L'expertise forensique de document est l'analyse technique et scientifique d'un fichier numérique visant à établir son authenticité, à détecter d'éventuelles falsifications et à reconstituer son histoire — création, modifications, manipulations — afin d'en apprécier la fiabilité comme preuve. Le terme « forensic », issu du vocabulaire de la criminalistique anglo-saxonne, désigne l'application de méthodes scientifiques à des fins probatoires : on ne juge pas le contenu d'un document, on examine ses traces matérielles pour répondre à une question unique : ce fichier est-il bien ce qu'il prétend être ?
Comment procède l'expert forensique
L'analyse forensique combine plusieurs approches complémentaires : examen des métadonnées du document (dates système, logiciel d'origine, historique de versions, propriétés du PDF), recalcul de l'empreinte numérique (hash) pour vérifier l'intégrité, détection de retouches d'image par analyse des niveaux d'erreur et de la compression, étude des journaux d'événements et corrélation des dates entre elles. L'expert recherche les incohérences révélatrices : une date affichée postérieure à la date de dernière modification, des signes de recompression trahissant un montage, des polices ou des résolutions hétérogènes au sein d'une même page, ou encore des écarts entre versions successives d'un même fichier. Chaque indice pris isolément peut être faible et discutable ; c'est leur convergence, méthodiquement documentée, qui fonde la conclusion de l'expert et lui donne sa force devant le juge.
Cette démarche reste néanmoins probabiliste : sur un fichier non protégé, l'expert raisonne par faisceau d'indices et conclut rarement avec une certitude absolue, ce qui laisse une marge de contestation à la partie adverse. C'est précisément là que l'horodatage change la nature de la preuve. Quand un document a été horodaté en amont via Certifiles, l'expert dispose d'une référence inattaquable : l'empreinte SHA-256 figée à une date certaine par une autorité d'horodatage qualifiée conforme à la norme RFC 3161. Il lui suffit de recalculer l'empreinte du fichier examiné et de la comparer au certificat : si elles correspondent au bit près, l'intégrité du document depuis la date d'horodatage est prouvée mathématiquement, sans place pour l'interprétation ni pour le doute. Une analyse forensique classique demande des heures, voire des jours d'expertise et reste discutable ; une vérification d'horodatage prend quelques secondes et ne se discute pas.
Cadre légal
En matière civile, l'expertise forensique éclaire le juge sur la valeur d'une preuve numérique, dont la recevabilité s'apprécie à l'aune des articles 1366 et 1367 du Code civil : l'écrit électronique a la même force probante que l'écrit papier dès lors que l'on peut identifier son auteur et garantir son intégrité. Le forensic intervient précisément pour répondre à cette seconde exigence — l'intégrité — lorsqu'elle est contestée. Un document horodaté par un service de confiance qualifié au sens du règlement européen eIDAS (n° 910/2014) bénéficie, lui, d'une présomption de fiabilité qui réduit voire supprime le besoin d'expertise contradictoire : la charge de prouver l'altération bascule alors sur celui qui la conteste. Le rapport d'expert, de son côté, n'a pas de valeur supérieure imposée au magistrat : il s'agit d'un avis technique apprécié librement, mais qui pèse d'autant plus qu'il s'appuie sur des éléments objectifs comme une empreinte cryptographique vérifiable plutôt que sur de simples présomptions. C'est la différence entre une preuve que l'on déduit et une preuve que l'on calcule.
Exemple concret
Dans un litige commercial, la société Marlec produit un contrat PDF que l'autre partie accuse d'avoir été modifié après signature, notamment sur le montant d'une pénalité. Un expert forensique est mandaté par le tribunal. Comme Marlec avait horodaté le contrat à sa conclusion, l'expert compare l'empreinte du fichier produit au certificat d'horodatage : elles correspondent exactement. L'intégrité est prouvée et l'accusation de falsification écartée en quelques minutes, là où une expertise purement forensique sur un fichier non protégé aurait nécessité de longues investigations sur des métadonnées par nature manipulables, sans certitude définitive. La partie adverse, faute d'argument technique, abandonne sa contestation.
À ne pas confondre avec…
- Le constat numérique : il fige un état observé à un instant T, sans nécessairement analyser l'historique du fichier ni rechercher des traces de manipulation.
- L'horodatage électronique : il prévient le besoin d'expertise en figeant l'intégrité datée, là où le forensic intervient le plus souvent après coup pour la vérifier.
- La simple lecture des métadonnées : c'est une étape du forensic, mais pas une expertise à elle seule, car les métadonnées sont facilement modifiables.
Cas d'usage
L'expertise forensique est sollicitée lors de contestations de contrats, de soupçons de faux documents administratifs, de litiges en propriété intellectuelle, de fraudes documentaires en entreprise ou de différends sur des livrables numériques. Elle peut être ordonnée par un juge dans le cadre d'une mesure d'instruction, ou commandée par une partie pour étayer sa position avant procès. Dans tous ces cas, anticiper en horodatant les pièces sensibles dès leur création — contrats, rapports, designs, codes sources — évite d'avoir à recourir, plus tard, à une expertise longue, coûteuse et à l'issue incertaine. L'horodatage déplace l'effort probatoire en amont, au moment où le fichier est encore incontesté, plutôt qu'en aval, quand le litige a déjà éclaté.