Des preuves, pas des promesses.
Chaque carnet de croquis tient un historique complet et signé. Sceller prend le moment qui comptait — la page sur laquelle tout le monde s'est accordé — et en fait un enregistrement que vous pouvez remettre à quelqu'un qui n'a ni compte, ni clés, ni raison particulière de vous croire.
Un historique convainc celles et ceux qui sont déjà dans la boucle
Un historique de versions règle très bien la question « qu'avons-nous changé mardi dernier ? » entre collègues. Il est beaucoup plus faible dans la situation pour laquelle on tient des archives : un sinistre, un audit, un litige — quand le lecteur est extérieur à votre organisation et que son métier consiste à supposer que l'enregistrement a été arrangé après coup.
Une capture d'écran ne prouve rien. Un export PDF ne prouve rien. Un export de base de données ne prouve rien non plus, puisque c'est vous qui contrôlez la base. Ce qui résiste à ce lecteur, c'est un enregistrement qu'il peut vérifier lui-même, réalisé avec des clés qu'il peut distinguer, et daté par quelqu'un qui n'a aucun intérêt dans l'affaire. C'est exactement ce qu'est un sceau.
Quatre choses se produisent quand vous scellez une page
Fixer l'état exact
Le sceau capture précisément le contenu que vous avez validé — chaque trait, sur les pages concernées — plutôt qu'un renvoi vers « la version actuelle », qui ne cesse de bouger. Choisissez une seule page ou le carnet entier.
Le signer sur votre appareil
Votre clé ne quitte jamais votre machine. Avant de l'utiliser, l'app vous montre exactement ce que vous vous apprêtez à signer et demande votre consentement explicite — on ne signe jamais en silence.
Le faire dater par un tiers
La signature est envoyée à une autorité d'horodatage RFC 3161 indépendante, qui renvoie un jeton signé. La date ne dépend ni de votre horloge, ni de celle de votre collègue, ni de la nôtre.
L'enregistrer, définitivement
Le sceau est écrit dans un stockage qui ne fait qu'ajouter et apparaît comme un jalon sur la chronologie des versions, revérifié chaque fois que quelqu'un le consulte.
Rien de tout cela n'exige une connexion au moment où vous dessinez. Un sceau créé hors ligne est horodaté dès que l'appareil peut joindre une autorité, et l'enregistrement le dit plutôt que de prétendre le contraire.
Autant de signataires que la décision l'exige
« Cosignature et contresignature » désigne deux intentions, pas deux personnes. Il n'y a pas de limite à deux, et les deux mécanismes répondent à des questions différentes.
Cosignature
Un seul énoncé, plusieurs signatures. Chacun signe un contenu identique à l'octet près, avec sa propre clé et son propre horodatage — et le vérificateur rend compte de chacune séparément, de sorte que « trois validations sur quatre sont vérifiées » ne se réduise jamais à « le sceau est invalide ». À utiliser quand les parties affirment la même chose sur un pied d'égalité.
Comme le stockage ne fait qu'ajouter, deux personnes peuvent cosigner en même temps, sur des appareils différents, hors ligne et sans se concerter — et les deux signatures survivent à la fusion.
Contresignature
Un nouvel énoncé qui s'engage sur un énoncé antérieur. À utiliser quand la seconde validation porte sur la première — « j'ai vu ce que l'entreprise a validé, et je l'accepte » —, quand le signataire a besoin de sa propre mention, ou quand assez de temps a passé pour que le travail ait pu évoluer.
La cosignature donne un ensemble non ordonné de pairs. La contresignature donne une chaîne ordonnée. Les deux s'exportent ensemble, si bien que le tableau complet de qui a approuvé quoi tient dans un seul fichier.
C'est vous qui décidez ce que le fichier révèle
Une preuve plus forte suppose d'en montrer davantage. La boîte de dialogue d'export rend cet arbitrage explicite au lieu de trancher à votre place — quatre niveaux, chacun prouvant plus que le précédent, chacun révélant plus que le précédent. Rien en dehors des pages scellées n'est jamais inclus, et aucune clé de déchiffrement ne quitte votre appareil.
L'image
L'énoncé, chaque signature, les jetons d'horodatage et une image des pages scellées. Prouve qui a scellé quoi et quand — mais l'image elle-même repose sur la parole du signataire.
Révèle : Uniquement les pages validées, sous forme d'image aplatie.
La chaîne
Ajoute les métadonnées de chaque modification derrière ces pages. Le destinataire vérifie l'historique d'édition complet et attribue chaque modification à une clé — sans rien apprendre de ce que contenait chacune d'elles.
Révèle : Qui a modifié quelque chose et dans quel ordre. Pas ce qui a été dessiné.
Le contenu
Ajoute les données de page elles-mêmes, si bien que le destinataire recompose le dessin sur sa propre machine et cesse de croire l'image sur parole.
Révèle : Le contenu final des pages scellées.
L'historique complet
Ajoute le journal brut des modifications. Le destinataire rejoue le dessin depuis zéro, le voit arriver à l'état scellé et relie chaque modification à son enregistrement signé.
Révèle : Tout, y compris les traits que vous avez gommés — un journal d'édition les conserve pour toujours. L'app vous prévient avant que vous choisissiez ce niveau.
Le destinataire a besoin d'un navigateur. Rien d'autre.
Le ZIP embarque son propre vérificateur — un fichier unique qui s'exécute entièrement sur sa machine. Aucun compte chez nous, aucun logiciel à acheter, aucune clé de votre part et aucune connexion réseau, ce qui signifie aussi que rien de son examen n'est rapporté à qui que ce soit.
Il ne renvoie pas une coche verte. Il rend compte de chaque affirmation séparément — si le contenu est intact, si chaque signature est valide, ce qu'établit l'horodatage — et il dit clairement quelles affirmations le niveau de divulgation du fichier ne lui permet pas de vérifier. Un outil qui ne dit jamais que « valide » n'est pas une preuve, c'est une décoration. Il en va de même des années plus tard : le format est documenté et le code de vérification est ouvert, si bien qu'un paquet reste vérifiable longtemps après que l'app qui l'a créé a fait son temps.
Ce qu'un sceau prouve — et ce qu'il ne prouve pas
Être précis ici n'est pas une clause de non-responsabilité. Une preuve qui en dit trop vaut moins qu'une preuve qui indique exactement où elle s'arrête, car la première chose que fait un adversaire est de chercher l'écart entre l'affirmation et les mathématiques.
Il prouve
- Que ces personnes ont signé exactement cet énoncé.
Chaque signature porte sur une version fixe et sans ambiguïté du contenu, et elle est liée à ce seul usage — impossible de la transposer sur un autre document. Schéma de signature : Ed25519. - Qu'elles l'ont fait au plus tard à un instant donné.
L'heure est confirmée par une autorité d'horodatage indépendante — ni votre appareil, ni nous. RFC 3161, auprès d'un prestataire qualifié eIDAS lorsque vous en avez besoin. - Que l'énoncé porte exactement sur cet état du dessin.
La signature contient une empreinte de tout l'historique des modifications de la page. Changez un seul trait et l'empreinte ne correspond plus. - Que ces modifications ont été faites avec ces clés, dans cet ordre.
Chaque modification est signée individuellement, et son identifiant est calculé à partir de son contenu — insérer, supprimer ou réordonner quoi que ce soit après coup se voit immédiatement. - Que l'image affichée est bien ce que les données produisent.
À partir du niveau 3, le vérificateur redessine l'image à partir des données et compare les deux. En dessous, il indique clairement qu'il n'a pas pu le vérifier.
Il ne prouve pas
- Qu'une clé appartient à une personne nommément désignée.
À qui appartient une clé, les parties le règlent entre elles, comme elles le feraient avec n'importe quelle autre pièce d'identité. Le paquet embarque un extrait d'annuaire pour aider. Là où cela ne suffit pas, les certificats qualifiés comblent l'écart — voir ci-dessous. - Que le dessin n'existait pas plus tôt.
Un horodatage est une borne supérieure, à tous les niveaux d'assurance. Il prouve qu'une chose existait à un instant donné, jamais qu'elle n'existait pas avant.
Des horodatages qualifiés, quand le processus l'exige
L'autorité d'horodatage est un paramètre, pas une pièce figée du produit. C'est important, car ce que vaut un horodatage dans une procédure réglementée dépend entièrement de qui l'a émis.
Inclus
Les sceaux sont horodatés sans frais par une autorité RFC 3161 publique et indépendante. Le jeton est une véritable preuve de temps par un tiers et c'est ce sur quoi se jouent la plupart des litiges — il n'est simplement pas qualifié au sens d'eIDAS, et le vérificateur le dit au lieu d'entretenir le flou.
Qualifié, en option
Pointez le même mécanisme vers un prestataire de services de confiance qualifié eIDAS, et chaque sceau est estampillé par une autorité qualifiée. Un horodatage qualifié bénéficie d'une présomption légale d'exactitude de sa date et de son heure : la charge de le réfuter passe donc à la partie adverse.
Cela fonctionne à l'identique sur notre hébergement et sur votre propre serveur. Comme le service qualifié est lui-même un abonnement payant, il est facturé en option — parlons-en selon votre juridiction et votre volume.
Aller plus loin — jusqu'à la signature électronique qualifiée — est une autre étape, et mieux vaut être honnête à son sujet : elle exige un certificat qualifié délivré à chaque signataire nommément désigné après vérification d'identité, la clé de signature étant conservée dans un dispositif certifié. C'est aussi ce qui règlerait la seule chose que la cryptographie ne peut pas régler seule : quel être humain possède une clé. C'est inscrit à la feuille de route pour les clients dont le processus l'exige ; demandez-nous où cela en est.
On ne greffe pas cela sur une app ordinaire
La plupart des outils de dessin stockent l'état actuel d'un document et l'écrasent à mesure que vous travaillez. Il n'y a rien à sceller qu'un instantané, et rien à prouver que ce que cet instantané dit de lui-même.
- Le stockage ne fait qu'ajouter. Les modifications s'ajoutent, rien n'est écrasé — un état passé est donc toujours là pour être scellé, et toujours là pour être vérifié des années plus tard.
- Chaque modification est déjà signée. La paternité et l'ordre sont des propriétés des données elles-mêmes, pas des entrées dans un journal que quelqu'un ayant accès à la base pourrait réécrire.
- C'est chiffré de bout en bout. Les serveurs ne détiennent que du texte chiffré, c'est pourquoi le fichier de preuve peut être complet sans jamais confier vos clés à quiconque — et pourquoi le scellement fonctionne pareil sur votre serveur et sur le nôtre.
- C'est local-first. Le scellement se fait sur l'appareil, donc cela marche sur un toit, dans une cave ou dans un avion, et se synchronise à l'atterrissage.
C'est MindooDB, la base de données sous TeamSketchbook et sous toutes les autres apps Haven. Sceller n'est pas une fonctionnalité que nous avons ajoutée par-dessus — c'est ce que le stockage faisait déjà, rendu visible et transportable.
Quand un dessin doit tenir la route
Architectes & ingénieurs
Consignez quelle version du plan le client a validée pour l'exécution, avec une date confirmée par un tiers plutôt que par un fil d'e-mails.
Assurance & expertise de sinistres
Scellez un croquis de dommages sur place, hors ligne. Le sceau se fait au moment où vous dessinez, pas quand vous retrouvez du réseau.
Propriété intellectuelle & antériorité
Établissez qu'un design existait sous une forme exacte à une date précise — l'usage classique d'un horodatage indépendant.
Agences & validation client
Transformez le « oui, cette version-là » en un enregistrement que ni l'une ni l'autre partie ne peut réviser discrètement ensuite, sans acheter une licence de signature électronique pour chaque relecteur.
Enseignement & évaluation
Figez un rendu à l'échéance, pour que les modifications ultérieures apparaissent comme telles plutôt que comme sujets de discussion.
Sceller fait partie de l'app, ce n'est pas une option payante : aucun frais par signature, aucun frais par enveloppe, et aucun poste à payer pour la personne qui ne fait que vérifier. Voir les tarifs.
Scellez la version sur laquelle tout le monde s'est accordé.
Gratuit à l'usage hors ligne ou en auto-hébergement. Ouvrez Haven, installez TeamSketchbook et essayez-le sur une page dès aujourd'hui.