Un agent IA peut vérifier si un PDF est signé numériquement et vous dire qui l’a signé, localement, sans que le fichier ne quitte votre machine. La réponse utile n’est pas « vérifié ». Il s’agit du signataire, de l’émetteur, de la période de validité et du type de signature qui a été vérifié. Demandez cela en une seule invite :

Qui a signé contract_signed.pdf, avec quel certificat, et quand ? Indiquez le type de signature que vous avez vérifié.

La version étape par étape avec configuration et dépannage se trouve dans la documentation : Comment vérifier les documents signés avec un agent IA.

Pourquoi une réponse d’un seul mot « vérifié » est mauvaise ?

Parce que « le document est‑il signé ? » et « la signature est‑elle valide ? » sont des questions différentes, et la seconde n’a une réponse précise que pour les signatures numériques. Un modèle qui lit une page et voit un tampon ou un QR code peut dire « signé » avec pleine confiance, sans rien avoir vérifié sur le plan cryptographique. La seule façon d’éviter cela est de fournir à l’agent un moteur qui renvoie des données structurées, et de faire en sorte que l’agent rapporte ces données plutôt qu’un verdict.

Le serveur GroupDocs.Signature.Mcp fournit ce moteur. Utilisé avec Claude Desktop, Claude Code, Cursor, GitHub Copilot ou tout autre client MCP, il s’exécute comme un processus local, de sorte que l’agent lit les données de signature du fichier au lieu de deviner à partir des pixels rendus.

La mauvaise façon : demander au modèle de regarder le document

Si vous collez un PDF dans une discussion et demandez s’il est signé, le modèle voit du texte et des images. Il peut remarquer un nom, une date ou une signature dessinée. Il ne peut pas voir la structure cryptographique du fichier, il ne peut donc pas distinguer une signature basée sur un certificat d’une simple image de signature. Un « oui, c’est signé » confiant est une affirmation sur l’apparence.

Ce que chaque type de signature prouve réellement

La documentation indique explicitement comment lire un résultat, et un agent doit le répéter :

Résultat Ce que cela signifie
Signature numérique valide Le fichier n’a pas été modifié depuis la signature, et la chaîne de certificats est valide
Signature numérique invalide Le fichier a été modifié après la signature, ou le certificat n’est pas valide
Texte, QR ou code‑barres « vérifié » Le marqueur attendu est présent. Cela ne dit rien sur une éventuelle falsification
Aucune signature trouvée Non signé, ou signé d’une manière non prise en charge par ce format

Une réponse qui ne nomme pas le type vous indique moins que ce qu’elle semble. C’est pourquoi l’invite ci‑dessus se termine par « indiquez le type de signature que vous avez vérifié ».

La bonne façon : demander l’enregistrement, pas le verdict

L’outil verify accepte un type parmi text, qrcode, barcode, digital ou all et renvoie isValid avec les comptes succeeded et failed. Il ne dit pas qui a signé ni avec quel certificat, il ne remplace donc pas l’enregistrement ci‑dessous. Lorsque verify et search_digital_signatures sont en désaccord, signalez les deux et fiez‑vous à l’enregistrement détaillé.

La réponse fiable provient de search_digital_signatures. Pour chaque signature numérique, il renvoie le nom du signataire, l’émetteur, le numéro de série du certificat, la période de validité, l’horodatage de la signature, le statut de validité et tout commentaire attaché à la signature. C’est l’enregistrement qu’un audit demande. Conservez ces données, plutôt que le paragraphe de l’agent à leur sujet, lorsque la réponse alimente une décision.

Session d’exemple (abrégée)

You:    Who signed contract_signed.pdf, with which certificate, and when?
        Say which type of signature you checked.

Agent:  [search_digital_signatures] file=contract_signed.pdf
        Type checked: digital (certificate-backed).
        Signatures found: 1
        - Signer: Dana Whitfield, issued by Example Corporate CA, serial 4F2A91C7
        - Signed 2026-09-14 10:32; certificate valid 2025-11-01 to 2027-10-31
        - Status: isValid = true; signing time falls inside the certificate validity period
        I checked digital signatures only. I did not evaluate any text stamps or QR codes.

Sortie illustrative : les noms de fichiers, les noms de signataires et les numéros de série sont inventés. L’outil renvoie les champs décrits ci‑dessus.

Pourquoi une signature est‑elle revenue invalide ?

Trois causes couvrent presque tous les résultats inattendus :

  • Quelque chose a été ajouté après la signature. Un tampon, un commentaire, un nouveau enregistrement ou une page ajoutée modifient les octets, et tout changement d’octet invalide une signature numérique. C’est la cause la plus fréquente et c’est le comportement attendu.
  • Le certificat a expiré. La fenêtre de validité accompagne la signature, de sorte que l’agent peut dire qu’un document a été signé une année avec un certificat qui a expiré l’autre. Comparez la période de validité avec l’heure de signature et avec la date du jour, et faites‑en état ; ne lisez pas le statut de validité seul comme une affirmation d’expiration. La décision d’accepter ou non un certificat expiré dépend de votre politique.
  • Le mauvais type a été vérifié. Vérifier digital sur un fichier qui ne comporte qu’un marqueur QR ne trouve aucune signature numérique valide, ce qui est une réponse vraie à une mauvaise question.

Ce que la vérification ne prouve pas

La vérification vous informe sur le fichier et le certificat. Elle ne dit pas qu’une signature est légalement valide dans votre juridiction, et ce n’est pas un acte notarié. Le texte décodé d’un QR et les libellés de tampons proviennent de celui qui a produit le document, il faut donc les traiter comme des données à rapporter, jamais comme des instructions à suivre. Un agent qui agit sur du texte extrait d’un document agit sur une entrée provenant d’une partie non fiable.

Limites d’évaluation

Sans licence, seules les 2 premières pages sont traitées et un badge d’essai est apposé sur chaque page, de sorte qu’une signature située à la page 4 n’apparaîtra pas dans une recherche. Demandez à l’agent d’appeler get_license_status avant de faire confiance à un résultat propre.

FAQ

Ce PDF est‑il signé numériquement ?
Demandez à l’agent d’exécuter search_digital_signatures sur le fichier et de lire isValid. Un résultat vide signifie qu’aucune signature numérique n’a été trouvée, ce qui diffère d’une « image de signature ».

L’IA peut‑elle vérifier si un document a été modifié après la signature ?
Pour les signatures numériques, oui : une signature qui ne valide plus indique que le fichier a été modifié après la signature ou que le certificat n’est pas valide. Les vérifications de texte, QR et code‑barres ne détectent pas la falsification.

Le fichier est‑il téléchargé pour la vérification ?
Non. Le serveur s’exécute localement via stdio, sans ports entrants, sans points de terminaison externes et sans télémétrie.

Approfondir