Comment c’est vérifié

Le mail et ses pièces jointes, conservés comme des preuves.

Une facture, un contrat, un échange avec une administration : rangez-le dans À conserver pour 1, 6 ou 10 ans — ou en archivage externe : 10 ans ici, puis votre propre stockage, où l’envoi automatique chiffré le dépose et où il se vérifie sans AIMailBox. Pendant cette durée, il ne peut pas être supprimé par erreur, ni seul ni en lot ; un retrait anticipé demande une confirmation et reste inscrit au journal. AIMailBox refuse de l’effacer chez votre fournisseur, sauf si vous avez coché, en le conservant, « mettre aussi l’original à la corbeille » ; s’il disparaît de votre messagerie, le message conservé reste dans votre coffre.

Son empreinte est relevée le jour même et horodatée par une autorité indépendante, qui ne reçoit que l’empreinte, jamais le message. Chaque pièce jointe a la sienne : le destinataire de la preuve reçoit la facture elle-même, dans son format d’origine, pas seulement un message à décortiquer, et vérifie qu’elle est bien celle qui était jointe.

Pourquoi nous relevons la clé du domaine

Qui l’a envoyé ? L’en-tête « De : » s’écrit à la main ; la signature DKIM, elle, est posée par le serveur du domaine expéditeur. AIMailBox la vérifie à la conservation et relève la clé publique du domaine dans son DNS, relevé lui aussi horodaté. Les domaines changent de clé tous les quelques mois : sans ce relevé, la signature deviendrait invérifiable au moment précis où l’on en a besoin. Avec lui, la preuve téléchargée contient la clé du jour et son jeton : verifier.py refait la vérification hors ligne, sans nous. Le relevé, lui, est notre constat du DNS, daté : il ne prouve pas à lui seul que la clé était celle du domaine. Quand le domaine signe son DNS (DNSSEC), le relevé note aussi que notre résolveur a validé cette signature. Une clé déjà remplacée ne se relève plus : un message conservé tard, ou dont le relevé a dû attendre le DNS, peut rester sans preuve d’origine.

Ce que vous envoyez compte aussi. Cochez « preuve d’envoi » : le message tel qu’il part, pièces jointes comprises, et l’accusé du serveur d’envoi deviennent une preuve horodatée. Des modèles (mise en demeure, relance de facture, résiliation, réclamation) la cochent d’office. Et plutôt qu’un accusé de lecture espion, un lien de partage de vos preuves, chiffré et expirant, vous dit quand votre avocat l’a ouvert, et il en est prévenu.

Ce qu’on vous remet aussi. Un lien de dépôt, valable 7, 30 ou 90 jours, permet à un client ou à un bailleur de vous déposer ses documents : ils arrivent analysés, chiffrés et conservés d’emblée, avec leur empreinte et leur horodatage — sauf un dépôt jugé dangereux à l’analyse, qui vous arrive signalé, sans être conservé. Une facture électronique (Factur-X, UBL, CII) est lue telle que l’émetteur l’a écrite, et son échéance entre au calendrier. À l’ouverture d’un document, sa nature est reconnue — facture, contrat, relevé, bulletin de paie… — avec une durée de conservation usuelle à relire : rien n’est conservé sans votre clic.

Téléchargez la preuve : une attestation PDF à imprimer, le message d’origine, ses pièces jointes, les empreintes, les jetons et un vérificateur autonome.

Une affaire, un dossier. Un client, un chantier, un litige, c’est rarement un seul mail. Créez une affaire et versez-y vos messages conservés depuis la liste : elle les montre dans l’ordre chronologique, et chaque versement est daté à l’historique signé. D’un clic, elle devient un dossier d’affaire : un sommaire, chaque message avec ses preuves, l’historique de l’affaire, et une page que votre destinataire ouvre dans son navigateur pour lire « 12 messages sur 12 intacts », sans rien installer. Envoyez-le par un lien chiffré, qui expire, se révoque d’un clic, vous dit quand il a été téléchargé et, partagé de nouveau, dit à votre destinataire ce qui a été ajouté depuis. Et pour qu’une preuve naisse le jour où le message arrive, une règle peut conserver d’office les messages d’un expéditeur, ou toutes vos factures d’où qu’elles viennent — jamais un message en alerte. Une règle neuve peut aussi reprendre les messages déjà reçus : ils portent alors la date du jour où elle les conserve.

Et si AIMailBox disparaissait ? Une preuve téléchargée ne dépend pas de nous : l’empreinte se recalcule avec n’importe quel outil standard, et le jeton se vérifie avec OpenSSL grâce au certificat public de l’autorité d’horodatage. Et l’export de sauvegarde vous rend à tout moment votre courrier en fichiers .eml, lisibles par toutes les messageries.

Voyez par vous-même : téléchargez un exemple de preuve — une facture fictive d’un domaine fictif, horodatée pour de vrai par Sectigo — et vérifiez-la sans nous, avec les commandes ci-dessous.

Ce que prouve la preuve, et ce qu’elle ne prouve pas. L’horodatage établit que ce contenu exact, pièces jointes comprises, existait à la date du jeton et n’a pas changé depuis. La signature DKIM établit que le domaine signataire a émis ce message. Ni l’une ni l’autre ne prouve qui, derrière ce domaine, l’a écrit, ni la véracité de ce qu’il dit, ni sa date d’envoi : un mail ancien conservé aujourd’hui reçoit la date d’aujourd’hui. Sur une adresse @aimailbox.cloud chiffrée, la preuve porte aussi sa date de réception, attestée par notre serveur seul. C’est un horodatage non qualifié au sens du règlement eIDAS : recevable comme preuve, sans la présomption d’exactitude de la date et d’intégrité qu’apporte un horodatage qualifié.

Qui date vos messages. Trois autorités d’horodatage publiques (RFC 3161), non qualifiées eIDAS : Sectigo, DigiCert et FreeTSA. Un message conservé seul est daté par Sectigo, avec DigiCert puis FreeTSA en secours. Une conservation en lot alterne entre DigiCert et FreeTSA, plus rapides, avec Sectigo en secours. Chaque jeton est vérifié à sa réception : signature, chaîne de certificats, empreinte et nonce.

Combien de temps un jeton se vérifie. Un jeton dépend du certificat de l’autorité qui l’a signé. Pour qu’une preuve reste vérifiable sur toute sa durée de conservation, jusqu’à 10 ans, son horodatage doit être renouvelé avant l’expiration de ce certificat. Ce renouvellement est en cours de mise en place : aujourd’hui, les jetons ne sont pas encore renouvelés.

Ce que changerait un horodatage qualifié. Avec un horodatage qualifié, la date et l’intégrité sont présumées exactes (article 41.2 du règlement eIDAS) : c’est à celui qui les conteste de prouver le contraire. Avec un horodatage non qualifié, comme aujourd’hui, c’est à celui qui produit la preuve de convaincre le juge que la date et le contenu sont exacts ; l’empreinte, le jeton de l’autorité et le journal signé sont là pour l’y aider.

Même contre qui prendrait le contrôle du serveur, en dehors de vos sessions. Vos messages conservés vivent dans un coffre des preuves chiffré sous votre clé et signé par elle. Cette clé n’est ouverte, en mémoire, que pendant vos sessions — jusqu’à votre déconnexion, ou 12 heures sans activité ; fermer l’onglet ne suffit pas. Pour une équipe, le coffre commun est ouvert pendant la session de chacun de ses membres. Le reste du temps, on ne peut ni lire un message déjà conservé, ni en viser un pour le modifier ou l’effacer. Le serveur, lui, lit chaque message à son arrivée, avant de le chiffrer, pour une boîte connectée ; pour une adresse @aimailbox.cloud, notre serveur de messagerie le reçoit en clair et le trie en indésirable avant de le chiffrer, et AIMailBox ne l’analyse que pendant votre session. Il lit aussi ce que vous ouvrez pendant une session ; un message conservé par une règle en votre absence n’entre au coffre qu’à votre session suivante. Chaque geste — conserver, déplacer, vérifier, retirer — est inscrit à un journal signé de votre clé, qu’un témoin, sur une autre machine que nous exploitons aussi, copie et contresigne toutes les dix secondes, et qu’une autorité et la chaîne Bitcoin horodatent chaque heure. Pour une adresse @aimailbox.cloud chiffrée, notre serveur y inscrit aussi, sous un pseudonyme, l’heure, la taille et l’empreinte de chaque message reçu, hors pourriel.

Limites : ce n’est pas un coffre matériel, ni un coffre-fort numérique certifié (NF Z42-020). Qui contrôle le serveur ne peut pas viser un message, mais peut tout détruire d’un bloc : le témoin en garde des copies, et une preuve téléchargée reste la seule copie que rien sur nos serveurs n’atteint — téléchargez celle des messages qui comptent. Vous pouvez retirer un message avant son échéance, sur confirmation, et ce retrait est journalisé. La valeur d’une preuve devant un juge s’apprécie au cas par cas.