Une collectionneuse achète un tirage de « Grues au crépuscule, Saint-Nazaire », de notre photographe fictive Jeanne Valory. Avec le tirage, la galerie lui remet un certificat d’authenticité : un PDF, avec un QR code. Elle le range dans un dossier. Dix ans plus tard, elle veut revendre le tirage, et l’acheteur demande : ce certificat, que vaut-il ?
La réponse honnête tient en deux listes : ce que le certificat atteste, et ce qu’il n’atteste pas. Les trois premiers articles de cette série ont décrit ce que contient un catalogue raisonné : des œuvres, des tirages et leur provenance, des exports et des métadonnées. Ce dernier article porte sur le document qui en sort pour accompagner un objet.
Nous prendrons pour exemple le certificat d’Obscura Catalog, disponible au téléchargement depuis la version 0.9.0, le 14 octobre 2026, et dont la version 0.10.0 a précisé plusieurs comportements décrits plus bas.
Un certificat est une déclaration
Un certificat d’authenticité n’est pas une mesure. C’est une déclaration : quelqu’un affirme, par écrit, que tel objet est telle œuvre de tel auteur. Toute sa valeur dépend de trois choses : qui l’affirme, sur quel fondement, et si l’on peut vérifier que le document n’a pas été modifié depuis.
Le qui est l’émetteur. Dans Obscura Catalog, l’émetteur est un agent du répertoire, avec sa qualité : artiste, ayant droit / succession, galerie, fondation, expert, musée. Un certificat signé par l’artiste de son vivant et un certificat émis par une galerie trente ans après ne disent pas la même chose, et le document l’affiche.
Le fondement est le catalogue raisonné. Une œuvre ne peut être certifiée que si elle est Validée ou Publiée, si elle a une attribution acceptée au rôle de photographe, un numéro de catalogue, et si elle n’est pas confidentielle. Le certificat ne crée pas la connaissance : il en donne un état, à une date.
Ce que décrit le certificat
Le certificat porte sur l’œuvre (à travers son image de référence) ou sur un ou plusieurs tirages, voire sur toute une édition. Il décrit :
- l’œuvre : numéro, titre, auteur, attribution, date, technique, série, droits ;
- l’objet certifié : pour un tirage, son numéro, son édition, ses dimensions, son procédé, sa signature, son état ;
- le fichier source : nom, empreinte SHA-256, dimensions en pixels, profil colorimétrique ;
- les déclarations, la provenance, les expositions et les publications ;
- les mentions légales et les recommandations de conservation ;
- la signature : algorithme, empreinte de la clé, adresse de publication de la clé, horodatage éventuel.
Les provenances confidentielles n’y figurent jamais, ni le montant, le détenteur ou la localisation d’un tirage confidentiel.
Les déclarations, et leur déclarant
Certaines affirmations ne se déduisent pas du catalogue : tiré à partir du négatif original, tiré sous la supervision de l’artiste, signé par l’artiste, tirage dans les limites de l’édition annoncée. Ce sont des déclarations, et quelqu’un doit en répondre.
Dans Obscura Catalog, une déclaration porte toujours le nom de son déclarant et sa date ; sans déclarant, elle est refusée. Sur le certificat, elle ne s’imprime pas comme une case cochée mais comme une phrase attribuée : telle affirmation, déclarée par telle personne.
Il faut être précis sur ce que cela signifie. Le certificat entier, déclarations comprises, est signé par la clé de l’émetteur. La signature prouve donc que l’émetteur a émis ce texte, qui attribue cette déclaration à cette personne. Elle ne prouve pas, à elle seule, que le déclarant a lui-même signé quoi que ce soit, sauf s’il est aussi l’émetteur. La déclaration reste la parole du déclarant, rapportée et signée par l’émetteur.
Ce que prouve la signature
Le certificat est un PDF d’archivage (PDF/A-2b) qui embarque un manifeste signé en Ed25519, un algorithme de signature public décrit par la RFC 8032. Le manifeste contient les valeurs du certificat ; la signature est calculée sur ses octets exacts avec la clé privée de l’émetteur, rangée dans le trousseau de macOS.
La signature prouve deux choses, et deux seulement :
- l’intégrité : le contenu signé n’a pas été modifié depuis la signature. Une dimension, un nom, une date changés d’un caractère, et la vérification échoue ;
- l’origine : il a été signé par la clé privée qui correspond à telle clé publique.
Pour relier cette clé à un émetteur réel, il faut une information de plus : l’adresse de la clé publique. Chaque émetteur publie son fichier de clés à une adresse HTTPS qu’il contrôle, et cette adresse est elle-même signée dans le certificat ; elle ne peut pas être corrigée après émission. Si la clé publiée sur le site d’une galerie connue est celle qui a signé le certificat, on sait que le certificat vient de qui contrôle ce site. Ce n’est pas une preuve d’identité au sens juridique ; c’est un lien vérifiable entre un document et une adresse.
Ce que vaut la date
Un certificat porte une date d’émission. Mais cette date est écrite par l’émetteur : elle est protégée contre la modification, puisqu’elle est signée, sans être attestée par un tiers.
Pour la faire attester, il existe l’horodatage RFC 3161 : une autorité d’horodatage délivre un jeton qui atteste que la signature existait à un moment donné. Dans Obscura Catalog, c’est facultatif et se règle dans les réglages des certificats (Autorité d’horodatage RFC 3161, une adresse https://). Sans autorité, aucun appel réseau n’est fait et le certificat indique que sa date est déclarative. Avec une autorité, chaque certificat reçoit un jeton (badge Horodaté au registre) ; si l’autorité ne répond pas, rien n’est émis, plutôt qu’un certificat plus faible sans le dire.
Vérifier, sans croire l’émetteur sur parole
Un certificat qu’on ne peut vérifier qu’en demandant à son émetteur ne vaut pas grand-chose. Celui d’Obscura Catalog se vérifie de deux façons, et la vérification est libre, sans licence.
En ligne. Le certificat imprime une adresse de la forme catalog.obscuraflow.app/c/<numéro>/<version>, et son QR code. Elle ouvre la page de vérification, où l’on dépose le PDF. La vérification se fait dans le navigateur : le fichier n’est envoyé nulle part. La page contrôle l’empreinte du contenu signé, la signature et le numéro, puis cherche la clé publique à l’adresse signée dans le certificat ; c’est sa seule requête. Elle rend l’un de cinq verdicts : valide, signature invalide, certificat illisible, clé inconnue, version non prise en charge.
Elle dit aussi ce qu’elle ne sait pas. Elle ne connaît pas le registre de l’émetteur : elle ne peut pas dire si un certificat a été remplacé ou révoqué. Un jeton d’horodatage est signalé, pas validé. Et « valide » veut dire « signé par la clé que publie cette adresse », pas « l’œuvre est authentique ».
Hors ligne, dans l’application. Vérifier un PDF fonctionne sans réseau. Le verdict porte sur la signature, sur la concordance de la page imprimée avec le manifeste signé, sur le registre (valide, remplacé, révoqué avec date et motif, ou statut inconnu pour un certificat émis ailleurs) et sur l’horodatage.
Un certificat lié à son image de référence
Le certificat d’une œuvre est lié à son fichier source par l’empreinte SHA-256 de ce fichier. Si le fichier change, même sans que l’image change, l’empreinte ne correspond plus. Comme on l’a vu dans l’article précédent, écrire des métadonnées dans un fichier sans toucher à ses pixels suffit à changer son empreinte.
Depuis la version 0.10.0, Obscura Catalog protège ce lien : écrire dans un fichier certifié demande une confirmation et propose le sidecar XMP à la place ; l’image de référence d’une œuvre certifiée ne peut plus être retirée de la bibliothèque ; et une œuvre certifiée ne se supprime plus.
Quand l’attribution change
La connaissance d’une œuvre évolue. Un chercheur publie un argument, une autre attribution est proposée, l’attribution acceptée devient contestée, ou même rejetée. Que deviennent les certificats émis sur la foi de l’ancienne ?
Dans Obscura Catalog, ils ne sont jamais révoqués automatiquement, ni laissés en l’état sans que personne ne le sache. Dès qu’une attribution de photographe devient contestée ou rejetée, les certificats valides de l’œuvre et de ses tirages passent dans la vue À revoir (pour une attribution contestée, c’est l’une des corrections de la version 0.10.0). Le guide indique la décision d’usage : un certificat dont l’attribution est contestée reste vrai mais imprécis, on le réémet d’ordinaire ; un certificat dont l’attribution est rejetée n’a plus de fondement, on le révoque d’ordinaire. Décider… propose Réémettre, Révoquer ou Maintenir ; maintenir exige un motif.
Deux règles complètent le registre. Réémettre corrige une erreur matérielle : la nouvelle version garde le numéro, la précédente devient « Remplacé ». Révoquer se fait pour un motif public pris dans une liste fermée (émis par erreur, attribution rejetée, contrefaçon détectée, objet disparu, retrait juridique) et ne s’annule pas. Un numéro émis ne se réutilise jamais, et un objet n’a qu’un certificat valide à la fois.
Ce qu’un certificat n’atteste pas
Un certificat d’authenticité, même bien signé, a des limites, et les écrire est ce qui le rend crédible :
- il n’est pas une expertise. Le logiciel n’examine ni le papier, ni la signature au crayon, ni le procédé. Il met en forme et signe ce que le catalogue et les déclarants affirment. L’attribution vient de l’argument qui l’appuie, et l’expertise d’un tirage reste le travail d’un expert ;
- il ne prouve pas que l’objet en main est celui qu’il décrit. Le certificat décrit un tirage : dimensions, numéro, signature, inscriptions. C’est à celui qui le lit de comparer cette description à la feuille qu’il tient ;
- il décrit un état à une date. Une attribution peut être contestée plus tard, un certificat remplacé ou révoqué ; seul le registre de l’émetteur le sait, et la page en ligne ne le voit pas ;
- sa date est déclarative, sauf horodatage RFC 3161 demandé à une autorité tierce ;
- il n’est pas, à lui seul, une preuve juridique. La signature prouve l’origine et l’intégrité du document. Le poids qu’on lui accorde dans une vente, un litige ou une succession dépend du droit applicable, de la confiance faite à l’émetteur et des autres pièces du dossier.
Un certificat qui prétendrait tout prouver ne prouverait rien. Celui-ci prouve peu de choses, mais il les prouve.
Fin de la série
Ces quatre articles ont suivi un fil : une œuvre n’est pas un fichier, et son numéro ne se reprend pas ; un tirage est un objet, avec son édition, sa provenance et ses lacunes ; un catalogue doit pouvoir sortir de son logiciel sans rien perdre ; et un certificat atteste une déclaration, signée et vérifiable, pas davantage.
Pour aller plus loin : la page Le certificat d’authenticité, le chapitre Certificats d’authenticité du guide, les notes de version et le glossaire. Obscura Catalog se télécharge pour macOS ; émettre un certificat demande une licence, le vérifier est libre.
Article précédent : LIDO, CIDOC CRM, CSV : faire voyager un catalogue sans le perdre
Pour reprendre la série depuis le début : Qu’est-ce qu’un catalogue raisonné, et pourquoi un photographe en a-t-il besoin ?