Une image de cachet, une signature manuscrite scannée, une signature électronique et une empreinte SHA-256 peuvent apparaître autour de la même facture, mais elles n’identifient pas la même personne, ne protègent pas la même chose et n’ont pas la même valeur de preuve. La loi marocaine 43-20 organise notamment signatures électroniques, sceaux, horodatage et autres services de confiance. Un logiciel doit nommer exactement le mécanisme qu’il fournit.
Les cinq mécanismes
- Le cachet visuel montre une marque d’entreprise sur la page ; une image se copie.
- La signature manuscrite numérisée montre un tracé, pas le processus ayant conduit à son apposition.
- La signature électronique lie des données à un signataire selon un niveau et des moyens de vérification.
- Le sceau électronique vise notamment l’origine et l’intégrité au nom d’une personne morale.
- SHA-256 détecte une modification des octets mais n’identifie aucun signataire à lui seul.
- BelloPOS sépare le PDF personnalisable et le scellement technique local, sans prétendre appliquer une signature qualifiée.
1. Tableau des différences
Le mot cachet est ambigu en français : cachet commercial imprimé et sceau électronique réglementé ne sont pas interchangeables.
| Mécanisme | Fonction principale | Limite essentielle |
|---|---|---|
| Cachet image | Présentation et identification visuelle | Copiable, ne protège pas les octets |
| Signature scannée | Reproduire un tracé sur le PDF | Ne prouve pas à elle seule le consentement actuel |
| Signature électronique | Lier le signataire aux données | Dépend du niveau, certificat et processus |
| Sceau électronique | Lier une personne morale aux données | Demande un véritable service, pas un logo |
| Horodatage électronique | Associer une date et heure vérifiables | Une horloge locale n’est pas un service de confiance |
| Hash SHA-256 | Vérifier l’intégrité d’un fichier | N’identifie pas l’auteur ni l’heure |
Demandez toujours le verbe : afficher, approuver, signer, sceller, horodater ou transmettre. Une case « afficher la signature » ne devient pas une signature électronique parce que le PDF est envoyé par e-mail.
2. Les niveaux présentés par la loi 43-20
La note officielle de la DGSSI explique que la loi 43-20 retient des signatures simple, avancée et qualifiée. Elle décrit le niveau simple sans exigence technique déterminée et sans présomption de fiabilité ; le niveau avancé avec exigences techniques et organisationnelles intermédiaires, notamment certificat ; le niveau qualifié avec certificat qualifié et produits cryptographiques, bénéficiant d’une présomption de fiabilité. Faites lire le texte et ses décrets applicables à votre cas par un juriste.
- Simple : Usage simplifié ; la note indique l’absence de présomption de fiabilité.
- Avancée : Lien et exigences renforcés, plus souples que le niveau qualifié.
- Qualifiée : Certificat qualifié, exigences élevées et présomption de fiabilité selon le cadre.
- Services associés : Validation, conservation, sceau, horodatage, envoi recommandé électronique et certificats de site figurent aussi dans le cadre.
La forme électronique ne doit pas être rejetée simplement parce qu’elle n’est pas qualifiée, selon la note de présentation, mais cela ne donne pas la même force à tous les mécanismes. Le contexte, les obligations du document, l’identification et la contestation restent déterminants.
3. Décider ce dont votre facture a besoin
Ne commencez pas par acheter un certificat. Commencez par le risque et le destinataire.
- Identifiez qui doit approuver la facture en interne.
- Demandez au client ou portail s’il exige une signature et quel niveau.
- Séparez la présentation du PDF de la preuve technique.
- Déterminez le fichier réellement signé : PDF, XML ou enveloppe.
- Vérifiez comment certificat, identité, révocation et horodatage se contrôlent.
- Conservez le résultat de validation et les informations nécessaires à sa vérification future.
- Testez ce qui arrive après modification d’un caractère ou expiration du certificat.
- Documentez le rôle du hash local, du signataire et du service de confiance.
| Besoin | Mécanisme possible | Question |
|---|---|---|
| Document à l’image de l’entreprise | Logo et cachet visuel | Qui peut importer ou afficher l’image ? |
| Validation interne | Compte, rôle et journal | Qui a approuvé et quand ? |
| Intégrité du XML | SHA-256 | Où la référence est-elle protégée ? |
| Engagement d’un signataire | Signature électronique adaptée | Quel niveau et quel certificat ? |
| Origine personne morale | Sceau électronique | Quel prestataire et quelle validation ? |
| Date opposable | Horodatage de confiance | Comment vérifier et conserver ? |
Le scellement SHA-256 répond à l’intégrité locale. Il peut faire partie d’un processus plus large, mais ne devient pas une signature par proximité. De même, un QR code peut transporter une référence sans certifier celui qui l’a créé.
Ne mettez pas une image de signature partout
Une signature scannée accessible à tous les comptes peut être copiée sur des documents non approuvés. Limitez son import et son affichage, gardez l’original protégé, journalisez les utilisateurs et préférez une validation explicite pour les opérations sensibles.
4. Ce que BelloPOS fait exactement
Les PDF A4 BelloPOS peuvent afficher le cachet et la signature importés lorsque les options sont activées. Il s’agit d’éléments visuels de pied de facture. Les droits d’émission et le journal d’activité contribuent au contrôle interne, mais l’image n’est pas présentée comme une signature électronique qualifiée.
Pour la facture électronique, BelloPOS Go et Pro construisent l’XML UBL et calculent une empreinte SHA-256 au moment de l’émission. Le produit appelle cela scellement local : il permet de comparer l’export au contenu émis, sans certificat de signataire, horodatage qualifié ou validation DGI.
Pro ajoute devis, commandes, livraisons, factures et avoirs avec PDF personnalisable. Vérifiez sur la page tarifs BelloPOS quel flux correspond à votre besoin. Si un client exige un service de confiance particulier, ajoutez un fournisseur conforme au niveau demandé au lieu de rebaptiser le hash.
5. Checklist avant d’écrire « signé électroniquement »
Votre dossier doit permettre à un tiers de refaire la vérification.
- Le mécanisme exact et son niveau sont nommés.
- Le signataire ou la personne morale est identifiable.
- Le fichier ou les données couverts sont sans ambiguïté.
- La validation utilise une source et un certificat appropriés.
- La date vient d’un mécanisme défini, pas seulement de l’horloge du PC.
- Les droits d’apposition et de validation sont limités.
- Le résultat de vérification est conservé avec le document.
- La procédure prévoit expiration, révocation, perte de clé et contestation.
- Le PDF visible et l’XML structuré ne sont pas confondus.
- Aucune mention DGI n’est ajoutée sans retour administratif réel.
Faites confirmer l’exigence du destinataire et l’effet juridique recherché. Une signature plus coûteuse n’est pas automatiquement nécessaire pour toute facture ; une image moins coûteuse n’est pas automatiquement suffisante. Le bon niveau vient du texte, du contrat et du risque.
Les erreurs à éviter
- Appeler le cachet image sceau électronique.
- Appeler SHA-256 signature numérique.
- Laisser tous les utilisateurs importer la signature du dirigeant.
- Signer le PDF mais transmettre un XML différent sans relation.
- Utiliser l’heure locale comme horodatage qualifié.
- Ignorer expiration ou révocation du certificat.
- Présenter un cachet comme validation DGI.
- Ne pas conserver le résultat de vérification.
Questions fréquentes
Un cachet scanné est-il un sceau électronique ?
Non. Le premier est une image de présentation. Le second appartient à un mécanisme de confiance avec des exigences et une validation propres.
Une signature manuscrite dans le PDF est-elle électronique ?
Le document est électronique, mais l’image seule ne décrit pas un processus de signature électronique ni son niveau. Il faut examiner le mécanisme complet.
SHA-256 signe-t-il la facture ?
Non. Il fournit une empreinte d’intégrité. Il ne fournit seul ni identité du signataire, ni certificat, ni date de confiance.
Quelles signatures la loi 43-20 présente-t-elle ?
La note officielle distingue simple, avancée et qualifiée et encadre également plusieurs services de confiance. Consultez le texte applicable avec un juriste.
BelloPOS applique-t-il une signature qualifiée ?
Non. Il peut afficher cachet et signature importés sur le PDF et scelle localement l’XML avec SHA-256. Il ne revendique pas une signature qualifiée.
Une facture doit-elle toujours être signée ?
Ne généralisez pas. Vérifiez le texte fiscal, le contrat, le secteur et l’exigence du destinataire pour le document concerné.
À retenir
Le cachet rend une page reconnaissable, la signature électronique peut lier un signataire, le sceau électronique peut porter l’origine d’une personne morale, l’horodatage situe un événement et SHA-256 vérifie les octets. Une facture solide nomme chaque preuve sans donner à l’une le rôle d’une autre.
Sources
Les chiffres et les règles cités ci-dessus viennent de ces pages, consultées à la date indiquée dans l’article.
- Note officielle de présentation de la loi 43-20 sur les services de confiance, DGSSI
- Code général des impôts 2026, DGI, consulté le 29 août 2026
- BelloPOS, documents commerciaux, cachet et signature, consulté le 29 août 2026
- BelloPOS, facturation électronique et export UBL, consulté le 29 août 2026
Personnalisez le PDF sans surpromettre la preuve
Testez cachet, signature visuelle, droits d’émission et scellement UBL dans BelloPOS, puis faites valider tout besoin de signature électronique par votre destinataire et votre conseil.
Pour aller plus loin
D’autres guides pratiques sur le même sujet :