Construire ou intégrer la signature électronique dans votre produit ?

Guide de décision pour équipes produit : ce que coûte vraiment une signature PDF faite maison, ce qu’implique une API, trois scénarios et une checklist.

Publié le 3 oct. 2026 · 7 min de lecture

Pour la plupart des éditeurs de logiciel, intégrer un moteur de signature existant est plus raisonnable que le construire : la partie visible (un bouton « Signer ») est petite, la partie invisible (PAdES, certificats, preuves, maintenance) est lourde et permanente. Construire se justifie surtout quand la signature est votre cœur de métier ou qu’une contrainte de confiance impose une maîtrise totale. Ce guide détaille les deux options pour que votre équipe produit et technique décide en connaissance de cause.

Si vous cherchez d’abord l’architecture générale d’un workflow de signature dans un SaaS, commencez par notre guide d’intégration. Ici, on se concentre sur la décision elle-même. Intégrer la signature à votre SaaS

Ce que « construire » implique vraiment

Une équipe qui décide de tout faire en interne prend en charge une liste de chantiers qui dépasse largement le premier prototype. Voici ce qu’il faut prévoir.

L’interface de préparation et de placement des champs

Il faut afficher le PDF page par page, permettre de poser des champs (signature, date, texte, initiales), les attribuer à chaque signataire, gérer le zoom, les rotations et les PDF mal formés. Pour des documents répétitifs (contrats RH, devis CRM), il faut aussi des modèles réutilisables et, idéalement, une détection automatique des zones à signer.

Les parcours multi-signataires et les relances

Ordre de signature, refus, annulation, expiration des liens, relances, notifications par e-mail, statuts cohérents entre votre base et le document : chaque cas limite devient un ticket. Un contrat de travail signé par le salarié puis par la direction, ou un devis signé par le client puis contresigné par le commercial, suffit à faire apparaître ces cas.

La signature PAdES et sa validation

Produire un PDF signé que les lecteurs reconnaissent demande de maîtriser le format PAdES (ETSI EN 319 142) : empreinte du document, structure CMS, mises à jour incrémentales, plusieurs signatures successives sur le même fichier. Il faut ensuite vérifier le résultat dans plusieurs lecteurs PDF, qui ne réagissent pas tous de la même façon. PAdES : comprendre un PDF signé

Certificats, clés et HSM

Une clé de signature doit être protégée, souvent dans un HSM, avec une rotation, des sauvegardes et des accès tracés. En production, vos clients voudront parfois utiliser leur propre PKI ou un prestataire de confiance précis : votre moteur doit alors savoir se connecter à plusieurs sources de certificats.

Horodatage, preuves et journal d’audit

Pour prouver qu’une signature existait à une date donnée, il faut appeler une autorité d’horodatage RFC 3161. Il faut aussi conserver un journal d’activité, des empreintes SHA-256 et produire un rapport de preuve lisible par un juriste ou un auditeur.

Sécurité, langues et maintenance

• Revues de sécurité : chiffrement des PDF au repos, liens de signature, contrôle d’accès, questionnaires de sécurité de vos grands clients.
• Interface signataire multilingue : l’arabe impose une mise en page de droite à gauche, des polices adaptées et des tests sur mobile, en plus du français et de l’anglais.
• Maintenance continue : les lecteurs PDF évoluent, les standards sont révisés, les algorithmes vieillissent, et chaque mise à jour doit être retestée.

Ce que « intégrer » implique

Intégrer ne signifie pas zéro travail. Votre équipe garde une part réelle de responsabilité, plus courte et mieux délimitée.

• Correspondance des modèles : relier vos objets (contrat, devis, dossier client) à une demande de signature, à ses signataires et à ses champs.
• Webhooks : recevoir les événements de fin, de refus ou d’annulation, vérifier leur signature HMAC et mettre à jour vos statuts.
• Idempotence : utiliser une référence client stable pour qu’un appel rejoué ne crée pas deux demandes.
• Tests en sandbox : valider le parcours complet avec des clés de test avant toute mise en production.
• Dépendance au fournisseur : disponibilité, évolution de l’API, conditions de sortie et récupération des PDF signés.
• Données et conservation : où sont stockés les documents, combien de temps, qui y accède, et comment cela s’aligne avec vos contrats clients.

Concrètement, une création de demande depuis un CRM ressemble à ceci. La référence client rend l’appel idempotent, et l’URL de rappel reçoit les événements signés.

curl -sS \
  -H "Authorization: Bearer $KHATM_API_KEY" \
  -F "document=@contrat.pdf;type=application/pdf" \
  -F 'request={
    "client_reference": "crm-quote-4821",
    "signers": [
      {"reference": "client", "name": "Client", "email": "client@example.com", "order": 1},
      {"reference": "sales", "name": "Sales", "email": "sales@example.com", "order": 2}
    ],
    "template_id": "7f331696-d933-46cd-aeff-1c08151c85c1",
    "callback_url": "https://app.example.com/webhooks/khatm"
  }' \
  "$KHATM_BASE_URL/v1/signature-requests"

Comparaison des deux options

Trois scénarios types

SaaS en phase de lancement

Votre priorité est de prouver la valeur du produit. Un module de signature fait maison immobiliserait votre équipe sur un sujet périphérique. Recommandation : intégrer une API, valider le parcours en sandbox, et garder vos efforts pour votre métier.

Éditeur établi avec des exigences fortes de marque et d’UX

Votre logiciel RH ou votre portail client a une identité forte, et vos signataires ne doivent pas avoir l’impression de changer d’outil. Recommandation : intégrer un moteur qui laisse votre application porter l’interface et la marque, plutôt qu’une suite qui impose la sienne. Construire reste envisageable si vous disposez déjà d’une équipe PKI. Signature électronique en marque blanche

Clients régulés qui exigent un prestataire de confiance précis

Une banque ou un acteur public impose son certificat, son HSM ou son prestataire de confiance. Recommandation : choisir un moteur capable de se connecter à cette infrastructure. Construire ne vous dispense pas de ce prestataire, il faudrait seulement en réaliser la connexion seul.

Checklist de décision

1. La signature est-elle au cœur de votre proposition de valeur, ou une fonction attendue parmi d’autres ?
2. Avez-vous en interne des compétences en PDF, cryptographie et gestion de clés, et pouvez-vous les garder dans la durée ?
3. Vos signataires ont-ils besoin d’une interface en arabe, français et anglais ?
4. Vos clients imposent-ils un certificat, un HSM ou un prestataire de confiance particulier ?
5. Quelles règles de conservation et de localisation des données vos contrats prévoient-ils ?
6. Pouvez-vous tester le parcours complet en sandbox avant de vous engager ?
7. Comment récupérez-vous vos PDF signés et vos preuves si vous changez de fournisseur ?

La voie intermédiaire avec Khatm

Khatm est conçu pour les éditeurs qui veulent garder leur produit et déléguer le moteur. Vous conservez votre interface et votre logique métier, Khatm gère les PDF, les signataires, les champs, la signature PAdES, le rapport de preuve PDF et les preuves JSON. Le parcours signataire fonctionne nativement en arabe (de droite à gauche), en français et en anglais.

• La démo publique, sans compte, permet de signer un vrai PDF avec un certificat de test autosigné.
• La sandbox API v1 est en libre-service : clés de test, webhooks signés, détection de champs, relances.
• La production se prépare avec Khatm : adaptation du parcours et de la marque, identité de vos signataires, certificat de votre PKI, HSM ou prestataire de confiance, horodatage RFC 3161 quand ce prestataire le fournit, conservation définie avec vous.

Signature PDF intégrée à votre logiciel, sous votre marque, en arabe, français et anglais. Testez en sandbox, nous vous accompagnons jusqu’à la production. Commencez par la démo ou une clé sandbox, lisez la documentation, puis préparons ensemble la production. Tester la démo Obtenir une clé sandbox Documentation Accompagnement

Informations générales, sans valeur de conseil juridique. Vérifiez les exigences applicables à votre opération.