Intégrer la signature électronique en 20 minutes
Découvrez comment intégrer une API de signature électronique en moins de 20 minutes : création d'une demande, envoi du lien, réception du webhook signé et récupération du PDF signé.
Intégrer la signature électronique à votre application ne nécessite pas des semaines de développement. Avec une API bien conçue, vous pouvez proposer la signature en quelques minutes. Ce tutoriel vous montre pas à pas comment créer une demande de signature, transmettre le lien au signataire, recevoir une notification signée et récupérer le document signé, en utilisant Sign-Hub. Nous aborderons également les aspects de sécurité et de conformité essentiels.
Pourquoi intégrer la signature électronique ?
La signature électronique est devenue un standard pour les contrats, devis, ou tout document nécessitant une validation. L'intégrer à votre application évite les allers-retours d'impression, de scan et d'envoi postal. Pour un développeur, cela signifie automatiser un processus métier et offrir une expérience fluide à l'utilisateur final.
Vue d'ensemble de l'API Sign-Hub
Sign-Hub est un service de signature électronique édité par NEW VISION OF APPS (SAS, Janzé, France). Il se positionne comme une solution API-first : l'ensemble des fonctionnalités est accessible via une API REST. Une seule route permet de créer une demande de signature. Le service gère ensuite l'envoi des emails, le suivi des signatures et la génération des documents probants.
L'API est documentée selon la spécification OpenAPI 3.1. Un SDK TypeScript est disponible pour faciliter l'intégration. De plus, un fichier llms.txt est conçu pour être lu par un assistant de code, ce qui accélère le développement.
Prérequis
- Un compte Sign-Hub (offre Découverte gratuite, 10 actes par mois)
- Une clé API (disponible dans le tableau de bord)
- Un environnement de développement (Node.js pour ce tutoriel)
Étape 1 : Créer une demande de signature
La première étape consiste à appeler l'API pour créer une demande. Vous devez fournir le document à signer (PDF), l'identifiant du signataire (email, nom) et éventuellement des options comme l'ordre de signature.
Exemple de requête avec curl :
curl -X POST "https://api.sign-hub.example.com/v1/signature-requests" \
-H "Authorization: Bearer VOTRE_CLE_API" \
-H "Content-Type: application/json" \
-d '{
"document": {"name": "contrat.pdf", "content": "base64..."},
"signers": [
{"email": "client@example.com", "first_name": "Jean", "last_name": "Dupont"}
]
}'
La réponse contient un identifiant de demande et un lien public de signature. Ce lien est unique à chaque signataire. Vous pouvez le transmettre par email ou l'afficher dans votre interface.
Étape 2 : Transmettre le lien au signataire
Le lien public peut être intégré dans un email automatique ou affiché dans une page de votre application. Sign-Hub gère également l'envoi d'emails de relance si vous le configurez. Dans notre exemple, nous envoyons le lien directement via l'API de votre choix.
Étape 3 : Recevoir le webhook signé
Lorsque le signataire a terminé sa signature, Sign-Hub envoie une notification à votre serveur via un webhook. Ce webhook est signé avec un secret HMAC pour garantir son authenticité. Deux versions sont proposées : une simple et une horodatée anti-rejeu.
Pour vérifier le webhook, vous devez calculer la signature HMAC à partir du corps de la requête et comparer avec l'en-tête fourni. En cas d'échec, ignorez la requête.
Exemple de vérification en Node.js :
const crypto = require('crypto');
function verifyWebhook(payload, signature, secret) {
const expected = crypto
.createHmac('sha256', secret)
.update(payload)
.digest('hex');
return expected === signature;
}
Étape 4 : Récupérer le PDF signé et le dossier de preuve
Après le webhook, vous pouvez récupérer le PDF signé et le dossier de preuve via l'API. Le PDF est scellé au format PAdES, garantissant son intégrité. Le dossier de preuve contient toutes les informations nécessaires pour vérifier la validité de la signature.
Exemple de récupération :
curl -X GET "https://api.sign-hub.example.com/v1/signature-requests/{id}/signed-pdf" \
-H "Authorization: Bearer VOTRE_CLE_API"
La preuve vérifiable : un atout différenciant
Contrairement à de nombreux acteurs, Sign-Hub permet à n'importe qui de vérifier la validité d'une signature sans faire confiance à l'éditeur. Le dossier de preuve est signé avec une clé Ed25519, dont la clé publique est publiée à une adresse bien connue. Vous pouvez vérifier un proof.json hors ligne ou via un outil en ligne. Cette transparence renforce la valeur probante.
Sécurité et conformité
Sign-Hub respecte le règlement eIDAS (règlement (UE) n° 910/2014) pour la signature électronique simple. Le consentement du signataire est explicitement consigné, l'empreinte du document est figée à la signature, et les données de connexion sont anonymisées conformément au RGPD, sans casser la preuve. Les données sont hébergées dans l'Union européenne.
Il est important de noter que la signature proposée est une signature électronique simple, renforcée par la vérification d'email et le scellement. Elle ne constitue pas une signature avancée ou qualifiée au sens d'eIDAS. Pour des actes où la loi exige une signature qualifiée, d'autres solutions comme Universign peuvent être nécessaires.
Comparaison avec d'autres solutions
Yousign, DocuSign et Universign offrent également des API de signature électronique. La plupart proposent des fonctionnalités similaires : envoi de liens, suivi, webhooks. Sign-Hub se distingue par sa transparence sur la vérification de la preuve et son approche API-first avec une documentation pensée pour l'IA. Son tarif à l'acte, sans abonnement obligatoire, peut convenir aux petites structures.
Pour aller plus loin
Le SDK TypeScript permet d'intégrer rapidement l'API dans vos projets. La spécification OpenAPI 3.1 est disponible, et le fichier llms.txt peut être utilisé par des assistants de code pour générer du code d'intégration. Pour tester, créez un compte sur l'offre Découverte et utilisez votre première clé API.
Conclusion
Intégrer la signature électronique à votre application est à la portée de tout développeur, et Sign-Hub le rend simple et rapide. En moins de 20 minutes, vous pouvez créer une demande, recevoir le webhook et récupérer le document signé. La documentation complète et les outils fournis vous permettront d'aller plus loin selon vos besoins.