Comment un email devient une preuve
Un service de preuve qui se contente d'affirmer « infalsifiable » réclame exactement la confiance qu'il prétend rendre inutile. Voici donc l'objet, ce sur quoi il s'appuie, et tout ce qu'il enregistre.
De l'envoi au certificat
Ce qui se passe, dans l'ordre, entre le moment où vous cliquez sur « Envoi tracé » et celui où vous tenez la preuve.
- Scellé à l'envoiLe contenu et les pièces jointes reçoivent une empreinte. Plus rien ne peut y être ajouté ni retiré.
- Daté par un tiersUn horodateur indépendant fixe la date. Ce n'est pas notre horloge qui fait foi.
- Le destinataire se fait reconnaîtreUn code envoyé à son adresse confirme qu'il y a bien accès. Le contenu ne lui est pas encore montré.
- Il accepte, ou il refuseSa décision est enregistrée et scellée. Accepté, il lit le message ; refusé, il ne le voit jamais.
- Vous recevez le certificatUn document que n'importe qui peut vérifier en ligne, sans compte et sans nous faire confiance.
Une preuve se lit. En voici une.
Pas une capture d'écran, pas un PDF décoratif : un objet signé dont chaque ligne engage quelque chose de précis. Voici la structure exacte, avec des valeurs d'exemple.
- ftvs_version1.0
- typeemail_proof
- id9c41e7b2-a0d8-4f16-8e3b-71c0d4a2f508
- Le numéro que vous tapez sur la page de vérification. Il est imprimé au pied de chaque page du certificat.
- issuerfoxylino.fr
- timestamp2026-08-30T14:22:07Z
- Confirmé par un horodateur indépendant (RFC 3161). Cette date-là ne vient pas de nous.
- payload.sendermarie.dupont@exemple.fr
- payload.recipientservice.client@exemple.com
- payload.subjectMise en demeure — dossier 2026-114
- hashes.bodysha256:4f3a…c081
- L'empreinte du texte envoyé. Changez une virgule, elle change entièrement : elle prouve le contenu exact.
- hashes.contentsha256:8b12…7ae4
- Le message et ses pièces jointes ensemble — on ne peut donc pas retirer une pièce après coup.
- sequence48
- prev_hashsha256:d709…31bc
- L'empreinte de votre preuve précédente. Chaque envoi tient le suivant : en retirer un casse la chaîne visiblement.
- signature.alged25519
- signature.valuehQ7pN2…Lm4vA==
- La signature. Elle se vérifie avec notre clé publique — donc sans nous demander notre avis.
Le certificat que le destinataire télécharge contient aussi le message lui-même : l'empreinte et le texte qu'elle scelle voyagent dans le même document.
Trois choses qui ne dépendent pas de nous
C'est la seule question qui vaille pour un service de preuve : que vaut votre certificat si l'éditeur ment ? Voici ce qui tient sans nous.
La date vient d'un tiers
L'heure d'envoi est confirmée par un service d'horodatage indépendant, selon la norme RFC 3161. Si notre serveur mentait sur l'heure, le jeton du tiers ne concorderait pas.
Norme RFC 3161La remise est constatée par l'acheminement
Quand le serveur du destinataire accepte le message, l'opérateur qui l'achemine en fait le constat. Nous conservons ce constat brut, avec sa propre date — pas notre résumé.
Constat conservé tel quelLe registre n'accepte que des ajouts
La base de données refuse toute modification et toute suppression sur les preuves — la règle est posée dans le moteur lui-même. Nous ne pouvons pas réécrire votre historique, même en le voulant.
Vérifié jusqu'au compte administrateurLe journal enregistre aussi les échecs
Un service qui ne consigne que les envois réussis ne sert à rien le jour où quelque chose échoue — c'est-à-dire le seul jour où vous aurez besoin de lui. Chaque ligne ci-dessous est scellée de la même façon.
Envoyé
sentconstaté par vousLe message est scellé et part. Son empreinte est déjà fixée : plus rien ne peut être ajouté ni retiré ensuite.
Remis au serveur du destinataire
deliveredconstaté par l'acheminementLe serveur d'en face a accepté le message. Constat de l'opérateur, avec son horodatage à lui.
Identifié par code
openedconstaté par le destinataireUn code à usage unique, envoyé à son adresse, a été saisi. Ce n'est pas un pixel espion : c'est une authentification. Le contenu ne lui est pas encore montré.
Accepté
acceptedconstaté par le destinataireIl accuse réception. Décision horodatée et signée.
Refusé
refusedconstaté par le destinataireIl refuse sans voir le contenu — et c'est enregistré avec la même force. Un refus prouve qu'il a été identifié et informé de l'envoi.
Non remis
undeliverableconstaté par l'acheminementL'adresse n'existe pas, ou le serveur rejette. L'échec est scellé comme le reste : c'est souvent le fait le plus utile à démontrer.
Expiré sans réponse
expiredconstaté par le systèmeLe délai est passé sans décision. Le silence est daté, donc opposable au même titre.
Ce que tout cela ne fait pas
FoxyTrace produit une preuve technique vérifiable. Ce n'est pas un recommandé électronique qualifié eIDAS, et nous ne prétendons pas l'être — le détail est sur la page d'accueil.