Accueil/Signature numérique

Vérifier la signature numérique d'un installateur avant de l'exécuter

Un fichier téléchargé porte, la plupart du temps, une information disponible en deux clics, rarement consultée avant de double-cliquer dessus. Cette vérification ne demande aucun outil supplémentaire : elle est intégrée nativement à Windows, accessible directement depuis les propriétés du fichier lui-même.

Ce qu'est une signature numérique

Une signature numérique est une preuve cryptographique attachée à un fichier exécutable, qui atteste à la fois de l'identité de l'éditeur qui l'a publié et de l'intégrité du fichier depuis sa signature — toute modification ultérieure, même minime, invalide automatiquement la signature. Cette double garantie répond précisément aux deux questions qui comptent avant d'exécuter un fichier téléchargé : qui l'a réellement publié, et n'a-t-il pas été altéré entre sa publication et son téléchargement sur l'appareil de l'utilisateur.

La manipulation, étape par étape

1. Localiser le fichier téléchargé dans l'explorateur Windows, sans l'exécuter.
2. Effectuer un clic droit sur le fichier, puis sélectionner « Propriétés » dans le menu contextuel.
3. Ouvrir l'onglet « Signatures numériques », présent uniquement si le fichier porte une signature ; son absence constitue en elle-même une information.
4. Sélectionner la signature listée puis cliquer sur « Détails » pour afficher les informations complètes de l'éditeur.
5. Vérifier la mention « Ce certificat numérique est valide et n'est pas révoqué », affichée dans la fenêtre de détails si la signature est correctement validée.

Ce que révèle l'absence de cet onglet

Vérifier que le nom de l'éditeur correspond bien à celui attendu

La signature affiche un nom d'éditeur qu'il convient de comparer précisément à celui attendu pour le VPN téléchargé, sans se limiter à une ressemblance approximative. Un éditeur au nom légèrement différent de celui affiché sur le site officiel du fournisseur, une orthographe modifiée d'un ou deux caractères, ou une société tierce sans lien apparent avec le VPN concerné, signale une possible substitution intervenue entre la source d'origine et le fichier réellement téléchargé.

Le statut de révocation, une vérification complémentaire

Un certificat peut avoir été valide au moment de sa création mais révoqué depuis, généralement en cas de compromission découverte a posteriori par l'autorité de certification qui l'a délivré. Windows vérifie automatiquement ce statut de révocation au moment de l'affichage des détails de la signature, à condition que l'appareil dispose d'une connexion internet active permettant cette vérification en temps réel ; sans connexion, cette vérification peut rester incomplète et mérite d'être refaite une fois la connexion rétablie.

La somme de contrôle (hash), une alternative complémentaire

Certains éditeurs publient, en complément ou à défaut d'une signature numérique, une empreinte cryptographique (hash SHA-256) du fichier officiel sur leur propre site. Calculer cette même empreinte pour le fichier téléchargé, via un outil intégré à Windows (certutil en ligne de commande) ou un utilitaire tiers dédié, et la comparer à celle publiée par l'éditeur, confirme que le fichier n'a subi aucune altération, y compris dans les cas où aucune signature numérique classique n'est disponible pour ce même fichier.

La chaîne de certification, un niveau de vérification supplémentaire

Un certificat numérique ne se valide pas isolément : il s'inscrit dans une chaîne de confiance remontant jusqu'à une autorité de certification racine, elle-même reconnue par Windows comme digne de confiance. La fenêtre de détails de la signature affiche généralement cette chaîne complète, accessible via un onglet ou un bouton dédié, qui permet de vérifier que chaque maillon de cette chaîne reste valide, pas seulement le certificat final attribué à l'éditeur du logiciel lui-même.

Une rupture dans cette chaîne — un maillon intermédiaire expiré ou révoqué, alors que le certificat final semble pourtant valide — invalide en réalité l'ensemble de la garantie apportée par la signature, un cas de figure rare mais que Windows signale généralement de façon explicite si cette situation se présente lors de la vérification effectuée automatiquement au moment de l'affichage des détails.

Signature standard ou validation étendue (EV)

Certains éditeurs optent pour un certificat à validation étendue (Extended Validation ou EV), délivré après une vérification plus approfondie de l'identité légale de l'entreprise par l'autorité de certification, par opposition à un certificat standard dont le processus de délivrance reste plus léger. Un certificat EV apporte une garantie d'identité renforcée, mais son absence ne disqualifie pas automatiquement un éditeur légitime : de nombreux éditeurs de logiciels reconnus continuent d'utiliser des certificats standards, largement suffisants pour la majorité des usages, sans que cela ne reflète un manque de sérieux de leur part.

Le cas des installateurs auto-signés

Un fichier peut porter un certificat auto-signé, c'est-à-dire délivré par l'éditeur lui-même plutôt que par une autorité de certification reconnue par Windows. Ce type de certificat, techniquement valide pour vérifier l'intégrité du fichier, n'apporte en revanche aucune garantie indépendante sur l'identité réelle de l'éditeur, puisque n'importe qui peut créer un certificat auto-signé portant le nom de son choix. Windows affiche généralement un avertissement distinct pour ce type de signature, qu'il convient de traiter avec davantage de prudence qu'une signature délivrée par une autorité de certification tierce reconnue.

Automatiser la vérification pour plusieurs fichiers

Pour un usage plus intensif, impliquant la vérification régulière de plusieurs fichiers téléchargés, l'outil en ligne de commande PowerShell intégré à Windows propose une commande dédiée (Get-AuthenticodeSignature) qui affiche directement le statut de signature d'un fichier sans passer par l'interface graphique des propriétés. Cette approche, plus rapide une fois la commande maîtrisée, convient particulièrement à un usage répété qui rendrait fastidieuse la navigation manuelle dans les menus contextuels pour chaque fichier vérifié individuellement.

Un réflexe à généraliser au-delà du seul VPN

Cette vérification, une fois maîtrisée pour un installateur VPN, s'applique de façon identique à n'importe quel logiciel téléchargé sur internet, indépendamment de sa catégorie. En faire un réflexe systématique avant chaque nouvelle installation, plutôt qu'une vérification réservée aux seuls logiciels jugés a priori plus sensibles, réduit significativement l'exposition à des fichiers altérés ou usurpés, quelle que soit la nature exacte du programme concerné par ce téléchargement particulier.

Ce qui se passe si la signature semble suspecte

Face à une signature absente, invalide, ou portant un nom d'éditeur qui ne correspond pas à celui attendu, la démarche la plus sûre consiste à interrompre l'installation et à retourner à la source du téléchargement pour vérifier qu'aucune erreur n'a été commise dans le choix du lien — un site tiers plutôt que le site officiel, par exemple. Si le fichier provient bien de la source attendue malgré cette anomalie de signature, contacter directement le support du fournisseur pour signaler l'incohérence observée reste préférable à une exécution du fichier sur la seule confiance accordée au nom de domaine visité.

Un fournisseur légitime, confronté à ce type de signalement, dispose généralement d'une explication claire — certificat en cours de renouvellement, changement récent d'autorité de certification — ou corrige rapidement le problème une fois identifié. L'absence de réponse satisfaisante à ce type de signalement constitue, en soi, une information supplémentaire sur le sérieux du fournisseur concerné, indépendamment de la question technique initiale posée par l'anomalie de signature constatée.

Conserver une trace des vérifications effectuées

Pour un usage professionnel ou pour quiconque installe régulièrement plusieurs logiciels sur des postes différents, noter les résultats de ces vérifications — éditeur confirmé, empreinte vérifiée, date du contrôle effectué — dans un document de suivi simple permet de retrouver rapidement cette information en cas de question ultérieure, sans devoir répéter l'intégralité de la démarche à chaque fois qu'un doute resurgit sur un fichier déjà vérifié consciencieusement par le passé.

Cette habitude, empruntée aux pratiques d'administration système professionnelles, reste proportionnée à un usage personnel dès lors qu'elle se limite à quelques lignes par installation : nom du logiciel, date, éditeur confirmé, résultat de la vérification effectuée. Elle transforme une précaution ponctuelle en pratique cohérente, applicable à chaque nouvelle installation plutôt que réservée aux seuls cas où un doute se manifeste déjà spontanément.