Catalogue complet des fonctionnalités de la suite de signature numérique sgcSign — normes de signature, fournisseurs de clés, profils par pays, validation, intégration EU Trust List et rapports de validation ETSI pour Delphi 7 jusqu'à Delphi 13 Florence, C++Builder et .NET.
sgcSign sépare la gestion des clés, les opérations de signature et les formats de sortie. Mélange n'importe quel fournisseur de clés avec n'importe quel signataire ; bascule entre PFX local et KMS cloud en changeant un seul composant.
Abstrait l'accès aux certificats et aux clés privées derrière une interface unique. Fichiers locaux, magasin de certificats Windows, tokens matériels PKCS#11, Azure / AWS / Google Cloud KMS, HashiCorp Vault, Certum SimplySign et QTSP distants CSC v2.
Signataires spécialisés pour chaque format ETSI : TsgcXAdESSigner, TsgcPAdESSigner, TsgcCAdESSigner, TsgcAuthenticodeSigner. Plus TsgcDocumentSigner — une API de haut niveau unifiée qui sélectionne et configure le bon signataire à partir d'un profil par pays. TsgcSAFTPTSigner produit la signature de facture Portaria 363/2010 du Portugal.
TsgcTSAClient (horodatages RFC 3161), TsgcOCSPClient (révocation), TsgcSignatureVerifier (validation), TsgcX509Certificate (décodeur de certificat + vérification de l'émetteur), TsgcEUTrustList (LOTL/EUTL), TsgcASiCContainer (empaquetage ZIP ASiC-S/ASiC-E).
Couverture complète des formats de signature ETSI aux quatre niveaux AdES (B-B, B-T, B-LT, B-LTA), plus Microsoft Authenticode pour la signature de code.
XML Advanced Electronic Signatures. Modes enveloped, detached et enveloping. Niveaux B-B / B-T / B-LT / B-LTA. SignatureParentElement pour les formats d'enveloppe qui fixent l'emplacement de la signature (KSeF /v2/auth/xades-signature). Diacritiques polonais, espagnols et allemands via les surcharges WideString sur Delphi 7+.
PDF Advanced Electronic Signatures. Signatures intégrées dans le PDF ; apparence visible de signature avec nom du signataire, motif, lieu, coordonnées de contact et rectangle configurable. Compatible avec Adobe Acrobat. Niveaux PAdES-T, -LT via TSA + OCSP.
Signatures binaires CMS/PKCS#7 sur tout fichier ou flux de données. Formes detached et attached. CAdES-BES, CAdES-T (horodaté), CAdES-XL (long terme avec valeurs de révocation).
Associated Signature Containers. Archive au format ZIP qui regroupe un ou plusieurs documents avec une signature XAdES ou CAdES. Simple (apASiCS, document unique) ou Étendu (apASiCE, manifeste + plusieurs documents). La première entrée ZIP est un marqueur mimetype non compressé pour que les vérificateurs détectent le conteneur dans les ~50 premiers octets.
Microsoft Authenticode pour les fichiers Windows PE (.exe, .dll, .sys, .ocx, .cpl, .scr). Algorithmes de hachage SHA-1, SHA-256 (par défaut), SHA-384 et SHA-512. Jetons d'horodatage RFC 3161. Signatures imbriquées (doubles) pour la compatibilité avec les vérificateurs hérités + modernes. Disponible dans sgcSign Server. Hachages de page facultatifs, l'équivalent de signtool sign /ph, pour que Windows vérifie chaque page de 4 Ko d'un pilote en mode noyau (Intégrité de la mémoire, HVCI).
Les quatre niveaux de conformité ETSI pris en charge par format : B-B (basique), B-T (horodatage), B-LT (long terme, avec valeurs de révocation), B-LTA (archivage, avec horodatage d'archive). Promeut une signature de B-B à B-LT en ajoutant un client TSA et un répondeur OCSP.
Chaque fournisseur implémente IsgcKeyProvider. Bascule entre n'importe laquelle de ces sources de clés sans modifier ton code de signature.
| Composant | Type | Cas d'usage |
|---|---|---|
TsgcPFXKeyProvider |
Fichier local (PKCS#12) | Fichiers PFX/.p12 protégés par mot de passe. Prise en charge native Windows CNG sous Windows, Pascal pur sur les autres plateformes. |
TsgcPEMKeyProvider |
Fichier local (PEM) | Certificats PEM avec clés PKCS#8 chiffrées. Déchiffrement natif PBES2 / PBKDF2 / AES-CBC — aucune DLL OpenSSL requise. |
TsgcWindowsCertStoreProvider |
Magasin Windows | Magasins local-machine et current-user. Intégration Active Directory et Group Policy. |
TsgcPKCS11Provider |
Token matériel | Cartes à puce et HSM via pilote PKCS#11 — SafeNet, YubiKey, Nitrokey, Thales, Utimaco, etc. |
TsgcAzureTrustedSigningProvider |
Cloud (Microsoft) | Azure Trusted Signing — le service de signature qualifié de Microsoft. Client credentials OAuth2. Distinct d'Azure Key Vault. |
TsgcAWSKMSKeyProvider |
Cloud (AWS) | AWS Key Management Service. Les clés restent dans AWS ; seuls les hachages de documents quittent le réseau. |
TsgcGCloudKMSKeyProvider |
Cloud (Google) | Google Cloud Key Management. Authentification par compte de service. |
TsgcHashiCorpVaultKeyProvider |
Cloud (auto-hébergé) | Moteur de signature transit HashiCorp Vault. Les clés ne quittent jamais le cluster Vault. |
TsgcCertumSimplySignProvider |
QTSP distant | Certum SimplySign — prestataire qualifié de signature électronique polonais. Compatible KSeF, ZUS, PUE. |
TsgcCSCKeyProvider |
QTSP distant (CSC v2) | Client générique Cloud Signature Consortium v2 — Universign, D-Trust sign-me, A-Trust, FNMT Cl@ve Firma, Evrotrust, Intesi Group et tout QTSP qui expose l'API CSC v2. |
Chaque profil pré-règle l'algorithme de hachage, la canonicalisation, le niveau de signature, la politique d'horodatage RFC 3161 et les attentes de révocation OCSP pour satisfaire le régulateur du pays cible. Bascule de juridiction en une ligne.
| Profil | Pays | Système | Format | Niveau |
|---|---|---|---|---|
spVeriFactu | Espagne | VeriFactu (AEAT) | XAdES-EPES | B-B |
spTicketBAI | Espagne (Pays basque) | TicketBAI | XAdES-EPES | B-B |
spFacturaeB2B | Espagne | Facturae 3.x / FACe | XAdES-EPES | B-T |
spFatturaPA | Italie | FatturaPA (SDI) | XAdES-BES | B-B |
spSAFTPT | Portugal | SAF-T PT | RSA-SHA256 | B-B |
spKSeF | Pologne | KSeF (Krajowy System e-Faktur) | XAdES | B-T |
spFacturX | France / Allemagne | Factur-X / ZUGFeRD | XAdES | B-B |
spEFactura | Roumanie | e-Factura (ANAF) | XAdES | B-T |
spNAVOnline | Hongrie | NAV Online | XML-DSig | B-B |
spFiskalizacija | Croatie | Fiskalizacija | XML-DSig | B-B |
spPeppolBE | Belgique | Peppol UBL 2.0 | XAdES | B-T |
spPeppolBG | Bulgarie | Peppol UBL 2.1 | XAdES | B-T |
spMyDATA | Grèce | myDATA (AADE) | XAdES | B-B |
Portugal : au-delà de la signature du fichier SAF-T (PT) lui-même, le composant dédié TsgcSAFTPTSigner produit la signature par facture Portaria 363/2010, la signature RSA-SHA1 dont les quatre caractères aux positions 1, 11, 21 et 31 sont imprimés sur la facture et repris dans le champ Q du QR-code.
TicketBAI : les variantes par province spTicketBAIAraba, spTicketBAIBizkaia et spTicketBAIGipuzkoa portent chacune l'identifiant officiel de politique de signature et l'empreinte SHA-256 de leur Hacienda provinciale. spTicketBAI correspond à la paire Bizkaia pour la compatibilité avec l'existant.
EET 2.0 tchèque : l'enregistrement des ventes (Elektronická evidence tržeb) n'est pas un profil de signature, il dispose de son propre composant, TsgcEETClient. Il signe chaque vente enregistrée selon WS-Security, l'envoie à l'administration fiscale et récupère le code d'accusé de réception, le pok. La déclaration débute le 1er janvier 2027. En savoir plus sur EET 2.0.
Signatures conformes eIDAS pour les exigences de droit du travail des États membres (par exemple § 126a BGB en Allemagne, FEQ en Italie). Pré-réglées par juridiction ; chargées dans TsgcXAdESSigner via Profile.LoadProfile(spEmploymentXX).
| Profil | Pays | Niveau | Hachage | Horodatage | OCSP | Notes |
|---|---|---|---|---|---|---|
spEmploymentDE | Allemagne | B-LT | SHA-256 | Oui | Oui | QES requise par le § 126a BGB pour les contrats sous forme écrite. |
spEmploymentIT | Italie | B-LT | SHA-256 | Oui | Oui | Signature qualifiée FEQ ; les portails INPS consomment XAdES et CAdES. |
spEmploymentES | Espagne | B-T | SHA-256 | Oui | Non | AdES suffit. Les portails SEPE / TGSS exigent FNMT ou DNIe. |
spEmploymentFR | France | B-T | SHA-256 | Oui | Non | AdES OK ; QES préférée pour la signature à distance sous DSP2 / RGS. |
spEmploymentAT | Autriche | B-LT | SHA-256 | Oui | Oui | QES via Handy-Signatur / ID Austria courante. |
spEmploymentBE | Belgique | B-LT | SHA-256 | Oui | Oui | QES via carte eID (BeID). |
spEmploymentPT | Portugal | B-LT | SHA-256 | Oui | Oui | QES via Cartão do Cidadão / Chave Móvel Digital. |
spEmploymentNL | Pays-Bas | B-T | SHA-256 | Oui | Non | AdES généralement accepté ; QES pour certains portails RH (UWV). |
spEmploymentPL | Pologne | B-T | SHA-256 | Oui | Non | QES via Profil Zaufany ou certificat qualifié quand le contrat est transmis à ZUS / PUE. |
Pipeline complet de validation plus intégration EU Trust List et rapport de validation XML ETSI TS 119 102-2 normalisé — preuve juridique de la validité de la signature acceptée par les tribunaux du travail de l'UE et les vérificateurs des administrations publiques.
TsgcSignatureVerifier couvre tout le pipeline : vérifications de digest, vérification de signature RSA / ECDSA, validation de chaîne de certificats, vérification de révocation OCSP, RevocationValues intégrées pour la validation à long terme, et recherche de fragment par Id pour SignedProperties.
TsgcEUTrustList analyse la List of Trusted Lists ETSI TS 119 612 et les ~31 Trusted Lists par État membre. Classe tout certificat X.509 comme eIDAS-qualifié en le confrontant au registre UE en direct. Mise en cache en mode hors ligne pour les déploiements en environnement isolé.
Rapport de validation XML normalisé (v1.2.1) produit pour chaque vérification — le format accepté par les tribunaux du travail de l'UE et les vérificateurs des administrations publiques comme preuve juridique de la validité de la signature.
TsgcTSAClient se connecte à toute autorité d'horodatage RFC 3161. Promeut les signatures de B-B à B-T, B-LT et B-LTA — vérifiables longtemps après l'expiration du certificat de signature.
TsgcOCSPClient effectue des vérifications Online Certificate Status Protocol RFC 6960. Révocation en temps réel, avec la réponse OCSP intégrée dans les signatures B-LT pour que le document reste vérifiable lorsque le répondeur est ultérieurement hors ligne.
TsgcX509Certificate expose chaque champ qu'affiche un décodeur en ligne : taille de clé, noms d'algorithmes, numéro de série (deux-points et décimal), noms distinctifs RFC 2253 / LDAP, politiques de certificat, identifiants de clé, empreintes SHA-1 / SHA-256 / MD5 et le pin SubjectPublicKeyInfo SHA-256. Il vérifie cryptographiquement la signature de l'émetteur (RSA et ECDSA), résout l'autorité de certification depuis l'URL AIA caIssuers et exécute un contrôle OCSP automatique via CheckCertificateAuto.
C14N inclusive (xml-c14n11) et C14N exclusive (xml-exc-c14n) pour un traitement cohérent des signatures XML. Chaque profil par pays sélectionne la canonicalisation attendue par son régulateur.
Cryptographie Windows CNG / BCrypt sous Windows, un moteur en Pascal pur sur Linux64, macOS, iOS et Android. Aucune DLL OpenSSL requise. PBES2 / PBKDF2 / AES-CBC natifs pour les PKCS#8 PEM chiffrés. WinHTTP pour les opérations réseau sous Windows, le client HTTP de la RTL Delphi sur les autres plateformes.
Prend en charge tout compilateur Delphi de Delphi 7 à RAD Studio 13, plus C++Builder. Unités modernes protégées pour la compatibilité héritée (par exemple TsgcASiCContainer requiert les generics D2010+ ; se compile élégamment en unité vide sur D7).
Portage miroir C# pour .NET Framework 2.0–4.8, .NET Core, .NET 5–10 et .NET Standard. Mêmes noms de classe Tsgc* ; même surface d'API que la bibliothèque Delphi.
Source complète incluse avec chaque licence. Inspecte, personnalise, audite et étends. Noms de classe de composant enregistrés pour l'intégration IDE design-time.
Tous les horodatages X.509 / CRL / OCSP / TSA stockés comme valeurs TDateTime UTC, conformes aux RFC 5280, RFC 3161 et RFC 6960. Conversion en heure locale via les propriétés *Local sur chaque composant.
Redistribution binaire gratuite. Signe autant de documents que tu veux sans frais par document ni licence par déploiement.
spFatturaPA pour l'Italie, spKSeF pour la Pologne
// Signe une facture VeriFactu espagnole
var
vKeyProvider: TsgcPFXKeyProvider;
vSigner: TsgcDocumentSigner;
begin
vKeyProvider := TsgcPFXKeyProvider.Create(nil);
try
vKeyProvider.FileName := 'certificate.pfx';
vKeyProvider.Password := 'secret';
vKeyProvider.LoadFromFile;
vSigner := TsgcDocumentSigner.Create(nil);
try
vSigner.KeyProvider := vKeyProvider;
vSigner.Profile := spVeriFactu;
memoSigned.Text := vSigner.SignXML(memoXML.Text);
finally
vSigner.Free;
end;
finally
vKeyProvider.Free;
end;
end;// Signature Authenticode avec Azure Trusted Signing
var
vKeyProvider: TsgcAzureTrustedSigningProvider;
vSigner: TsgcAuthenticodeSigner;
begin
vKeyProvider := TsgcAzureTrustedSigningProvider.Create(nil);
vSigner := TsgcAuthenticodeSigner.Create(nil);
try
vKeyProvider.TenantId := '00000000-0000-0000-0000-000000000000';
vKeyProvider.ClientId := '11111111-1111-1111-1111-111111111111';
vKeyProvider.ClientSecret := 'my-client-secret';
vKeyProvider.AccountName := 'my-trusted-signing-account';
vKeyProvider.CertificateProfileName := 'public-trust';
vKeyProvider.Endpoint := 'https://eus.codesigning.azure.net';
vKeyProvider.Connect;
vSigner.KeyProvider := vKeyProvider;
vSigner.Level := alBES; // alT additionally requires a TSAClient
vSigner.SignFile('myapp.exe', 'myapp-signed.exe');
finally
vSigner.Free;
vKeyProvider.Free;
end;
end;// PAdES-T avec apparence de signature visible
var
vKeyProvider: TsgcWindowsCertStoreProvider;
vSigner: TsgcPAdESSigner;
vTSA: TsgcTSAClient;
begin
vKeyProvider := TsgcWindowsCertStoreProvider.Create(nil);
vSigner := TsgcPAdESSigner.Create(nil);
vTSA := TsgcTSAClient.Create(nil);
try
vKeyProvider.StoreName := 'MY';
vKeyProvider.StoreLocation := cslCurrentUser;
vKeyProvider.SelectCertificateBySubject('Acme Corp');
vTSA.URL := 'https://freetsa.org/tsr';
vSigner.KeyProvider := vKeyProvider;
vSigner.TSAClient := vTSA;
vSigner.Reason := 'Approved';
vSigner.Location := 'Madrid, Spain';
vSigner.VisibleSignature.Enabled := True;
vSigner.SignPDFFile('contract.pdf', 'contract-signed.pdf');
finally
vTSA.Free;
vSigner.Free;
vKeyProvider.Free;
end;
end;Sécurité, contrôle de signature et exploitation dans sgcSign Server. Les versions enregistrée et d'essai incluent toutes les fonctionnalités ; la dernière colonne indique ce qu'offre l'édition Community.
| Fonctionnalité | Ce qu'elle fait | Édition Community |
|---|---|---|
| Connexion à deux facteurs | Codes TOTP issus de n'importe quelle application d'authentification, plus 10 codes de récupération à usage unique. admin.require_2fa la rend obligatoire pour chaque utilisateur de la console, et un administrateur peut réinitialiser un second facteur perdu. |
Oui |
| Connexion OpenID Connect | Connexion à la console via Microsoft Entra ID, Okta, Keycloak, Google ou n'importe quel fournisseur standard, avec PKCE. Les utilisateurs associent une identité externe à leur compte, et les demandes de compte peuvent en option attendre l'approbation d'un administrateur. | Oui |
| Durcissement de la console | En-têtes de sécurité et Content Security Policy stricte sur chaque réponse, politique de mots de passe configurable, mots de passe temporaires remplacés dès la première connexion, et sessions qui se terminent quand le rôle ou les droits qui les sous-tendent changent. | Oui |
| Secrets chiffrés au repos | Mots de passe des fournisseurs, PIN, identifiants cloud et secrets de webhook stockés avec AES-256-GCM sous une clé maître liée à la machine. --protect-secrets chiffre une configuration existante sur place. |
Oui |
| Approbations imposées | Approbation requise par fournisseur ou par projet, vérifiée par le serveur sur chaque chemin de signature, y compris la signature de condensat brut pour signtool /dlib. Chaque approbation ne signe qu'une fois. |
Non |
| Cycle de vie des clés API | Régénération avec une fenêtre de chevauchement jusqu'à 7 jours, expiration modifiable, propriétaires de clés, liste de fournisseurs autorisés par clé, et clés en libre-service pour les opérateurs avec api_keys.self_service. Une clé peut aussi commencer sa validité à la première utilisation : elle est valide N jours à compter de son premier appel authentifié, avec une date obligatoire « à activer avant » pour qu'une clé jamais utilisée ne reste pas valide indéfiniment. Les sous-clés ne fonctionnent qu'une fois leur clé parente activée, l'activation est consignée dans le journal d'audit sous apikey.activate, et l'édition Community limite les deux valeurs à 30 jours. |
Une seule clé active, expiration jusqu'à 30 jours |
| Garde-fou des tentatives de PIN PKCS#11 | Cesse de se connecter à un token après max_pin_attempts PIN incorrects et ne dépense jamais le dernier essai sauf si allow_final_pin_try est défini, si bien qu'un mauvais PIN ne verrouille jamais un token matériel. |
Non (pas de fournisseur PKCS#11) |
| Serveurs d'horodatage par défaut | Une liste, à l'échelle du serveur, de serveurs d'horodatage RFC 3161 essayés dans l'ordre avec repli automatique, des tsa_urls par fournisseur, et no_timestamp pour omettre l'horodatage sur une requête. |
Oui |
sgcsign timestamp |
Ajoute un horodatage RFC 3161 à un fichier déjà signé Authenticode, en essayant chaque serveur --tsa à tour de rôle. |
Oui |
--page-hashes |
Authenticode : ajoute un hachage par page de 4 Ko de l'image, l'équivalent de signtool sign /ph, utilisé par les pilotes en mode noyau avec l'Intégrité de la mémoire (HVCI). |
Oui |
| Sauvegardes planifiées chiffrées | Une archive AES-256-GCM avec la configuration, la base de données, la clé maître et les fichiers de clés et de certificats, écrite selon un calendrier ou depuis la console. --archive restore la restaure ou déplace le serveur vers une nouvelle machine. |
Oui |
| Supervision de l'expiration des certificats | Vérification quotidienne des certificats de signature et TLS avec des alertes à 30, 14, 7 et 1 jours sur le tableau de bord, par le webhook cert.expiring, par e-mail et par une métrique Prometheus. |
Tableau de bord et e-mail uniquement |
| Notifications par e-mail | E-mail pour les verrouillages, les changements de second facteur et de mot de passe, les sauvegardes en échec et les certificats qui expirent, via SMTP avec STARTTLS ou TLS implicite. Sous Windows, aucune bibliothèque OpenSSL n'est nécessaire. | Oui |
| Installeur Windows | sgcSignServer_Setup.exe installe le service Windows, crée le premier administrateur, ouvre le port du pare-feu et configure TLS avec un certificat auto-signé ou un fichier PFX existant. |
Non, Community s'exécute depuis le zip avec start.bat (HTTP simple) |
| Profils enregistrés de la CLI | sgcsign config conserve les réglages dans des profils nommés et sgcsign auth set-key stocke la clé API, dans la CLI Delphi et l'outil .NET esegece.sgcsign.cli. |
Oui |