Comment prouver qu'un document n'a pas été modifié ? (hash, horodatage, WORM)

Lorsqu'une pièce est contestée, l'argument le plus fréquemment avancé par l'expert est simple : « je n'ai rien modifié ». Pourtant, cette affirmation n'a aucune valeur technique vérifiable, surtout avec des supports de stockages grand public. Dans un contexte conflictuel, personne n'est tenu de croire une déclaration, même sincère. Ce qui est recherché, ce sont des éléments objectifs, indépendants et vérifiables par un tiers. Le problème n'est donc pas l'honnêteté de l'expert, mais l'absence de mécanisme permettant de démontrer l'intégrité d'un document sans faire appel à sa parole. Tant que cette démonstration repose sur des explications ou des reconstitutions a posteriori, le doute reste possible.

Un hash cryptographique est une empreinte numérique calculée à partir du contenu exact d'un fichier. La moindre modification — même invisible — produit une empreinte totalement différente. Son rôle est simple : permettre de vérifier qu'un fichier donné correspond exactement à un état antérieur connu. Si le hash recalculé est identique, le contenu est identique. Cependant, un hash seul ne prouve pas tout. Il permet de détecter une modification, mais pas de dire quand le fichier a été créé, ni s'il a été remplacé avant ou après un événement donné. Sans référence temporelle indépendante, le hash reste une photographie sans date.

L'horodatage ajoute une dimension essentielle : le temps. Lorsqu'une empreinte est horodatée par un tiers indépendant, il devient possible de démontrer qu'un document existait dans un état précis à une date donnée. Cela permet de contrer des accusations du type « ce document a été modifié après coup ». L'horodatage apporte un point d'ancrage temporel objectif. En revanche, l'horodatage ne rend pas un fichier immuable. Il prouve qu'un état a existé à un instant T, mais n'empêche pas qu'un autre état puisse exister plus tard. Sans mécanisme complémentaire, la modification reste techniquement possible, même si elle est détectable.

C'est ici que se situe une confusion fréquente. Détecter une modification et empêcher une modification sont deux choses très différentes. Les mécanismes comme le hash et l'horodatage permettent de détecter qu'un fichier a changé. Mais en cas de litige, cette détection arrive souvent trop tard. Le débat est déjà ouvert, la confiance est déjà entamée. Rendre une modification impossible change radicalement la situation. Il ne s'agit plus de prouver qu'une fraude n'a pas eu lieu, mais de démontrer qu'elle ne pouvait pas avoir lieu. Cette différence est fondamentale dans une logique de défense.