Si Zorro avait moins le souci du panache et plus celui de l'authentification de sa signature, il abandonnerait son épée et s'équiperait d'une clé USB. La société CertiMail lance, mercredi 22 février, un dispositif d'e-mail certifié, ayant pleine valeur juridique, en se basant sur une série de textes français et européen sur la signature et la certification électroniques. Le service associe webmail, technologies de cryptage, archivage et, donc, grande innovation de ce service, une clé USB.

Concrètement, l'utilisateur commence par acheter sa clé USB à 99 euros, sur le site Certimail.fr, puis demande son activation. Pour cela, il remplit un formulaire comprenant ses données d'identification (nom, adresse, date de naissance, mail...) et le renvoie à CertiMail avec une photocopie de son passeport ou de sa carte d'identité. Ensuite seulement, il reçoit par lettre recommandée avec accusé de réception un code confidentiel permettant d'activer la clé. Un code PIN, comme pour une carte bancaire. S'il change d'e-mail ? Il doit changer de clé. S'il la perd ou se la fait voler ? Il peut faire opposition.

La clé est dotée d'une carte à puce contenant les données personnelles envoyées à CertiMail et, comme n'importe quelle autre clé, d'une mémoire flash de 128 Mo. Pour s'en servir, il suffit de la connecter à l'ordinateur. Le dossier de la clé s'ouvre et, en option, propose de composer un mail certifié. L'utilisateur arrive alors sur la page sécurisée, avec adresse en « https », d'un webmail. Il écrit son message, saisit l'adresse du destinataire, ajoute une pièce jointe, selon la procédure classique. La clé USB, dotée d'un espace mémoire, peut servir à transporter les documents à envoyer.

Au moment de la validation, le fichier, quel qu'il soit (Word, Excel, Powerpoint, GIF, ...) est automatiquement converti au format PDF pour en sécuriser le contenu. C'est ensuite qu'il faut saisir en ligne le code PIN de sa clé. A ce moment-là, le document joint est paraphé sur toutes les pages du nom de l'expéditeur et d'un numéro d'émission. La preuve de l'envoi avec ces mêmes données ainsi que la date sont en même temps enregistrées et archivées pour dix ans par CDC Arkhinéo, partenaire de CertiMail.

Dernière étape, l'envoi du mail. L'expéditeur doit encore une fois saisir son code PIN. Cette fois pour signer le mail proprement dit. Le destinataire, lui, n'a besoin ni d'un équipement spécial ni d'aller sur un espace dédié sur Internet. En revanche, il peut utiliser les données de la signature (nom, numéro d'émission, date) pour vérifier l'authenticité du message et l'identité de l'envoyeur sur Certimail.fr.

« C'est un projet reconnu par l'Etat, conforme à la loi européenne et valable dans toute l'Europe », précise Rémi Poulet, président du directoire de la société, fondée par des anciens de Wanadoo. Ce n'est pas le premier service exploitant les dispositions légales sur la signature électronique. Mais, contrairement à un service comme resilier.com, par exemple - où la signature électronique n'est apposée qu'à des lettres de résiliation d'abonnement - ou au site de la Compagnie nationale des commissaires aux comptes - où elle n'est proposée qu'à ses membres -, CertiMail vaut pour tout internaute et tout type d'usage : passation de contrat, attestation, réponse à des appels d'offres, convocation à une assemblée générale, bon de commande, ordre de virement...

Il est même possible de protéger une oeuvre numérique, comme une photo. Et la société réfléchit actuellement à un équivalent électronique de la « lettre T », c'est-à-dire payée par le destinataire.

Cette certification a évidemment un coût. En la matière, CertiMail s'est largement inspirée du modèle économique de la téléphonie mobile. L'utilisateur achète sa clé USB avec dix unités. Chaque unité équivalant à un mail de moins de 50 ko. « Plus un mail est lourd, plus il coûte cher à traiter, explique Alain Schottt, directeur associé. L'archivage est inclus dans le prix, c'est une obligation légale. » L'archivage porte sur l'acte et les données d'envoi, mais pas sur le contenu, disponible via une option payante.

Une fois la clé vidée, l'utilisateur achète en ligne des recharges, des « MobiCert », de 40 ou 90 unités (25 et 45 euros). Si le service se veut universel, il reste cantonné au PC et à un environnement Windows. Impossible de l'utiliser avec Linux ou MacOS. « Cela dépendra des besoins du marché », commente Rémy Poulet.