sgcSign : signatures numériques pour Delphi, C++ Builder & .NET

Regarde-le signer

De vraies signatures, enregistrées à l’écran.

Des enregistrements commentés et sous-titrés de sgcSign à l’œuvre. Choisis-en un dans la liste. Rien ne se télécharge avant que tu appuies sur lecture.

Démarrage rapide sgcSign

Signatures numériques pour XML, PDF et fichiers depuis Delphi : XAdES, PAdES, CAdES, ASiC, Authenticode et horodatages RFC 3161.

Démarrage rapide sgcSignSignatures numériques pour XML, PDF et fichiers depuis Delphi : XAdES, PAdES, CAdES, ASiC, Authenticode et horodatages RFC 3161.
Signer un EXE Windows depuis LinuxUn programme Delphi sous Linux applique une signature Authenticode avec un horodatage RFC 3161. Aucune machine Windows dans le build.
Signer un installateur MSI ou MSIXFichiers Windows Installer et paquets MSIX ou APPX signés et horodatés depuis Delphi, pour que l’installateur soit la première chose qui se passe bien.
Signer un gros installateur sans l’envoyerMode hash seul : l’agent de build envoie l’empreinte à sgcSign Server et écrit la signature renvoyée. Le fichier ne bouge pas.

Deux moitiés, un seul moteur

Les documents d’un côté, le code de l’autre.

Les mêmes fournisseurs de clés, le même client d’horodatage et le même pipeline de validation signent une facture espagnole et un installateur Windows. Apprends l’API une fois, applique-la partout.

Document

XAdES

ETSI EN 319 132. Signatures XML en modes enveloppée, détachée et enveloppante. Le format derrière la facturation électronique et les contrats de travail européens.

Document

PAdES

ETSI EN 319 142. Signatures intégrées dans le PDF lui-même, avec une apparence visible portant le nom du signataire, le motif, le lieu et le contact. Compatible avec Adobe Acrobat.

Document

CAdES

ETSI EN 319 122. Signatures binaires CMS / PKCS#7 sur n’importe quel fichier ou flux, détachées ou attachées.

Document

ASiC-S / ASiC-E

ETSI EN 319 162. Un conteneur ZIP regroupant les documents avec leur signature XAdES ou CAdES. Simple pour un document, Extended pour un manifeste et de nombreux fichiers.

Code

Authenticode

Fichiers Windows PE : .exe, .dll, .sys, .ocx, .cpl et .scr. SHA-256 par défaut, plus SHA-1, SHA-384 et SHA-512. Les doubles signatures imbriquées satisfont les vérificateurs anciens.

Code

ClickOnce

Signe les fichiers .application et .manifest pour que les clients Windows installent ton application sans demande de confiance.

Code

NuGet

Signe les paquets .nupkg pour que le client NuGet puisse valider l’identité de l’éditeur. Les signatures d’auteur et de dépôt sont prises en charge.

Code

VSIX

Signe les paquets d’extension Visual Studio pour que le Marketplace et l’IDE les acceptent comme fiables.

Chaque format de document :
B-B de base
B-T horodatage
B-LT long terme
B-LTA archivage

Chaque artefact de code :
SHA-256 par défaut
Horodatage RFC 3161
Double signature
Mode hash seul

Commence en B-B et passe en B-LTA quand les règles d’archivage l’exigent. La signature de code passe par sgcSign Server, donc la clé privée vit à un seul endroit.

10 fournisseurs de clés

Fichiers locaux, jetons matériels, KMS cloud.

Chaque fournisseur implémente la même IsgcKeyProvider interface, donc un signataire fonctionne avec n’importe quelle source de clés sans modification. Passer d’un fichier PFX à AWS KMS revient à changer un seul composant.

PFX / PKCS#12

TsgcPFXKeyProvider

Fichiers de clés locaux protégés par mot de passe. CNG Windows natif, aucune DLL OpenSSL requise.

Fichiers PEM

TsgcPEMKeyProvider

Certificats PEM et clés PKCS#8 chiffrées, avec déchiffrement natif PBES2 / PBKDF2 / AES-CBC.

Magasin de certificats Windows

TsgcWindowsCertStoreProvider

Magasins de l’ordinateur local et de l’utilisateur courant, directement dans ta PKI Windows et ton Active Directory.

Jetons matériels PKCS#11

TsgcPKCS11Provider

Cartes à puce et HSM via l’interface standard PKCS#11, dont SafeNet, YubiKey et Nitrokey.

Azure Trusted Signing

TsgcAzureTrustedSigningProvider

Le service de signature qualifiée de Microsoft avec identifiants client OAuth2. Les clés privées ne quittent jamais Azure.

AWS KMS

TsgcAWSKMSKeyProvider

Les clés restent dans AWS Key Management Service. Le hash du document part, la signature brute revient.

Google Cloud KMS

TsgcGCloudKMSKeyProvider

Authentification par compte de service pour les clés hébergées dans Google Cloud Key Management.

HashiCorp Vault

TsgcHashiCorpVaultKeyProvider

Le moteur de signature transit de Vault. Les hashes voyagent via une API REST authentifiée, les clés restent dans Vault.

Certum SimplySign

TsgcCertumSimplySignProvider

Fournisseur polonais de signature électronique qualifiée. Signature distante dans le cloud pour KSeF, ZUS et d’autres portails publics.

CSC v2

TsgcCSCKeyProvider

Client générique Cloud Signature Consortium v2 pour les QTSP distants, dont Universign, D-Trust sign-me, A-Trust, FNMT Cl@ve Firma, Evrotrust et Intesi Group.

Change de fournisseur, garde le signataire. Les dix fournisseurs en détail →

Conformité UE

21 profils pays préconfigurés.

Chaque profil règle d’avance l’algorithme de hash, la canonicalisation, le niveau de signature, l’horodatage et la politique de révocation OCSP selon la juridiction visée. Changer de pays tient en une ligne.

Profils de facturation électronique (12)

Parcourir →

Espagne VeriFactu (AEAT)
Espagne, TicketBAI basque
Espagne Facturae 3.x / FACe
Italie FatturaPA (SDI)
Portugal SAF-T PT
Pologne KSeF
France / Allemagne Factur-X / ZUGFeRD
Roumanie e-Factura (ANAF)
Hongrie NAV Online
Croatie Fiskalizacija
Belgique & Bulgarie Peppol UBL
Grèce myDATA (AADE)

Profils de contrats de travail UE (9)

Parcourir →

Allemagne B-LT
Italie B-LT
Espagne B-T
France B-T
Autriche B-LT
Belgique B-LT
Portugal B-LT
Pays-Bas B-T
Pologne B-T

L’enregistrement des ventes tchèque EET 2.0 est livré comme un composant à part, TsgcEETClient. EET 2.0 en détail →

Formats alignés sur eIDAS

Les profils visent le niveau AdES ou QES que chaque État membre attend, avec le hash, la canonicalisation, l’horodatage et la politique de révocation déjà réglés. L’Allemagne demande une signature qualifiée selon le § 126a BGB, l’Espagne accepte AdES pour le SEPE et la TGSS, la Pologne passe par Profil Zaufany ou un certificat qualifié pour la ZUS. Le profil encode ces différences, pas ton code.

Validation et preuve à long terme

TsgcEUTrustList analyse la ETSI TS 119 612 List of Trusted Lists et les Trusted Lists de chaque État membre, de sorte que tout certificat X.509 puisse être classé selon le registre européen en direct. TsgcTSAClient ajoute des horodatages RFC 3161 qui promeuvent une signature en B-T, B-LT et B-LTA, et chaque vérification produit un rapport de validation XML ETSI TS 119 102-2 standardisé.

Parcourir les 21 profils →

sgcSign Server

Une signature centralisée pour ta ferme de build.

Un démon de signature auto-hébergé avec une API REST, une administration web Bootstrap et un installateur de service Windows. Les agents de build demandent une signature, le fournisseur de clés signe, et le matériel de clé n’atterrit jamais sur un runner.

BuildTon pipeline compile l’artefact sur n’importe quel agent, Windows ou Linux.
Demander une signatureL’agent appelle POST /api/v1/sign via TLS avec une clé d’API bearer et l’en-tête X-Project.
Le HSM ou le KMS signeLe serveur contacte le fournisseur de clés configuré. Les clés privées restent dans le HSM, dans Azure, AWS, Google Cloud ou Vault.
L’artefact signé revientLe binaire signé repart directement vers l’agent, avec le sujet du signataire et la durée dans les en-têtes de réponse.
Horodaté et auditéUn horodatage RFC 3161 est appliqué et l’opération entre dans un journal d’audit chaîné par SHA-256, avec des métriques Prometheus et des webhooks signés HMAC.

Signature d’un gros installateur via sgcSign Server à partir de son seul hash — Authenticode, ClickOnce, NuGet, VSIX, XAdES, PAdES et CAdES partagent tous la même forme de point d’accès.

Service Windows
Projets multi-locataires
Approbation en deux étapes

Aperçu de sgcSign Server →

Code

Signer un PDF, en processus ou via REST.

La même signature PAdES, produite de deux façons. Choisis le composant quand l’appli signe, choisis le serveur quand c’est le pipeline qui signe.

// PAdES with a visible signature and an RFC 3161 timestamp
var
  vKeyProvider: TsgcPFXKeyProvider;
  vSigner: TsgcPAdESSigner;
  vTSA: TsgcTSAClient;
begin
  vKeyProvider := TsgcPFXKeyProvider.Create(nil);
  vSigner := TsgcPAdESSigner.Create(nil);
  vTSA := TsgcTSAClient.Create(nil);
  try
    vKeyProvider.FileName := 'certificate.pfx';
    vKeyProvider.Password := 'secret';
    vKeyProvider.LoadFromFile;
    vTSA.URL := 'https://freetsa.org/tsr';
    vSigner.KeyProvider := vKeyProvider;
    vSigner.TSAClient := vTSA;
    vSigner.Reason := 'Approved';
    vSigner.Location := 'Madrid, Spain';
    vSigner.VisibleSignature.Enabled := True;
    vSigner.SignPDF('contract.pdf', 'contract-signed.pdf');
  finally
    vTSA.Free;
    vSigner.Free;
    vKeyProvider.Free;
  end;
end;

# PAdES-sign contract.pdf through sgcSign Server
curl -X POST https://sign.example.com/api/v1/sign/pades \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-Project: production" \
  -F "file=@./contract.pdf" \
  -o contract-signed.pdf
# Headers returned by the server
# X-Sgcsign-Signer-Subject: CN=ACME Corp, O=ACME, C=US
# X-Sgcsign-Duration-Ms: 312

Lire le démarrage rapide

Licences

Single, Team et Site.

sgcSign se licencie seul, pour Delphi 7 à RAD Studio 13 et C++ Builder. Chaque licence inclut le code source complet, 1 an de mises à jour, la redistribution libre des binaires et une remise de renouvellement de 70%.

Single

1 licence développeur. Utilisation sur une machine à la fois.

€299

Team

2 licences développeur. Utilisation sur deux machines à la fois.

€449

Site

Développeurs illimités. Toutes les machines de l’entreprise.

€749

sgcSign pour .NET propose les mêmes formats de signature aux mêmes prix, livré sous forme de paquet NuGet esegece.sgcSign, à partir de €299.

Comparer les licences et les prix

Témoignages

Ce que disent les développeurs

Plébiscité par des développeurs Delphi, C++ Builder, Lazarus et .NET dans le monde entier.

Merci beaucoup pour votre aide et votre support, j’adore vos composants.

Mark Steinfeld CTO

sgcWebSockets est incroyable et votre support est le meilleur !

Christian Meyer Fondateur & CTO

Votre bibliothèque sgcWebSockets est très utile et facile à configurer. Continuez votre excellent travail !

Simone Moretti Développeur Delphi

Plus d’eSeGeCe

Autres produits d’eSeGeCe

sgcSign est l’une des bibliothèques de composants eSeGeCe pour Delphi, C++ Builder et .NET. Elles partagent les mêmes conventions, sont livrées avec le code source complet et se déploient sans redevance.

sgcSign Signe des documents. Signe du code. Prouve-le.

De vraies signatures, enregistrées à l’écran.

Démarrage rapide sgcSign

Les documents d’un côté, le code de l’autre.

XAdES

PAdES

CAdES

ASiC-S / ASiC-E

Authenticode

ClickOnce

NuGet

VSIX

Fichiers locaux, jetons matériels, KMS cloud.

PFX / PKCS#12

Fichiers PEM

Magasin de certificats Windows

Jetons matériels PKCS#11

Azure Trusted Signing

AWS KMS

Google Cloud KMS

HashiCorp Vault

Certum SimplySign

CSC v2

21 profils pays préconfigurés.

Profils de facturation électronique (12)

Profils de contrats de travail UE (9)

Formats alignés sur eIDAS

Validation et preuve à long terme

Une signature centralisée pour ta ferme de build.

Signer un PDF, en processus ou via REST.

Single, Team et Site.

Single

Team

Site

Ce que disent les développeurs

Livre dès aujourd’hui des signatures conformes eIDAS.

Autres produits d’eSeGeCe

sgcWebSockets

sgcPDF

sgcHTML

sgcQUIC

sgcAI

sgcMQ

sgcAuth

sgcHTTP

sgcREST

sgcOpenAPI

sgcBiometrics

sgcIndy

sgcCrypto

sgcSocial

Les derniers articles du blog

Signer un JWT avec ML-DSA en Delphi

sgcUI 2026.10 : 14 produits d'interface native pour Delphi, C++ Builder et .NET | Blog eSeGeCe

OpenPGP en Delphi : chiffrer, signer et vérifier sans GnuPG