eIDAS est le règlement européen sur l'identification électronique et les services de confiance (règlement (UE) n° 910/2014, modifié en 2024). Il définit trois niveaux de signature électronique :
- Signature électronique simple (SES) : des données sous forme électronique jointes ou associées logiquement à un document et utilisées pour le signer, comme un nom saisi, une signature tracée ou un code de confirmation, en général appuyées par des preuves de qui a signé et quand.
- Signature électronique avancée (AdES) : liée au signataire de manière univoque et permettant de l'identifier, créée avec des données qu'il est seul à contrôler, et liée au document de sorte que toute modification ultérieure soit détectable.
- Signature électronique qualifiée (QES) : une signature avancée créée avec un dispositif qualifié de création de signature et fondée sur un certificat qualifié. Elle a le même effet juridique qu'une signature manuscrite dans toute l'UE.
eIDAS prévoit qu'une signature ne peut pas être privée d'effet juridique ni écartée comme preuve en justice au seul motif qu'elle est électronique ou qu'elle n'atteint pas le niveau qualifié. Les signatures simples appuyées par une piste d'audit solide sont très utilisées pour les documents commerciaux, comme les devis, les bons de commande et les contrats de service ; certains actes exigent un niveau supérieur selon le droit national.
La signature électronique d'OVOKY produit des signatures électroniques simples au sens d'eIDAS, pas des signatures qualifiées. Les signataires confirment par un code envoyé par e-mail ou SMS, chaque enveloppe conserve une piste d'audit de 18 types d'événements chaînés par des empreintes (hash), et le document signé est scellé en PDF PAdES avec un horodatage RFC 3161.