Comment savoir si un paquet de preuves a été altéré ?

Recalculez le hash SHA-256 de chaque fichier et comparez-le avec manifest.json, puis vérifiez la signature RSA de manifest.json. Le Vérificateur de confiance sur getproofsnap.com et les scripts du ZIP font les deux. Un fichier modifié ou manquant fait passer le verdict à Intégrité : modifiée, et le vérificateur désigne le fichier en cause.

Comment prouver qu'une capture d'écran n'a pas été modifiée ?

Une capture d'écran isolée ne se vérifie pas après coup. Dans un paquet ProofSnap, l'empreinte SHA-256 de screenshot.jpeg figure dans manifest.json, qui est signé et, selon l'offre, horodaté. Déposez le ZIP dans le Vérificateur de confiance ou lancez verify.sh : si un seul pixel a changé, l'empreinte ne correspond plus et le fichier est signalé.

Une signature valide prouve-t-elle qui a capturé la page ?

Non. La clé de signature est générée à l'intérieur du paquet : une signature valide prouve donc que les fichiers n'ont pas changé depuis le scellement du paquet. Ce sont les horodatages OpenTimestamps et eIDAS qui montrent que le paquet existait au plus tard à une date donnée.

Le Vérificateur de confiance en ligne est-il gratuit ?

Oui. Chacun peut ouvrir le Vérificateur de confiance dans un navigateur et y déposer le ZIP, sans compte ni installation. Le ZIP est ouvert dans le navigateur ; seuls le hash du manifeste et les jetons d'horodatage sont envoyés au service de vérification de ProofSnap pour les contrôles Bitcoin et eIDAS.

Quel fichier communiquer à la partie adverse ou produire en justice ?

Le ZIP exactement tel que vous l'avez téléchargé depuis le panneau latéral. Tout ce qu'il faut pour la vérification s'y trouve, y compris les scripts et le guide. Vous pouvez envoyer le PDF de preuve séparément pour en faciliter la lecture, mais la preuve, c'est le ZIP.

La vérification nécessite-t-elle ProofSnap ou un compte ?

Seule la méthode A les nécessite. Le Vérificateur de confiance de ce site est accessible à tous, sans compte, et les scripts du ZIP n'ont pas du tout besoin de ProofSnap.

Un horodatage Bitcoin en attente signifie-t-il que le paquet n'est pas valide ?

Non. Le verdict peut être Intégrité : conforme alors que l'ancrage Bitcoin est encore en attente. Vérifiez de nouveau le même ZIP quelques heures plus tard pour voir le bloc.

Vérifier un paquet de preuves ProofSnap : 3 méthodes

Trois façons de vérifier

Les trois méthodes effectuent les mêmes contrôles : chaque fichier est-il bien celui qui a été scellé lors de la capture, et quels horodatages montrent la date à laquelle le paquet existait au plus tard ? Choisissez celle qui convient à la personne qui vérifie.

Méthode A · Étapes 2 à 6

Dans le panneau latéral ProofSnap

Pour vous, juste après la capture ou avant d'envoyer le paquet. Nécessite ProofSnap et d'être connecté à un compte ProofSnap.

Méthode B · Étape 7

Sur ce site web

Pour la partie adverse, un tribunal ou toute autre personne. N'importe quel navigateur, sans installation, sans compte.

Méthode C · Étapes 8 à 10

Avec les scripts du ZIP

Pour un expert qui veut un contrôle exécuté sur son propre ordinateur, indépendamment de ProofSnap.

Ce que prouve une vérification réussie

Vérifier un paquet de preuves ProofSnap répond à trois questions distinctes :

Intégrité : chaque fichier correspond toujours à l'empreinte (hash) SHA-256 enregistrée dans manifest.json.
Cohérence : la signature RSA de manifest.sig correspond au manifeste ; la liste des empreintes n'a donc pas été modifiée non plus.
Date : une preuve OpenTimestamps montre que le manifeste existait au plus tard à la date d'un bloc Bitcoin donné. Un horodatage qualifié UE de Disig a.s., prestataire de services de confiance qualifié inscrit sur la liste de confiance de l'UE, montre qu'il existait au plus tard à la date et à l'heure indiquées.

« The TSA's role is to time-stamp a datum to establish evidence indicating that a datum existed before a particular time. »

Traduction : le rôle de la TSA (autorité d'horodatage) est d'horodater une donnée afin d'établir des éléments de preuve indiquant que cette donnée existait avant un moment donné.

IETF RFC 3161, Time-Stamp Protocol, section 1 (2001)

La signature ne prouve que l'intégrité, car sa clé est générée à l'intérieur du paquet ; ce sont les horodatages qui montrent que le paquet existait au plus tard à une date donnée. Les scripts verify.sh et verify.ps1 effectuent les quatre mêmes contrôles (intégrité des fichiers, signature du manifeste, jeton eIDAS, ancrage Bitcoin) et renvoient l'un des trois codes de sortie suivants : 0 pour PASS, 1 pour FAIL et 2 pour INCOMPLETE.

Les trois méthodes comparées

Le vérificateur du panneau latéral lit des paquets jusqu'à environ 1,8 Go, et la mémoire du navigateur peut manquer dès environ 900 Mo. Pour des paquets plus volumineux, utilisez verify.sh ou verify.ps1, qui vérifient les paquets de toute taille, fichier par fichier.

	A : panneau latéral	B : site web	C : scripts du ZIP
Qui l'utilise	Vous, avant l'envoi	Tout destinataire du paquet	Un expert sur son propre ordinateur
Compte ProofSnap	Obligatoire	Non requis	Non requis
Fonctionne sur	Chrome ou Edge avec ProofSnap	Tout navigateur récent	macOS, Linux, Windows
Recours aux serveurs ProofSnap	Pour les deux contrôles d'horodatage	Pour les deux contrôles d'horodatage	Non
Vidéos volumineuses	Jusqu'à environ 1,8 Go	Limitées par la mémoire du navigateur	Sans limite de taille

Étape 1, pour tous

Travaillez sur le ZIP d'origine

Chacune des méthodes ci-dessous vérifie le ZIP exactement tel que ProofSnap l'a produit, qu'il contienne une capture web, une vidéo, une session multi-onglets ou une certification de fichier. C'est aussi ce ZIP que vous communiquerez à la partie adverse ou à votre avocat, et que vous produirez en justice. Ne touchez pas à l'original et travaillez sur des copies. Le contenu de chaque fichier est expliqué dans le guide Lire un paquet de preuves.

1Le ZIP. Renommer le fichier ZIP lui-même est sans conséquence : les contrôles portent sur les fichiers qu'il contient. N'y ajoutez pas de fichiers, n'en retirez pas et ne le recompressez pas.
2manifest.json. La liste de tous les fichiers avec leur empreinte SHA-256. Sa signature figure dans manifest.sig et se vérifie avec la clé publique publickey.pem. Lorsqu'ils sont présents, les horodatages Bitcoin et eIDAS portent sur ce fichier.
3verification/. Les scripts et le guide en texte brut pour vérifier le paquet sans ProofSnap (voir les étapes 8 à 10).

1 proofsnap_20261015_094107.zip

evidence.pdf
provenance_certificate.pdf
screenshot.jpeg
page.html
page.mhtml
domtextcontent.txt
metadata.json
c2pa.json
chain_of_custody.json
forensic_log.json
forensic_log_summary.txt
2manifest.json
manifest.sig
publickey.pem
manifest.json.ots
manifest.json.tsr
eidas_validation.json
3verification/
verify.sh
verify.ps1
VERIFICATION_GUIDE.txt

Exemple de paquet de capture web avec OpenTimestamps et eIDAS, ouvert dans un gestionnaire de fichiers (simplifié). La liste exacte dépend de l'offre et des options.

Étape 2, dans le panneau latéral

Trouvez le Vérificateur de confiance ProofSnap

Ouvrez le panneau latéral ProofSnap et faites défiler le panneau vers le bas, au-delà des options de capture. La carte ProofSnap Vérificateur de Confiance se trouve juste au-dessus de la Certification de fichiers et s'affiche repliée. Il faut un compte ProofSnap avec une offre ou des crédits pour la voir ; toute personne qui n'a pas ProofSnap passe par le site web (étape 7).

1Icône ProofSnap. Ouvre le panneau latéral. L'onglet ouvert n'a pas d'importance.
2ProofSnap Vérificateur de Confiance. Cliquez sur le titre pour ouvrir la carte.

Étape 3, dans le panneau latéral

Chargez le ZIP et cliquez sur Vérifier le fichier zip

Le vérificateur accepte un paquet de capture web ou vidéo, un paquet de session, une certification de fichier, une certification combinée de plusieurs fichiers et un paquet par lot avec un ZIP par fichier. Il déduit lui-même le type à partir du manifeste.

1Cliquez pour télécharger ou glissez-déposez. Choisissez le ZIP. Son nom apparaît en bleu sous la zone de dépôt.
2Vérifier le fichier zip. Lance tous les contrôles dans votre navigateur. Les deux contrôles d'horodatage interrogent le service de vérification de ProofSnap : restez en ligne. Les très gros paquets (à partir d'environ 900 Mo, en général de longues vidéos) peuvent épuiser la mémoire du navigateur ; au-delà d'environ 1,8 Go, le vérificateur vous renvoie aux scripts de l'étape 8.

La carte ouverte, avec le ZIP sélectionné. Tant que vous n'avez pas choisi de fichier, le bouton reste grisé et inactif.

Étape 4, dans le panneau latéral

Lisez le verdict

Le verdict résume tous les contrôles en une ligne. Survolez-le pour afficher une courte explication.

1Intégrité : conforme. Tous les contrôles cryptographiques ont réussi : les fichiers correspondent au manifeste, et le manifeste correspond à la signature faite avec la clé du paquet. Le vérificateur ne l'affiche qu'après avoir réellement contrôlé la signature et recalculé les empreintes des fichiers.
2Intégrité : modifiée. La preuve a été altérée ou est incomplète : au moins un contrôle a échoué. Voir plus bas la section sur la marche à suivre.
3Afficher la vérification technique. Ouvre le détail des contrôles (étape suivante).

En haut : un paquet intact. En bas : le même emplacement lorsqu'un contrôle a échoué.

Étape 5, dans le panneau latéral

Ouvrez la vérification technique

Chaque ligne correspond à un contrôle. Une barre bleue signale un contrôle réussi ou une simple information, une barre rouge un contrôle échoué. Les lignes affichées dépendent du contenu du paquet.

1manifest.json. La signature RSA du manifeste est validée avec la clé publique du paquet. Elle prouve que le manifeste n'a pas changé depuis sa signature.
2Intégrité des fichiers. Chaque fichier figurant dans le manifeste est de nouveau haché en SHA-256 et comparé. La signature et la clé ayant été créées après le manifeste, seule leur présence est vérifiée. Les paquets de session incluent les fichiers de chaque onglet, les paquets vidéo l'enregistrement.
3Chaîne de traçabilité. L'heure de capture est plausible (ni postérieure à la date actuelle, ni antérieure de plus de 30 ans), forensic_log.json correspond au hash enregistré dans chain_of_custody.json, sa chaîne de hachage est recalculée pas à pas, et le hash final de la chaîne correspond. La ligne qui cite la norme ISO reprend ce que déclare chain_of_custody.json ; ce n'est pas une évaluation.
4Contexte de capture. Version de l'extension, nombre de serveurs de temps ayant confirmé l'heure de capture, score d'intégrité de l'appareil et nombre d'opérations enregistrées. Un paquet de session liste aussi chaque onglet qu'il couvre.

Les lignes d'horodatage

5OpenTimestamps. Le bloc Bitcoin dans lequel le manifeste est ancré et sa date. Peu après une capture, cette ligne indique « en attente » (voir l'étape 11). Cette ligne n'apparaît pas sur les captures Essential, sauf si un crédit eIDAS SnapPack ou Video SnapPack a été utilisé.
6Horodatage qualifié UE. L'horodatage qualifié est valide pour ce manifeste, avec l'émetteur et l'heure en UTC. Émetteur : Disig a.s., prestataire de services de confiance qualifié inscrit sur la liste de confiance de l'UE.
7Horodatage qualifié UE (LTV). Un second contrôle qui ne nécessite aucun serveur : hash, signature, chaîne de certificats et statut de révocation, le tout tiré du fichier eidas_validation.json dans le paquet. Si le service eIDAS est injoignable, ce contrôle s'exécute seul.
8Émetteur. Rappelle que la clé de signature est générée à l'intérieur du paquet : la signature prouve l'intégrité, les horodatages datent le paquet.

Intégrité : conforme

Masquer la vérification technique

1

manifest.json : La signature est valide. Le fichier a été signé avec la clé publique fournie et la signature correspond au contenu du manifeste.

2

Intégrité des fichiers : Les 16/16 fichiers vérifiés : les hashes SHA-256 correspondent au manifeste.

3

L'horodatage de capture est dans une plage raisonnable (2026-10-15T09:41:07.000Z)

forensic_log.json : Vérifié : le hash correspond à la référence de la chaîne de traçabilité.

Chaîne de Hash : Intégrité vérifiée : la chaîne de journal inviolable est intacte

Hash de Chaîne : Le hash final correspond à la référence de la Chaîne de Traçabilité

chain_of_custody.json : Conforme à ISO/IEC 27037:2012 (guidance, not a certifiable standard)

4

Intégrité de l'Extension : Vérifiée (v1.19.5)

Heure NTP : Vérification croisée par 3 sur 3 sources

Intégrité de l'appareil : Réussie (Score : 100/100)

Journal forensique : 27 opérations en 21,38 secondes (NTP synchronisé)

5

OpenTimestamps : Vérifié. Ancré au bloc Bitcoin 970418, confirmant l'existence depuis 2026-10-15 +04 (UTC).

6

Horodatage qualifié UE : Vérifié. TSA : Disig a.s., Horodatage : 2026-10-15T09:41:12Z.

7

Horodatage qualifié UE (LTV) : Validation hors ligne réussie (hash, signature, chaîne de certificats, OCSP).

8

Émetteur : ce paquet est signé avec une clé générée à l'intérieur du paquet.

Vérification technique du paquet d'exemple, quelques heures après la capture. Valeurs données à titre d'exemple.

Étape 6, certifications de fichiers

Comparez le fichier original au certificat

Pour une certification de fichier, le vérificateur ajoute une zone qui compare l'empreinte de tout fichier que vous y déposez à l'empreinte certifiée. Servez-vous-en pour montrer que la copie que vous ou la partie adverse détenez aujourd'hui est bien le fichier qui a été certifié. L'empreinte est calculée dans votre navigateur et le fichier ne quitte pas votre ordinateur.

1Le ZIP de certification. Vérifiez-le d'abord, comme aux étapes 3 à 5.
2Vérifier que le fichier original correspond au certificat. Déposez l'original. Le fichier correspond au certificat signifie que ce fichier est identique au fichier certifié, qui existait au plus tard à la date et à l'heure certifiées. Le fichier NE correspond PAS signifie que le hash diffère : ce n'est pas le fichier qui a été certifié. Vous pouvez déposer plusieurs fichiers à la fois, par exemple les originaux d'une certification combinée.
3Verdict. Il concerne le paquet lui-même, comme pour tout autre paquet.
4Type de paquet. File Certification (libellé affiché en anglais) avec le hash certifié, ou Certification combinée de fichiers avec le nombre de fichiers.

Une certification de fichier, avec le fichier original déposé dans la zone supplémentaire. Nom de fichier et hash donnés à titre d'exemple ; la liste continue plus bas.

Étape 7, sur le site web

Vérifiez sur getproofsnap.com, sans compte

La partie adverse, un tribunal ou un expert peut ouvrir le Vérificateur de confiance ProofSnap sur ce site dans n'importe quel navigateur, sans ProofSnap et sans compte. Il effectue les mêmes types de contrôles et affiche chaque résultat ligne par ligne. Le ZIP est ouvert dans le navigateur ; pour les contrôles Bitcoin et eIDAS, la page n'envoie que le hash du manifeste et les jetons d'horodatage au service de vérification de ProofSnap.

1Déposez le ZIP. Ou cliquez pour le choisir.
2Vérifier le package de preuves. Lance les contrôles.
3Résultats de la vérification. Une coche bleue signifie que le contrôle a réussi, une croix foncée qu'il a échoué.
4Détails du paquet. Type, identifiant et heure de capture tirés du manifeste.
5Signature du manifeste vérifiée. Même contrôle que dans le panneau latéral.
6Empreinte conforme. Une ligne par fichier. Un fichier modifié affiche Empreinte non conforme, un fichier absent Fichier manquant.
7Chaîne de traçabilité. Hash du journal forensique, chaîne de hachage, norme et intégrité de l'appareil.
8Horodatages. Le bloc Bitcoin avec sa date exprimée en heure locale, l'horodatage eIDAS et le contrôle LTV hors ligne. Pour une certification d'un seul fichier, la page contrôle aussi automatiquement le fichier original contenu dans le ZIP.

Vérifier des preuves numériques

getproofsnap.com/verify/index-fr.html

Vérifiez l'intégrité des preuves numériques en ligne

1

Cliquez pour téléverser ou glissez-déposez

Packages de preuves ProofSnap ZIP uniquement

proofsnap_20261015_094107.zip

2

Vérifier le package de preuves

3

Résultats de la vérification

4Type de package : capture web

Identifiant du package : ps_7c1e4b2a-93f0-4d5e-b8a1-2f6c0d9e4a37

Capturé le : 2026-10-15 09:41:07 UTC

5Signature du manifeste vérifiée

Émetteur : ce paquet est signé avec une clé générée à l'intérieur du paquet.

6Empreinte conforme : metadata.json

Empreinte conforme : page.html

Empreinte conforme : screenshot.jpeg

Empreinte conforme : evidence.pdf

Empreinte conforme : provenance_certificate.pdf

Empreinte conforme : domtextcontent.txt

Empreinte conforme : c2pa.json

Empreinte conforme : page.mhtml

Empreinte conforme : forensic_log.json

Empreinte conforme : forensic_log_summary.txt

Empreinte conforme : verification/verify.sh

Empreinte conforme : verification/verify.ps1

Empreinte conforme : verification/VERIFICATION_GUIDE.txt

Empreinte conforme : chain_of_custody.json

7L'empreinte du journal forensique correspond à la référence de la chaîne de traçabilité

La chaîne d'empreintes du journal forensique est valide (toute altération serait détectée)

L'empreinte finale de la chaîne correspond à la référence de la chaîne de traçabilité

Chaîne de traçabilité : ISO/IEC 27037:2012 (référentiel de bonnes pratiques, pas une norme certifiable)

Intégrité de l'appareil : conforme (score 100/100)

8OpenTimestamps : vérifié au bloc 970418 (15/10/2026 11:02:31)

Horodatage eIDAS UE : vérifié. TSA : Disig a.s., horodatage : 2026-10-15T09:41:12Z

Horodatage eIDAS UE (LTV) : validation hors ligne réussie (empreinte, signature, chaîne de certificats, OCSP)

Le vérificateur de ce site, simplifié : navigateur et en-tête du site omis. Résultats du même paquet d'exemple qu'à l'étape 5.

Étape 8, sans ProofSnap

Lancez verify.sh sous macOS ou Linux

Pour un contrôle qui ne dépend en rien de ProofSnap, décompressez une copie du paquet et lancez le script qu'elle contient. Il n'a besoin que de ce que macOS et Linux fournissent déjà : un shell, awk et un outil SHA-256 (shasum, sha256sum ou openssl), ainsi qu'openssl pour les étapes de signature et eIDAS. Il n'écrit rien dans le paquet.

1Lancez-le. Depuis le dossier décompressé : bash verification/verify.sh.
2Intégrité des fichiers. Recalcule le SHA-256 de chaque fichier figurant dans le manifeste : OK, MISMATCH (non conforme) ou MISSING (manquant). Un fichier du dossier que le manifeste ne liste pas est signalé comme NOT COVERED (non couvert).
3Signature du manifeste. Contrôle manifest.sig avec openssl. Verified OK est le message affiché par openssl lui-même.
4eIDAS. Compare le hash contenu dans le jeton qualifié avec manifest.json, compare le certificat racine du paquet à l'empreinte publiée de l'autorité de certification CA Disig QCA4 et vérifie la signature du jeton. Il affiche la commande openssl permettant de vérifier la chaîne de certificats complète.
5OpenTimestamps. Affiche la commande pour contrôler l'ancrage Bitcoin avec le client OpenTimestamps (ots), à installer séparément.
6RESULT. PASS (code de sortie 0), FAIL quand un contrôle a été exécuté et n'a pas réussi (1), ou INCOMPLETE quand un outil manquait (2), ce qui ne met pas en cause le paquet.

Terminal: ~/Downloads/proofsnap_20261015_094107

$ unzip -q proofsnap_20261015_094107.zip -d proofsnap_20261015_094107

$ cd proofsnap_20261015_094107

1$ bash verification/verify.sh

============================================================

ProofSnap Evidence Verification

============================================================

2[1/4] File integrity: SHA-256 of every file vs manifest.json

------------------------------------------------------------

OK metadata.json

OK page.html

OK screenshot.jpeg

OK evidence.pdf

OK provenance_certificate.pdf

OK domtextcontent.txt

OK c2pa.json

OK page.mhtml

OK forensic_log.json

OK forensic_log_summary.txt

OK verification/verify.sh

OK verification/verify.ps1

OK verification/VERIFICATION_GUIDE.txt

OK chain_of_custody.json

RESULT: all 14 hashed file(s) match

3[2/4] Manifest signature: RSA over manifest.json

------------------------------------------------------------

Verified OK

Signature OK: manifest.json matches the key in publickey.pem, so the

manifest has not been altered since it was signed. That key travels in

this package, so it shows internal coherence, not authorship; what ties

the manifest to a moment in time is a timestamp, and the steps below

report which timestamps this package carries.

4[3/4] eIDAS RFC 3161 qualified timestamp

------------------------------------------------------------

The qualified token carries the SHA-256 of manifest.json:

630b95a9f7831addbf2816e9fec450f59b15004c7138a3119584642e34b216ff

So manifest.json is the file the authority stamped, unchanged since.

The root offered for that check is in eidas_validation.json, which is

NOT covered by the manifest and could be replaced. Check it against the

published fingerprint of the authority before trusting it:

CA Disig QCA4, SHA-256

8E:BC:96:10:6E:FE:F2:7F:D3:69:D5:D8:5E:73:6E:4C:4E:31:DD:AC:22:E3:16:89:23:55:C5:3B:28:2E:C1:37

the root in this package matches that fingerprint.

The token's own signature verifies against the root in this package.

To check the token's own signature and its chain to that root:

openssl ts -verify -in manifest.json.tsr -data "manifest.json" -CAfile <tsa-root>.pem

The certificate chain, the OCSP response and the CRL gathered at

stamping time are in eidas_validation.json; its 'ocspStatus' field

carries the status of the TSA certificate. The root cert is the

'rootCaPem' field: copy its value into a .pem file and pass that

as -CAfile.

5[4/4] Bitcoin OpenTimestamps anchor

------------------------------------------------------------

manifest.json.ots present. Deep verify (needs the ots client):

ots verify manifest.json.ots -f "manifest.json"

============================================================

6 RESULT: PASS, the hashes match the manifest, the manifest signature

verifies, and the qualified token carries the hash of the file it

covers. What is left to the printed commands is the token's own

certificate chain, and the Bitcoin anchor.

============================================================

Terminal simplifié sous Linux avec OpenSSL 3. Chaque ligne sous la commande est affichée telle quelle par verify.sh, dont les messages sont en anglais ; le nom du dossier et le hash sont des exemples.

Étape 9, sans ProofSnap

Lancez verify.ps1 sous Windows

Décompressez une copie du paquet, ouvrez PowerShell (version 5 ou ultérieure) dans ce dossier et lancez la commande ci-dessous. Le script exécute les quatre mêmes étapes que verify.sh.

1Lancez-le. powershell -ExecutionPolicy Bypass -File verification\verify.ps1 depuis le dossier décompressé.
2Intégrité des fichiers. Utilise Get-FileHash, intégré à Windows, et compare aussi les valeurs SHA-512 qui figurent dans le manifeste. Cette partie n'a besoin de rien d'autre.
3Sans OpenSSL. Windows n'en est pas pourvu par défaut, si bien que les étapes de signature et eIDAS signalent qu'elles n'ont pas pu s'exécuter. Installez OpenSSL 3 et relancez le script pour un contrôle complet.
4RESULT. Le résultat est INCOMPLETE uniquement parce que deux contrôles n'ont pas pu s'exécuter ; tout ce qui a été exécuté a réussi.

Windows PowerShell

1PS C:\Users\marie\Downloads\proofsnap_20261015_094107> powershell -ExecutionPolicy Bypass -File verification\verify.ps1

============================================================

ProofSnap Evidence Verification

============================================================

[1/4] File integrity - SHA-256 of every file vs manifest.json

------------------------------------------------------------

2 OK metadata.json

OK page.html

OK screenshot.jpeg

OK evidence.pdf

OK provenance_certificate.pdf

OK domtextcontent.txt

OK c2pa.json

OK page.mhtml

OK forensic_log.json

OK forensic_log_summary.txt

OK verification/verify.sh

OK verification/verify.ps1

OK verification/VERIFICATION_GUIDE.txt

OK chain_of_custody.json

NOT HASHED publickey.pem (listed without a hash, presence only)

NOT HASHED manifest.sig (listed without a hash, presence only)

RESULT: all 14 hashed file(s) match

[2/4] Manifest signature - RSA over manifest.json

------------------------------------------------------------

3 openssl is not installed here, so the signature could not be checked.

Install OpenSSL, or verify online. This says nothing about the package.

[3/4] eIDAS RFC 3161 qualified timestamp

------------------------------------------------------------

openssl is not installed here, so the token could not be read.

To check the token's own signature and its chain to the authority root:

openssl ts -verify -in manifest.json.tsr -data "manifest.json" -CAfile <tsa-root>.pem

Certificate chain + OCSP/CRL are in eidas_validation.json. The root

cert is the 'rootCaPem' field: copy its value into a .pem file and

pass that as -CAfile.

openssl is not installed here, so the command above cannot be run.

Install OpenSSL 3.x, or verify online. The file-integrity check

does not depend on openssl and has already run above.

[4/4] Bitcoin OpenTimestamps anchor

------------------------------------------------------------

manifest.json.ots present. Deep verify (needs the ots client):

ots verify manifest.json.ots -f "manifest.json"

============================================================

4 RESULT: INCOMPLETE - everything that was checked here passed,

but 2 check(s) could not be run for want of a tool. Nothing

above suggests a defect in the package.

============================================================

Fenêtre Windows PowerShell simplifiée sur un ordinateur sans OpenSSL, la configuration par défaut de Windows. Les lignes sont reproduites telles que verify.ps1 les affiche, en anglais ; le dossier est un exemple.

Étape 10, sans ProofSnap

Ou suivez VERIFICATION_GUIDE.txt à la main

Les experts qui préfèrent taper chaque commande eux-mêmes, ou qui ne peuvent pas exécuter de scripts, trouvent la procédure manuelle dans verification/VERIFICATION_GUIDE.txt. Ce fichier fait partie du paquet signé, comme les scripts.

1Evidence ID. Rattache le guide à ce paquet.
2A) Les scripts. Les commandes des étapes 8 et 9.
3B) En ligne. L'adresse du Vérificateur de confiance, étape 7.
4C) À la main. Quatre étapes, chacune avec la commande exacte.
5STEP 1. Recalculez le SHA-256 de chaque fichier et comparez-le avec le manifeste.
6STEP 2. La commande openssl pour la signature du manifeste. Plus bas : la commande eIDAS avec des remarques sur OpenSSL 3 par rapport au LibreSSL que macOS fournit sous le nom openssl, et la commande OpenTimestamps.

VERIFICATION_GUIDE.txt

ProofSnap: Evidence Verification Guide

========================================================================

1Evidence ID: ps_7c1e4b2a-93f0-4d5e-b8a1-2f6c0d9e4a37

This package is self-contained. Everything needed to verify it is inside the

ZIP. Three ways to verify:

2 A) Run the bundled script (from the package root)

macOS / Linux: bash verification/verify.sh

Windows: powershell -ExecutionPolicy Bypass -File verification\verify.ps1

3 B) Verify online, drag the ZIP onto https://getproofsnap.com/verify/index.html

4 C) Run the four steps below by hand.

------------------------------------------------------------------------

5STEP 1: File integrity (SHA-256)

------------------------------------------------------------------------

manifest.json lists the SHA-256 hash of every file it covers. Recompute each

hash and compare: any mismatch, or any file listed and absent, means the package

was altered after signing. manifest.sig, publickey.pem, manifest.json.tsr,

manifest.json.ots and eidas_validation.json are produced from the finished

manifest and therefore sit outside it by construction; they are checked in

steps 2, 3 and 4 instead.

macOS/Linux: shasum -a 256 <file>

Windows: Get-FileHash <file> -Algorithm SHA256

------------------------------------------------------------------------

6STEP 2: Manifest signature (RSA + SHA-256)

------------------------------------------------------------------------

manifest.sig is a detached RSA signature over manifest.json, made with the

private key whose public half is publickey.pem. Verify:

openssl dgst -sha256 -verify publickey.pem -signature manifest.sig manifest.json

Le début du guide, rédigé en anglais, dans une visionneuse de texte brut (vue simplifiée). Il se poursuit avec l'étape 3 (eIDAS), l'étape 4 (OpenTimestamps) et la chaîne de hachage. L'identifiant de preuve est un exemple.

Comment vérifier à la main les horodatages eIDAS et Bitcoin

L'horodatage eIDAS avec OpenSSL

L'horodatage qualifié d'un paquet ProofSnap est le fichier manifest.json.tsr.

Copiez la valeur du champ rootCaPem du fichier eidas_validation.json dans un fichier nommé tsa-root.pem.
Comparez l'empreinte SHA-256 de ce certificat avec l'empreinte publiée de CA Disig QCA4 qu'affiche verify.sh.
Depuis le dossier décompressé, lancez openssl ts -verify -in manifest.json.tsr -data manifest.json -CAfile tsa-root.pem.

Utilisez OpenSSL 3, et non le LibreSSL que macOS fournit sous le nom openssl.

L'ancrage Bitcoin avec le client OpenTimestamps

Installez le client OpenTimestamps (ots) et lancez ots verify manifest.json.ots -f manifest.json. Une preuve confirmée indique le bloc Bitcoin, ce qui montre que le manifeste existait au plus tard à la date de ce bloc. Si la preuve est encore en attente, relancez la commande quelques heures plus tard.

Quand l'ancrage Bitcoin est en attente

Vérifiez de nouveau quelques heures plus tard

Un horodatage Bitcoin n'est définitif qu'une fois inclus dans un bloc Bitcoin. Juste après une capture, la preuve est soumise mais pas encore confirmée. C'est normal et cela ne change pas le verdict. Pour contrôler une preuve .ots seule, consultez l'article Comment vérifier un fichier OpenTimestamps.

1En attente. Soumis : confirmation Bitcoin en attente (généralement 1 à 3 heures). Sur le site web : OpenTimestamps : preuve soumise, confirmation en attente.
2Vérifié. Vérifiez de nouveau le même ZIP, inchangé, après quelques heures : la ligne indique alors le bloc Bitcoin. Elle montre que le manifeste, et donc chaque fichier qu'il liste, existait au plus tard à la date de ce bloc. N'essayez pas de mettre à jour ni de remplacer le fichier .ots.

Quelques minutes après la capture

1

Horodatage Blockchain : Soumis : confirmation Bitcoin en attente (généralement 1 à 3 heures).

Quelques heures plus tard, même ZIP

2

OpenTimestamps : Vérifié. Ancré au bloc Bitcoin 970418, confirmant l'existence depuis 2026-10-15 +04 (UTC).

La ligne OpenTimestamps dans la vérification technique du panneau latéral. Numéro de bloc et date donnés à titre d'exemple.

Quand le verdict indique « modifiée »

Ne réparez pas le ZIP : revenez à l'original

Cliquez sur Afficher la vérification technique : la ligne rouge indique le contrôle en cause et, le plus souvent, le fichier concerné. N'essayez pas de corriger le paquet ; toute modification ferait de nouveau échouer la vérification. Vérifiez plutôt le téléchargement d'origine. Les causes les plus fréquentes sont des erreurs de manipulation sans gravité :

1Un fichier a été modifié. Ouvrir un fichier du paquet et l'enregistrer, même sans modification visible, ou le renommer, suffit à le rendre non conforme au manifeste.
2Le paquet a été décompressé puis recompressé. Une nouvelle compression ajoute souvent un niveau de dossier supplémentaire, si bien que le vérificateur ne trouve plus manifest.json à la racine du ZIP. Certains outils ajoutent aussi leurs propres fichiers cachés.

Si la vérification du téléchargement d'origine indique elle aussi modifiée, conservez-le tel quel et écrivez à support@getproofsnap.com en y collant le texte de la ligne rouge de la vérification technique.

Un fichier du paquet a été ouvert puis enregistré

Intégrité : modifiée

Masquer la vérification technique

manifest.json : La signature est valide. Le fichier a été signé avec la clé publique fournie et la signature correspond au contenu du manifeste.

1

Intégrité des fichiers : 1 sur 16 fichiers N'ONT PAS passé la vérification (metadata.json).

Le paquet a été décompressé puis recompressé

Intégrité : modifiée

Masquer la vérification technique

2

Erreur : Fichiers requis manquants dans le zip : manifest.json, manifest.sig, publickey.pem. Le fichier zip peut être corrompu ou incomplet.

Émetteur : ce paquet est signé avec une clé générée à l'intérieur du paquet.

Haut de la vérification technique dans deux cas typiques. Noms de fichiers donnés à titre d'exemple.

Questions fréquentes

Un navigateur ne peut pas lire en entier les très gros paquets, généralement de longues vidéos. Utilisez verify.sh ou verify.ps1 du paquet (étape 8 ou 9) : ils lisent les fichiers un par un et n'ont pas de limite de taille.

macOS fournit LibreSSL sous le nom openssl. LibreSSL ne sait pas lire un attribut que portent les horodatages qualifiés, si bien que sa propre commande ts -verify signale une erreur même sur un horodatage valide. verify.sh en tient compte et vérifie la signature par un autre moyen. Pour la chaîne complète, utilisez OpenSSL 3.

Des preuves que chacun peut vérifier

Vous avez reçu un paquet ProofSnap ? Vérifiez-le dans le Vérificateur de confiance. Besoin de capturer vos propres preuves ? Installez ProofSnap.

Installer ProofSnap, 7 jours d'essai

L'essai de 7 jours nécessite une carte bancaire. Sans carte, un SnapPack coûte 4,99 $ (env. 4,30 €).

Également disponible pour Microsoft Edge

Autres guides : Capturer une page web · Preuves vidéo longues · Certifier un fichier · Lire un paquet de preuves

Comment vérifier un paquet de preuves ProofSnap

Trois façons de vérifier

Dans le panneau latéral ProofSnap

Sur ce site web

Avec les scripts du ZIP

Ce que prouve une vérification réussie

Les trois méthodes comparées

Avant de commencer

Travaillez sur le ZIP d'origine

Vérifier dans le panneau latéral ProofSnap

Trouvez le Vérificateur de confiance ProofSnap

Chargez le ZIP et cliquez sur Vérifier le fichier zip

Lisez le verdict

Ouvrez la vérification technique

Les lignes d'horodatage

Comparez le fichier original au certificat

Vérifier sur le site web

Vérifiez sur getproofsnap.com, sans compte

Vérifier sans ProofSnap

Lancez verify.sh sous macOS ou Linux

Lancez verify.ps1 sous Windows

Ou suivez VERIFICATION_GUIDE.txt à la main

Comment vérifier à la main les horodatages eIDAS et Bitcoin

L'horodatage eIDAS avec OpenSSL

L'ancrage Bitcoin avec le client OpenTimestamps

Deux résultats à examiner de plus près

Vérifiez de nouveau quelques heures plus tard

Ne réparez pas le ZIP : revenez à l'original

Questions fréquentes

Des preuves que chacun peut vérifier