« Nous avons une traçabilité » est devenu une formule à cocher. Presque tous les outils documentaires affichent quelque part une liste d’événements. La question qui compte est autre : quand le journal lui-même est contesté, pouvez-vous montrer qu’il n’a pas été altéré ?

Un journal d’activité ordinaire n’est qu’une série de lignes en base de données

Un journal d’activité classique est une table dans laquelle l’application écrit — et peut, en principe, réécrire. Un administrateur, un bogue ou un attaquant disposant d’un accès à la base peut modifier ou supprimer des lignes, et rien dans les lignes restantes ne le révèle. Le journal ne fait preuve qu’aussi longtemps que personne ne le met en question.

Ce que GingerDocs fait différemment

Chaque événement de la vie d’un document — créé, envoyé, consulté, signé, refusé, annulé — est ajouté à un journal qui fonctionne comme un registre à détection des altérations :

  • En ajout seul — les événements sont ajoutés, jamais modifiés ni supprimés.
  • Chaîné par hachage — chaque entrée contient un hachage SHA-256 de l’entrée précédente, si bien que chaque enregistrement est lié cryptographiquement à tout ce qui le précède.
  • Attribué — chaque événement porte un horodatage et l’adresse IP dont il provient.

Pourquoi le chaînage change la donne

Supposons que quelqu’un altère une entrée historique. Son hachage ne correspond plus à la valeur intégrée dans l’entrée suivante, laquelle ne correspond plus à celle d’après — la chaîne se rompt visiblement à l’endroit de l’altération. Falsifier discrètement l’historique exigerait de recalculer toute la chaîne vers l’avant, ce qu’une conception en ajout seul refuse précisément d’autoriser.

Le résultat est un journal qui ne demande pas qu’on lui fasse confiance : il peut être contrôlé.

La vérification boucle la boucle

Un journal à détection des altérations est d’autant plus utile que l’autre partie peut le consulter. Toute personne détenant un PDF GingerDocs finalisé peut confirmer, sur la page de vérification publique, que le fichier correspond à ce que le journal d’audit enregistre comme ayant été signé — sans compte et sans croire personne sur parole.

Quand vous évaluez un outil de signature, ne demandez pas s’il dispose d’une traçabilité. Demandez ce qui empêche cette traçabilité d’être modifiée. Si la réponse est « les permissions », continuez à chercher.