Signature électronique au Maroc

Périmètre de Khatm pour les projets de signature électronique de documents PDF au Maroc : workflow, loi n° 43-20, PSCo et responsabilités.

Publié le 9 sept. 2026 · Mis à jour le 3 oct. 2026 · 3 min de lecture

Préparer les décisions du projet

À décider avec vos conseils et prestataires : niveau de signature, identification, certificat, dispositif de création, conservation et validation. Khatm fournit le parcours technique ; sa démo auto-signée ne prouve pas que ces exigences sont satisfaites.

Synthèse

En langage clair : Khatm fournit une couche technique de parcours de signature de documents PDF. Khatm n'est pas un prestataire de services de confiance (PSCo) agréé au Maroc. La conformité au droit applicable et le choix du PSCo relèvent du projet du client.

1. Périmètre et responsabilités

Le présent guide décrit le positionnement technique de Khatm pour les projets situés au Maroc. Il ne constitue pas un avis juridique.

• Khatm orchestre le workflow : préparation, signataires, champs, authentification du parcours, suivi et preuves.
• Khatm n'émet pas de certificat de confiance public et ne revendique aucun agrément au titre de la loi n° 43-20.
• L'identification des parties, le choix du PSCo et l'analyse réglementaire demeurent à la charge du client et de ses conseils.

2. Architecture

Application ou système d'information du client
Couche workflow Khatm
Identité et confiance (PSCo, certificats, HSM selon le projet)

Séparation entre le système d'information du client, le workflow Khatm et l'infrastructure de confiance du projet.

3. Cadre marocain

La loi n° 43-20 relative aux services de confiance pour les transactions électroniques, entrée en vigueur le 13 juillet 2023, désigne la DGSSI comme autorité nationale. La loi encadre les prestataires de services de confiance (PSCo) et les niveaux de signature.

• La DGSSI fixe les référentiels et publie la liste des PSCo agréés (article 53 de la loi n° 43-20).
• Seul un PSCo agréé peut délivrer un certificat qualifié assorti de la présomption de fiabilité associée.
• Le décret n° 2-22-687 précise le cadre d'application applicable aux prestataires et au contenu des certificats qualifiés.

4. Mise en production

En langage clair : l'environnement de démonstration valide le parcours technique. Une signature destinée à un usage en production nécessite le raccordement de l'infrastructure de confiance retenue par le projet.

1. Valider le workflow dans la démo ou la sandbox API.
2. Définir le niveau de preuve requis avec les conseils du client.
3. Sélectionner le PSCo ou la PKI du client.
4. Raccorder identité, certificats et, le cas échéant, HSM.
5. Vérifier le chemin de confiance dans les lecteurs PDF cibles.

5. Considérations de sécurité

• Ne pas réutiliser un certificat ou une clé de démonstration en production.
• Séparer les environnements de test et de production.
• Protéger la clé privée de signature (HSM ou KMS, contrôle d'accès, journalisation).
• Ne pas confondre un avis « identité non vérifiée » dans un lecteur PDF avec une altération du document.
• Prévoir la politique de révocation (OCSP ou CRL) lorsque la durée de vie du document dépasse celle du certificat.

Informations générales, sans valeur de conseil juridique. Vérifiez les exigences applicables à votre opération.