LibreSign : la signature électronique libre qui s’installe directement dans votre Nextcloud

Un devis, un contrat de prestation, un procès-verbal d’assemblée : tôt ou tard, il faut faire signer un PDF. Le réflexe courant consiste à le confier à un service de signature en ligne, et donc à lui remettre le document, les adresses e-mail des signataires et le journal de l’opération sur un serveur que l’on ne maîtrise pas. Quand on dispose déjà d’un Nextcloud, une autre voie existe : LibreSign, une application libre qui fait de son propre serveur la plateforme de signature.

LibreSign est développé par LibreCode, une coopérative brésilienne de développeurs de logiciels libres. Le dépôt GitHub a été créé le 25 août 2020, le code est publié sous licence AGPL-3.0, et il compte aujourd’hui plus de 800 étoiles et 158 forks. Le projet est bien vivant : le 29 septembre 2026, des correctifs sont sortis le même jour sur trois branches en parallèle (versions 13.4.4, 14.2.4 et 15.0.5). Son site revendique plus de 203 000 téléchargements, et le projet a été reconnu « bien public numérique » (Digital Public Good) le 29 avril 2025.

Une application, pas un service de plus

L’installation ressemble à celle de n’importe quelle application Nextcloud : on la cherche dans le catalogue officiel, où elle figure notamment dans la catégorie « Office & text », on clique sur « Télécharger et activer », puis on termine la configuration en téléchargeant les binaires nécessaires et en générant le certificat racine du serveur. Rien à héberger en plus, aucun compte à créer chez un éditeur : LibreSign s’appuie sur les fichiers, les utilisateurs et le partage de votre Nextcloud, la même plateforme que celle que nous présentions dans notre article sur Nextcloud face à Microsoft 365.

Côté usage, on choisit un PDF depuis ses fichiers Nextcloud, par envoi direct ou depuis une adresse web, puis on définit l’ordre et les rôles des signataires, internes comme externes, dans une même demande. L’outil envoie les notifications et les rappels, et suit chaque demande de bout en bout : un document est signé, en attente ou encore en brouillon. Les documents signés se vérifient ensuite à tout moment, par QR code ou par identifiant. Le site officiel cite aussi les « enveloppes » pour signer un lot de documents en une fois, la protection DocMDP qui empêche toute modification du PDF après signature, et la gestion des listes de révocation de certificats.

Identifier le signataire, prouver le geste

Le point le plus intéressant se trouve dans le code source : LibreSign ne se limite pas à l’e-mail pour vérifier qu’un signataire est bien celui qu’on attend. On y trouve des méthodes d’identification par compte Nextcloud, e-mail, SMS, Signal, Telegram, WhatsApp et XMPP, ainsi que plusieurs façons de confirmer le geste : simple clic, mot de passe ou code à usage unique reçu par l’un de ces canaux. Cela laisse de la marge pour adapter l’exigence au type de document, plutôt que d’imposer un parcours unique.

La documentation officielle rappelle une distinction que beaucoup oublient : une signature « numérisée », c’est-à-dire l’image d’une signature manuscrite collée dans un PDF, ne prouve rien, puisqu’elle se copie en deux clics dans un autre document. Une vraie signature électronique repose sur un certificat et un calcul d’empreinte du fichier, qui révèle toute modification ultérieure. LibreSign enregistre en plus la date et l’heure de chaque signature et propose un horodatage, ce que le dépôt confirme par un module dédié au protocole TSA.

LibreSign génère lui-même un certificat pour chaque signataire qui n’en possède pas : la signature devient accessible à tous, sans pour autant devenir une signature qualifiée.

Reste la question du certificat, central dans tout le dispositif. À l’installation, l’administrateur génère un certificat racine propre à son serveur. Un signataire qui possède déjà un certificat personnel peut s’en servir, la FAQ citant les certificats e-CPF, e-CNPJ et ICP-Brasil, des standards brésiliens qui rappellent d’où vient le projet. Pour tous les autres, c’est LibreSign qui s’en charge, sans aucune démarche de leur part.

Quelle valeur juridique en France ?

En France, c’est le règlement européen eIDAS (n° 910/2014) qui fixe le cadre. L’ANSSI distingue quatre niveaux : simple, avancé, avancé reposant sur un certificat qualifié, et qualifié. Seule la signature qualifiée bénéficie d’un effet juridique équivalent à celui d’une signature manuscrite. Les autres ne sont pas pour autant sans valeur : l’article 25 du règlement interdit de refuser une signature comme preuve en justice au seul motif qu’elle est électronique. Mais faute de présomption de fiabilité, c’est à celui qui s’en prévaut de la démontrer en cas de contestation.

Appliqué à LibreSign, cela donne une lecture honnête : la documentation de LibreSign ne revendique pas de signature qualifiée au sens européen dans les pages que nous avons consultées, et ses références juridiques sont brésiliennes (ICP-Brasil, LGPD). Sans certificat qualifié délivré par un prestataire de confiance, une signature produite par l’outil reste donc dans la catégorie des signatures non qualifiées. Pour les validations internes, les devis ou les contrats courants, l’enjeu est surtout de pouvoir prouver qui a signé quoi et quand, et le journal d’audit de l’outil y répond. Pour un acte qui exige la signature qualifiée, un prestataire qualifié reste incontournable, et un avis juridique préalable est toujours préférable.

Libre, avec des limites assumées

Sur le plan économique, l’application est libre et s’installe sans frais depuis Nextcloud. LibreCode accepte les dons (GitHub Sponsors et Stripe) et propose des offres commerciales, un plan « Business » avec accompagnement et une offre d’intégration par API, dont les tarifs ne sont pas publiés : le site renvoie vers un contact commercial. À prendre en compte aussi : l’éditeur est brésilien et la documentation officielle que nous avons consultée est rédigée en anglais, tout comme les captures d’écran du projet.

Pour un cabinet, une association, une mairie ou une PME qui utilise déjà Nextcloud, LibreSign offre une façon de faire signer ses documents sans les confier à un tiers. Azure Informatique peut vous aider à l’installer et à le configurer dans votre Nextcloud, dans le même esprit bénévole et gratuit que pour le reste de son accompagnement.