La sécurité, la traçabilité et la présentation honnête des éléments techniques sont au cœur de SignCloud.
Toutes les communications sont chiffrées en transit (HTTPS/TLS). Les pages de signature ne sont accessibles que via un lien à jeton aléatoire non devinable.
Chaque signature est confirmée par un code à usage unique envoyé par SMS. Le code n'est jamais stocké en clair et aucun repli par e-mail n'est accepté pour signer. Une vérification du numéro de SIRET de la société signataire peut être exigée par l'émetteur.
Une empreinte SHA-256 est enregistrée pour le PDF signé. Sa comparaison avec un fichier permet de détecter une modification ultérieure. Un dossier technique (heure serveur, adresse IP, canal de vérification et empreinte) est disponible.
Chaque évènement (envoi, ouverture, vérification, signature, scellement) est inscrit dans un journal d'audit chaîné cryptographiquement : toute altération a posteriori est détectable.
SignCloud consigne les contrôles effectivement réalisés dans chaque parcours de signature électronique. Le service prend en charge la SES et des parcours renforcés conçus pour répondre aux exigences de l'AES au sens d'eIDAS. Aucune QES ni aucun service de confiance qualifié n'est revendiqué.
Le service est hébergé en France. Les données sensibles sont stockées dans un environnement OVHcloud à Paris avec hébergement qualifié SecNumCloud et les sauvegardes chiffrées hors-site restent dans l'Union européenne. L'accès aux espaces est cloisonné par organisation ; les mots de passe sont hachés ; la double authentification est disponible (application d'authentification pour les administrateurs, code e-mail pour les clients). Les actions sensibles sont journalisées et les restaurations sont testées.
Pour signaler une vulnérabilité : securite@signcloud.fr.
Dernière mise à jour : 10 septembre 2026 — version 1.1.