appuyée sur un dispositif de création lui-même certifié conforme par la DGSSI.
Un complément européen : le partenariat avec Docaposte
Au-delà du cadre marocain, LRE Trust s'appuie également sur un partenariat avec Docaposte, filiale du groupe La Poste en France et prestataire de confiance inscrit sur des registres européens de référence : l'EUTL (EU Trust List, la liste de confiance officielle de l'Union européenne au titre du règlement eIDAS) et l'AATL (Adobe Approved Trust List). Ce partenariat nous permet de nous appuyer, pour le service d'horodatage électronique, sur une infrastructure d'horodatage qualifiée au sens du règlement eIDAS.
Il est important de bien distinguer les deux cadres réglementaires en jeu : la conformité eIDAS et l'inscription sur l'EUTL relèvent du droit européen, via l'infrastructure de notre partenaire Docaposte, tandis que l'agrément DGSSI relève du droit marocain et de la loi 43-20, et concerne l'activité de LRE Trust en tant que PSCo marocain. Ce sont deux registres distincts, avec leurs propres critères et leurs propres autorités de référence — exactement le type de distinction que cet article invite à toujours vérifier, quel que soit le prestataire concerné.
L'engagement de LRE Trust
En tant que prestataire de services de confiance conforme à la DGSSI, à la loi 43-20 et à la loi 53-05, LRE Trust considère que la clarté sur ces niveaux de service et ces obligations réglementaires fait partie intégrante de notre responsabilité envers nos clients — entreprises comme administrations. Nous encourageons chaque utilisateur de solutions de signature électronique, quel que soit le prestataire choisi, à exercer cette vigilance simple : vérifier auprès des sources officielles plutôt que de se fier uniquement au vocabulaire employé dans les argumentaires commerciaux.
La confiance numérique se construit sur la transparence. C'est la conviction qui guide notre activité au quotidien.
Adresses
🇲🇦 - Gautier, Casablanca, Maroc
🇲🇦 - Hay Riad, Rabat, Maroc
🇨🇦 - 1395 Fleury Est, suit 102.2
Montréal, Québec H2C 1R7, Canada
Contact
contact@lre.ma
Liens
Signature électronique au Maroc, Europe et Arabie Saoudite
Lettre recommandée électronique au Maroc, Europe et Arabie Saoudite
Horodatage à valeur probante
Parapheur électronique
MedPacks.Cloud : PCAS/RIS en Cloud
Authentification faciale collecte de données CIN et Passeport marocain, européen et saoudien
Tarification de signature électronique
Politique de Gestion
Conditions Générales d'Utilisation
Votre avis nous intéresse
Merci de prendre le temps de nous donner votre avis sur votre éxperience client de LRE Trust
