@mostajs/pdf-sign 0.6.0 → 0.8.0

package/CHANGELOG.md

@@ -1,5 +1,50 @@
 # Changelog — @mostajs/pdf-sign
 
+## 0.8.0 — 12/10/2026
+
+**La signature SÉPARÉE (XAdES) : la vérifier, comme celle du Journal officiel de l'UE, et en produire.**
+
+Le Journal officiel publie des PDF qui ne portent aucune signature : elle est dans un fichier XML à côté, dont le
+manifeste nomme chaque document par son empreinte.
+
+### Ajouté
+- `verifyDetached({ xml, files? })` : vérifie une signature XML séparée (XAdES ou XMLDSig) — valeur de signature
+  (RSA, RSA-PSS, ECDSA), références, propriétés signées, certificat annoncé (`SigningCertificate(V2)`), heure
+  déclarée, jetons d'horodatage (sur la valeur de signature, et d'archive XAdES 1.4.1, empreinte recalculée),
+  données de longue durée, niveau (B-B, B-T, B-LT, B-LTA), et pour chaque fichier fourni s'il est couvert et sous
+  quel nom. Le certificat dit s'il SE DÉCLARE qualifié (QCStatements : `qualified`, `qscd`, `qcType`) ; les listes
+  de confiance de l'UE ne sont pas consultées.
+- `signDetached({ files, p12?, passphrase?, timestampUrl?… })` → `{ xml }` : UN XML XAdES qui scelle tous les
+  fichiers (manifeste, SHA-512), signé RSA ou EC ; horodaté RFC 3161 (XAdES-B-T) si un horodateur est donné, sans
+  repli. Mêmes règles que `signPdf` pour le certificat, la phrase et les identifiants de l'horodateur.
+- `detachedVerdict(r)` → `"altered" | "invalid" | "valid"` ; `detachedAvailable()`.
+- Lecture prudente : DOCTYPE et entités refusés, aucun accès réseau, deux éléments au même `Id` refusés
+  (emballage de signature), transformations limitées aux canonicalisations et à la signature enveloppée.
+- Essais T-XAD-1 à 6, dont la signature RÉELLE du règlement (UE) 2024/2847 (fixtures/ue) ; le XML produit est
+  aussi validé par un vérificateur indépendant (signxml), en RSA et en EC.
+
+### Corrigé (essais)
+- T-DET-3 échouait au hasard : l'octet altéré tombait parfois dans une chaîne hexadécimale, illisible pour pyhanko.
+  Il est pris désormais dans le commentaire binaire d'en-tête ; l'essai attend le verdict « altéré ».
+
+## 0.7.0 — 11/10/2026
+
+**Vérifier un PDF reçu en mémoire, pour une page publique de vérification.**
+
+### Ajouté
+- `verifyPdfBytes(octets, { openPassword?, trustPem? })` → le résultat de `verifyPdf` plus `file: { bytes, sha256 }`.
+  Le PDF n'existe sur disque que le temps de la vérification (dossier privé, fichier 0600, effacé quoi qu'il
+  arrive) ; un fichier sans en-tête `%PDF-` est refusé avant tout processus ; le moteur pyhanko est exigé.
+- `signatureVerdict(s)` → `"altered" | "valid" | "trusted" | "invalid"` : l'intégrité d'abord, la confiance ensuite ;
+  « présente » (détection Node) n'est jamais « vérifiée ».
+- `fullVerificationAvailable()` : pyhanko est-il là ?
+- Écrit d'abord par mdseal (page /verifier, 07/10/2026), demandé ensuite par qatrax.dev : la logique descend ici.
+  Essais T-OCT-1 à 4.
+
+### Corrigé
+- `node-forge` est déclaré en dépendance : `@signpdf/signer-p12` le demande comme dépendance « pair », qu'une
+  installation `--legacy-peer-deps` n'installe pas (relevé dans qatrax-cra le 12/10/2026 : « Cannot find module 'node-forge' »).
+
 ## 0.6.0 — 11/10/2026
 
 **`timestampPdf` : un horodatage de DOCUMENT ajouté à un PDF déjà signé, sans toucher à sa signature.**

package/README.md

@@ -108,10 +108,38 @@ await signPdf({
 await signPdf({ input: "note.pdf", p12: "cert.p12", passphrase: "•••", openPassword: "•••" });
 ```
 
+### Vérifier un PDF reçu (0.7.0)
+
+Pour une page publique où l'on dépose un PDF : `verifyPdfBytes(octets)` rend `{ file: { bytes, sha256 }, signed,
+signatures, dss }` sans laisser de fichier derrière ; `signatureVerdict(s)` dit `altered`, `valid`, `trusted` ou
+`invalid` ; `fullVerificationAvailable()` dit si pyhanko est là (sans lui, ne rien afficher comme vérifié).
+
 > ⚠ Un document verrouillé se vérifie avec sa clé : `verifyPdf({ input, openPassword })`. Sans
 > elle, ses signatures sont illisibles et la réponse serait « non signé » — sur un document
 > parfaitement signé.
 
+### Signature séparée — XAdES, comme au Journal officiel (0.8.0)
+
+Le Journal officiel de l'UE publie ses PDF **sans** signature : elle est dans un XML à côté, dont le manifeste nomme
+chaque document par son empreinte. On la vérifie, et l'on en produit de semblables pour un dossier de fichiers :
+
+```js
+import { verifyDetached, detachedVerdict, signDetached } from "@mostajs/pdf-sign";
+
+const r = verifyDetached({ xml, files: [{ name: "reglement.pdf", bytes: pdf }] });
+detachedVerdict(r);          // "valid" | "altered" | "invalid"
+r.documents[0].covered;      // ce PDF est-il l'un des documents signés ? (r.documents[0].coveredAs : sous quel nom)
+r.signerCertificate;         // sujet, émetteur, validité, qualified / qscd / qcType (ce que le certificat DÉCLARE)
+r.timestamps;                // jetons RFC 3161 : genTime, horodateur, imprintOk, intact, valid
+
+const { xml: sceau } = await signDetached({
+  files: [{ name: "certificat.pdf", bytes: a }, { name: "livrable.json", bytes: b }],
+  p12: "cachet.p12", passphrase: "•••", timestampUrl: "https://…",   // XAdES-B-T ; sans horodateur : B-B
+});
+```
+
+> ⚠ « qualifié » se lit dans le certificat (QCStatements) : les listes de confiance de l'UE ne sont pas consultées.
+
 ## Horodatage — et joindre un horodateur QUALIFIÉ *(0.4.0)*
 
 `timestampUrl` fait passer la signature de **PAdES-B** à **PAdES-T** : la date n'est plus déclarée

package/dist/detached.d.ts

@@ -0,0 +1,18 @@
+import type { DetachedSignOptions, DetachedSignResult, DetachedVerdict, DetachedVerifyOptions, DetachedVerifyResult } from "./types.js";
+/** Le moteur de la signature séparée est-il là ? (le Python de pyhanko, qui porte aussi lxml) */
+export declare function detachedAvailable(): boolean;
+/** Vérifie une signature XML séparée (XAdES ou XMLDSig) et dit, pour chaque fichier fourni, s'il est couvert. */
+export declare function verifyDetached(opts: DetachedVerifyOptions): DetachedVerifyResult;
+/**
+ * Produit UN XML XAdES qui scelle tous les fichiers donnés (manifeste, empreintes SHA-512), signé par le certificat
+ * PKCS#12 ; horodaté RFC 3161 (XAdES-B-T) si un horodateur est donné. Le certificat et la phrase de la configuration
+ * (`PDF_SIGN_P12`…) servent par défaut ; les identifiants d'horodateur ne partent que vers l'horodateur du `.env`.
+ */
+export declare function signDetached(opts: DetachedSignOptions): Promise<DetachedSignResult>;
+/**
+ * Le verdict de la signature, en un mot. « altered » : une partie SIGNÉE a changé (propriétés, manifeste, certificat
+ * annoncé) ; « invalid » : la valeur de signature ne correspond pas ; « valid » : tout concorde. La couverture des
+ * documents se lit à part, fichier par fichier (`documents[].covered`).
+ */
+export declare function detachedVerdict(r: Pick<DetachedVerifyResult, "signatureValid" | "references" | "signingCertificateOk">): DetachedVerdict;
+//# sourceMappingURL=detached.d.ts.map

package/dist/detached.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"detached.d.ts","sourceRoot":"","sources":["../src/detached.ts"],"names":[],"mappings":"AAkBA,OAAO,KAAK,EAAgB,mBAAmB,EAAE,kBAAkB,EAAE,eAAe,EAAE,qBAAqB,EAAE,oBAAoB,EAAE,MAAM,YAAY,CAAC;AAQtJ,iGAAiG;AACjG,wBAAgB,iBAAiB,IAAI,OAAO,CAK3C;AA2BD,iHAAiH;AACjH,wBAAgB,cAAc,CAAC,IAAI,EAAE,qBAAqB,GAAG,oBAAoB,CAehF;AAED;;;;GAIG;AACH,wBAAsB,YAAY,CAAC,IAAI,EAAE,mBAAmB,GAAG,OAAO,CAAC,kBAAkB,CAAC,CAkCzF;AAED;;;;GAIG;AACH,wBAAgB,eAAe,CAAC,CAAC,EAAE,IAAI,CAAC,oBAAoB,EAAE,gBAAgB,GAAG,YAAY,GAAG,sBAAsB,CAAC,GAAG,eAAe,CAKxI"}

package/dist/detached.js

@@ -0,0 +1,139 @@
+/**
+ * @mostajs/pdf-sign — LA SIGNATURE SÉPARÉE (0.8.0) : un XML XAdES à côté des documents, comme au Journal officiel.
+ *
+ * Le Journal officiel de l'UE publie des PDF sans signature ; la signature est un fichier XML dont le manifeste nomme
+ * chaque document par son empreinte. `verifyDetached` vérifie une telle signature ; `signDetached` en produit une
+ * qui scelle plusieurs fichiers d'un coup (le dossier d'un livrable : certificat PDF, JSON scellé, SBOM…).
+ *
+ * Moteur : python/xades.py (lxml, cryptography, pyhanko pour l'horodatage). Les octets reçus n'existent sur disque
+ * que le temps de l'appel, dans un dossier privé effacé ensuite ; la phrase du certificat et les identifiants de
+ * l'horodateur passent par fichier, jamais par `argv`. Aucun repli : un horodateur qui ne répond pas fait échouer.
+ *
+ * @author Dr Hamid MADANI <drmdh@msn.com>
+ * @license AGPL-3.0-or-later
+ */
+import { execFileSync } from "node:child_process";
+import { mkdtempSync, readFileSync, rmSync, writeFileSync } from "node:fs";
+import { tmpdir } from "node:os";
+import { join } from "node:path";
+import { detectEngines, PYTHON_DIR } from "./engines.js";
+import { loadPdfSignConfig } from "./config.js";
+import { controlerHorodatage, identifiantsHorodateur } from "./sign.js";
+const XADES_PY = join(PYTHON_DIR, "xades.py");
+const TAILLE_MAX_XML = 10 * 1024 * 1024;
+/** Le moteur de la signature séparée est-il là ? (le Python de pyhanko, qui porte aussi lxml) */
+export function detachedAvailable() {
+    const avail = detectEngines(loadPdfSignConfig().python);
+    if (!avail.pyhanko)
+        return false;
+    try {
+        execFileSync(avail.python, ["-c", "import lxml, cryptography, asn1crypto"], { stdio: "ignore" });
+        return true;
+    }
+    catch {
+        return false;
+    }
+}
+function python() {
+    const avail = detectEngines(loadPdfSignConfig().python);
+    if (!avail.pyhanko)
+        throw new Error("Signature séparée : moteur Python (pyhanko) indisponible — lancer python/setup-venv.sh (ou PDF_SIGN_PYTHON).");
+    return avail.python;
+}
+function lancer(py, mode, cfgPath) {
+    try {
+        return execFileSync(py, [XADES_PY, mode, cfgPath], { encoding: "utf-8", stdio: ["ignore", "pipe", "pipe"], maxBuffer: 64 * 1024 * 1024 });
+    }
+    catch (e) {
+        const trace = String(e?.stderr ?? "");
+        const net = trace.match(/ERREUR -- ([^\n]*)/);
+        if (!net && trace)
+            process.stderr.write(trace); // le journal garde la trace entière ; l'appelant, la cause
+        throw new Error(net ? net[1] : `Signature séparée : échec du moteur (${trace.trim().split("\n").pop() || String(e?.message ?? e)})`);
+    }
+}
+function deposer(dossier, files) {
+    return files.map((f, i) => {
+        const chemin = join(dossier, `f${i}`);
+        writeFileSync(chemin, Buffer.from(f.bytes), { mode: 0o600 });
+        return { name: String(f.name), path: chemin };
+    });
+}
+/** Vérifie une signature XML séparée (XAdES ou XMLDSig) et dit, pour chaque fichier fourni, s'il est couvert. */
+export function verifyDetached(opts) {
+    const xml = Buffer.from(opts.xml);
+    if (xml.length > TAILLE_MAX_XML)
+        throw new Error("fichier XML trop volumineux (10 Mo au plus)");
+    const py = python();
+    const dossier = mkdtempSync(join(tmpdir(), "pdf-sign-xades-"));
+    try {
+        const xmlPath = join(dossier, "signature.xml");
+        writeFileSync(xmlPath, xml, { mode: 0o600 });
+        const cfg = join(dossier, "config.json");
+        writeFileSync(cfg, JSON.stringify({ xml: xmlPath, files: deposer(dossier, opts.files ?? []) }), { mode: 0o600 });
+        const out = lancer(py, "verify", cfg);
+        return JSON.parse(out.trim().split("\n").pop() ?? "{}");
+    }
+    finally {
+        rmSync(dossier, { recursive: true, force: true });
+    }
+}
+/**
+ * Produit UN XML XAdES qui scelle tous les fichiers donnés (manifeste, empreintes SHA-512), signé par le certificat
+ * PKCS#12 ; horodaté RFC 3161 (XAdES-B-T) si un horodateur est donné. Le certificat et la phrase de la configuration
+ * (`PDF_SIGN_P12`…) servent par défaut ; les identifiants d'horodateur ne partent que vers l'horodateur du `.env`.
+ */
+export async function signDetached(opts) {
+    if (!opts.files?.length)
+        throw new Error("Signature séparée : aucun fichier à signer.");
+    const noms = opts.files.map((f) => f.name);
+    if (new Set(noms).size !== noms.length)
+        throw new Error("Signature séparée : deux fichiers portent le même nom (nom en double).");
+    const cfg = loadPdfSignConfig();
+    const p12Propre = opts.p12 != null && opts.p12 !== cfg.p12;
+    const p12 = opts.p12 ?? cfg.p12;
+    if (!p12)
+        throw new Error("Certificat PKCS#12 manquant (opts.p12 ou PDF_SIGN_P12).");
+    const horodateur = { timestampUrl: opts.timestampUrl, ...identifiantsHorodateur(opts, cfg) };
+    controlerHorodatage(horodateur);
+    const py = python();
+    const dossier = mkdtempSync(join(tmpdir(), "pdf-sign-xades-"));
+    try {
+        const p12Path = typeof p12 === "string" ? p12 : join(dossier, "cert.p12");
+        if (typeof p12 !== "string")
+            writeFileSync(p12Path, Buffer.from(p12), { mode: 0o600 });
+        let passFile = p12Propre ? opts.passphraseFile : (opts.passphraseFile ?? cfg.passphraseFile);
+        if (!passFile) {
+            passFile = join(dossier, ".pass");
+            writeFileSync(passFile, (p12Propre ? opts.passphrase : (opts.passphrase ?? cfg.passphrase)) ?? "", { mode: 0o600 });
+        }
+        const output = join(dossier, "signature.xml");
+        const conf = join(dossier, "config.json");
+        writeFileSync(conf, JSON.stringify({
+            files: deposer(dossier, opts.files), p12: p12Path, passFile, output,
+            timestamp_url: horodateur.timestampUrl || undefined,
+            timestamp_headers: horodateur.timestampHeaders,
+            timestamp_auth: horodateur.timestampAuth,
+            timestamp_timeout: horodateur.timestampTimeout,
+        }), { mode: 0o600 });
+        lancer(py, "sign", conf);
+        return { xml: readFileSync(output), engine: "pyhanko" };
+    }
+    finally {
+        rmSync(dossier, { recursive: true, force: true });
+    }
+}
+/**
+ * Le verdict de la signature, en un mot. « altered » : une partie SIGNÉE a changé (propriétés, manifeste, certificat
+ * annoncé) ; « invalid » : la valeur de signature ne correspond pas ; « valid » : tout concorde. La couverture des
+ * documents se lit à part, fichier par fichier (`documents[].covered`).
+ */
+export function detachedVerdict(r) {
+    const internes = r.references.filter((x) => x.type !== "document");
+    if (internes.some((x) => x.ok === false) || r.signingCertificateOk === false)
+        return "altered";
+    if (r.signatureValid !== true)
+        return "invalid";
+    return "valid";
+}
+//# sourceMappingURL=detached.js.map

package/dist/detached.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"detached.js","sourceRoot":"","sources":["../src/detached.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;GAaG;AACH,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,SAAS,CAAC;AAC3E,OAAO,EAAE,MAAM,EAAE,MAAM,SAAS,CAAC;AACjC,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AAEjC,OAAO,EAAE,aAAa,EAAE,UAAU,EAAE,MAAM,cAAc,CAAC;AACzD,OAAO,EAAE,iBAAiB,EAAE,MAAM,aAAa,CAAC;AAChD,OAAO,EAAE,mBAAmB,EAAE,sBAAsB,EAAE,MAAM,WAAW,CAAC;AAExE,MAAM,QAAQ,GAAG,IAAI,CAAC,UAAU,EAAE,UAAU,CAAC,CAAC;AAC9C,MAAM,cAAc,GAAG,EAAE,GAAG,IAAI,GAAG,IAAI,CAAC;AAExC,iGAAiG;AACjG,MAAM,UAAU,iBAAiB;IAC/B,MAAM,KAAK,GAAG,aAAa,CAAC,iBAAiB,EAAE,CAAC,MAAM,CAAC,CAAC;IACxD,IAAI,CAAC,KAAK,CAAC,OAAO;QAAE,OAAO,KAAK,CAAC;IACjC,IAAI,CAAC;QAAC,YAAY,CAAC,KAAK,CAAC,MAAgB,EAAE,CAAC,IAAI,EAAE,uCAAuC,CAAC,EAAE,EAAE,KAAK,EAAE,QAAQ,EAAE,CAAC,CAAC;QAAC,OAAO,IAAI,CAAC;IAAC,CAAC;IAChI,MAAM,CAAC;QAAC,OAAO,KAAK,CAAC;IAAC,CAAC;AACzB,CAAC;AAED,SAAS,MAAM;IACb,MAAM,KAAK,GAAG,aAAa,CAAC,iBAAiB,EAAE,CAAC,MAAM,CAAC,CAAC;IACxD,IAAI,CAAC,KAAK,CAAC,OAAO;QAAE,MAAM,IAAI,KAAK,CAAC,8GAA8G,CAAC,CAAC;IACpJ,OAAO,KAAK,CAAC,MAAgB,CAAC;AAChC,CAAC;AAED,SAAS,MAAM,CAAC,EAAU,EAAE,IAAuB,EAAE,OAAe;IAClE,IAAI,CAAC;QACH,OAAO,YAAY,CAAC,EAAE,EAAE,CAAC,QAAQ,EAAE,IAAI,EAAE,OAAO,CAAC,EAAE,EAAE,QAAQ,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC,QAAQ,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,SAAS,EAAE,EAAE,GAAG,IAAI,GAAG,IAAI,EAAE,CAAC,CAAC;IAC5I,CAAC;IAAC,OAAO,CAAM,EAAE,CAAC;QAChB,MAAM,KAAK,GAAG,MAAM,CAAC,CAAC,EAAE,MAAM,IAAI,EAAE,CAAC,CAAC;QACtC,MAAM,GAAG,GAAG,KAAK,CAAC,KAAK,CAAC,oBAAoB,CAAC,CAAC;QAC9C,IAAI,CAAC,GAAG,IAAI,KAAK;YAAE,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC,CAAK,2DAA2D;QAC/G,MAAM,IAAI,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,wCAAwC,KAAK,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,GAAG,EAAE,IAAI,MAAM,CAAC,CAAC,EAAE,OAAO,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC;IACvI,CAAC;AACH,CAAC;AAED,SAAS,OAAO,CAAC,OAAe,EAAE,KAAqB;IACrD,OAAO,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE;QACxB,MAAM,MAAM,GAAG,IAAI,CAAC,OAAO,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC;QACtC,aAAa,CAAC,MAAM,EAAE,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,KAAK,CAAC,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC;QAC7D,OAAO,EAAE,IAAI,EAAE,MAAM,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC;IAChD,CAAC,CAAC,CAAC;AACL,CAAC;AAED,iHAAiH;AACjH,MAAM,UAAU,cAAc,CAAC,IAA2B;IACxD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;IAClC,IAAI,GAAG,CAAC,MAAM,GAAG,cAAc;QAAE,MAAM,IAAI,KAAK,CAAC,6CAA6C,CAAC,CAAC;IAChG,MAAM,EAAE,GAAG,MAAM,EAAE,CAAC;IACpB,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,MAAM,EAAE,EAAE,iBAAiB,CAAC,CAAC,CAAC;IAC/D,IAAI,CAAC;QACH,MAAM,OAAO,GAAG,IAAI,CAAC,OAAO,EAAE,eAAe,CAAC,CAAC;QAC/C,aAAa,CAAC,OAAO,EAAE,GAAG,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC;QAC7C,MAAM,GAAG,GAAG,IAAI,CAAC,OAAO,EAAE,aAAa,CAAC,CAAC;QACzC,aAAa,CAAC,GAAG,EAAE,IAAI,CAAC,SAAS,CAAC,EAAE,GAAG,EAAE,OAAO,EAAE,KAAK,EAAE,OAAO,CAAC,OAAO,EAAE,IAAI,CAAC,KAAK,IAAI,EAAE,CAAC,EAAE,CAAC,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC;QACjH,MAAM,GAAG,GAAG,MAAM,CAAC,EAAE,EAAE,QAAQ,EAAE,GAAG,CAAC,CAAC;QACtC,OAAO,IAAI,CAAC,KAAK,CAAC,GAAG,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,GAAG,EAAE,IAAI,IAAI,CAAyB,CAAC;IAClF,CAAC;YAAS,CAAC;QACT,MAAM,CAAC,OAAO,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;IACpD,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,IAAyB;IAC1D,IAAI,CAAC,IAAI,CAAC,KAAK,EAAE,MAAM;QAAE,MAAM,IAAI,KAAK,CAAC,6CAA6C,CAAC,CAAC;IACxF,MAAM,IAAI,GAAG,IAAI,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;IAC3C,IAAI,IAAI,GAAG,CAAC,IAAI,CAAC,CAAC,IAAI,KAAK,IAAI,CAAC,MAAM;QAAE,MAAM,IAAI,KAAK,CAAC,wEAAwE,CAAC,CAAC;IAClI,MAAM,GAAG,GAAG,iBAAiB,EAAE,CAAC;IAChC,MAAM,SAAS,GAAG,IAAI,CAAC,GAAG,IAAI,IAAI,IAAI,IAAI,CAAC,GAAG,KAAK,GAAG,CAAC,GAAG,CAAC;IAC3D,MAAM,GAAG,GAAG,IAAI,CAAC,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC;IAChC,IAAI,CAAC,GAAG;QAAE,MAAM,IAAI,KAAK,CAAC,yDAAyD,CAAC,CAAC;IACrF,MAAM,UAAU,GAAG,EAAE,YAAY,EAAE,IAAI,CAAC,YAAY,EAAE,GAAG,sBAAsB,CAAC,IAAI,EAAE,GAAG,CAAC,EAAE,CAAC;IAC7F,mBAAmB,CAAC,UAAU,CAAC,CAAC;IAChC,MAAM,EAAE,GAAG,MAAM,EAAE,CAAC;IACpB,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,MAAM,EAAE,EAAE,iBAAiB,CAAC,CAAC,CAAC;IAC/D,IAAI,CAAC;QACH,MAAM,OAAO,GAAG,OAAO,GAAG,KAAK,QAAQ,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,OAAO,EAAE,UAAU,CAAC,CAAC;QAC1E,IAAI,OAAO,GAAG,KAAK,QAAQ;YAAE,aAAa,CAAC,OAAO,EAAE,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC;QACvF,IAAI,QAAQ,GAAG,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,cAAc,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,cAAc,IAAI,GAAG,CAAC,cAAc,CAAC,CAAC;QAC7F,IAAI,CAAC,QAAQ,EAAE,CAAC;YACd,QAAQ,GAAG,IAAI,CAAC,OAAO,EAAE,OAAO,CAAC,CAAC;YAClC,aAAa,CAAC,QAAQ,EAAE,CAAC,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,UAAU,IAAI,GAAG,CAAC,UAAU,CAAC,CAAC,IAAI,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC;QACtH,CAAC;QACD,MAAM,MAAM,GAAG,IAAI,CAAC,OAAO,EAAE,eAAe,CAAC,CAAC;QAC9C,MAAM,IAAI,GAAG,IAAI,CAAC,OAAO,EAAE,aAAa,CAAC,CAAC;QAC1C,aAAa,CAAC,IAAI,EAAE,IAAI,CAAC,SAAS,CAAC;YACjC,KAAK,EAAE,OAAO,CAAC,OAAO,EAAE,IAAI,CAAC,KAAK,CAAC,EAAE,GAAG,EAAE,OAAO,EAAE,QAAQ,EAAE,MAAM;YACnE,aAAa,EAAE,UAAU,CAAC,YAAY,IAAI,SAAS;YACnD,iBAAiB,EAAE,UAAU,CAAC,gBAAgB;YAC9C,cAAc,EAAE,UAAU,CAAC,aAAa;YACxC,iBAAiB,EAAE,UAAU,CAAC,gBAAgB;SAC/C,CAAC,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC;QACrB,MAAM,CAAC,EAAE,EAAE,MAAM,EAAE,IAAI,CAAC,CAAC;QACzB,OAAO,EAAE,GAAG,EAAE,YAAY,CAAC,MAAM,CAAC,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;IAC1D,CAAC;YAAS,CAAC;QACT,MAAM,CAAC,OAAO,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;IACpD,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,eAAe,CAAC,CAAuF;IACrH,MAAM,QAAQ,GAAG,CAAC,CAAC,UAAU,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,KAAK,UAAU,CAAC,CAAC;IACnE,IAAI,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,KAAK,KAAK,CAAC,IAAI,CAAC,CAAC,oBAAoB,KAAK,KAAK;QAAE,OAAO,SAAS,CAAC;IAC/F,IAAI,CAAC,CAAC,cAAc,KAAK,IAAI;QAAE,OAAO,SAAS,CAAC;IAChD,OAAO,OAAO,CAAC;AACjB,CAAC"}

package/dist/index.d.ts

@@ -9,8 +9,9 @@
  */
 export { signPdf } from "./sign.js";
 export { timestampPdf } from "./timestamp.js";
-export { verifyPdf } from "./verify.js";
+export { verifyPdf, verifyPdfBytes, signatureVerdict, fullVerificationAvailable } from "./verify.js";
+export { signDetached, verifyDetached, detachedVerdict, detachedAvailable } from "./detached.js";
 export { detectEngines, resolvePython, pyhankoAvailable } from "./engines.js";
 export { loadPdfSignConfig, type PdfSignConfig } from "./config.js";
-export type { SignOptions, SignResult, SignMeta, SignField, SignPermissions, SignEngine, VerifyOptions, VerifyResult, SignatureInfo, EngineAvailability, TimestampOptions, HorodateurOptions, } from "./types.js";
+export type { SignOptions, SignResult, SignMeta, SignField, SignPermissions, SignEngine, VerifyOptions, VerifyResult, VerifyBytesResult, SignatureVerdict, SignatureInfo, EngineAvailability, TimestampOptions, HorodateurOptions, DetachedFile, DetachedSignOptions, DetachedSignResult, DetachedVerifyOptions, DetachedVerifyResult, DetachedVerdict, DetachedCertificateInfo, DetachedTimestampInfo, } from "./types.js";
 //# sourceMappingURL=index.d.ts.map

package/dist/index.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACpC,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC;AAC9C,OAAO,EAAE,SAAS,EAAE,MAAM,aAAa,CAAC;AACxC,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,gBAAgB,EAAE,MAAM,cAAc,CAAC;AAC9E,OAAO,EAAE,iBAAiB,EAAE,KAAK,aAAa,EAAE,MAAM,aAAa,CAAC;AACpE,YAAY,EACV,WAAW,EAAE,UAAU,EAAE,QAAQ,EAAE,SAAS,EAAE,eAAe,EAAE,UAAU,EACzE,aAAa,EAAE,YAAY,EAAE,aAAa,EAAE,kBAAkB,EAAE,gBAAgB,EAAE,iBAAiB,GACpG,MAAM,YAAY,CAAC"}
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACpC,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC;AAC9C,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,gBAAgB,EAAE,yBAAyB,EAAE,MAAM,aAAa,CAAC;AACrG,OAAO,EAAE,YAAY,EAAE,cAAc,EAAE,eAAe,EAAE,iBAAiB,EAAE,MAAM,eAAe,CAAC;AACjG,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,gBAAgB,EAAE,MAAM,cAAc,CAAC;AAC9E,OAAO,EAAE,iBAAiB,EAAE,KAAK,aAAa,EAAE,MAAM,aAAa,CAAC;AACpE,YAAY,EACV,WAAW,EAAE,UAAU,EAAE,QAAQ,EAAE,SAAS,EAAE,eAAe,EAAE,UAAU,EACzE,aAAa,EAAE,YAAY,EAAE,iBAAiB,EAAE,gBAAgB,EAAE,aAAa,EAAE,kBAAkB,EAAE,gBAAgB,EAAE,iBAAiB,EACxI,YAAY,EAAE,mBAAmB,EAAE,kBAAkB,EAAE,qBAAqB,EAAE,oBAAoB,EAAE,eAAe,EACnH,uBAAuB,EAAE,qBAAqB,GAC/C,MAAM,YAAY,CAAC"}

package/dist/index.js

@@ -9,7 +9,8 @@
  */
 export { signPdf } from "./sign.js";
 export { timestampPdf } from "./timestamp.js";
-export { verifyPdf } from "./verify.js";
+export { verifyPdf, verifyPdfBytes, signatureVerdict, fullVerificationAvailable } from "./verify.js";
+export { signDetached, verifyDetached, detachedVerdict, detachedAvailable } from "./detached.js";
 export { detectEngines, resolvePython, pyhankoAvailable } from "./engines.js";
 export { loadPdfSignConfig } from "./config.js";
 //# sourceMappingURL=index.js.map

package/dist/index.js.map

@@ -1 +1 @@
-{"version":3,"file":"index.js","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACpC,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC;AAC9C,OAAO,EAAE,SAAS,EAAE,MAAM,aAAa,CAAC;AACxC,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,gBAAgB,EAAE,MAAM,cAAc,CAAC;AAC9E,OAAO,EAAE,iBAAiB,EAAsB,MAAM,aAAa,CAAC"}
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACpC,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC;AAC9C,OAAO,EAAE,SAAS,EAAE,cAAc,EAAE,gBAAgB,EAAE,yBAAyB,EAAE,MAAM,aAAa,CAAC;AACrG,OAAO,EAAE,YAAY,EAAE,cAAc,EAAE,eAAe,EAAE,iBAAiB,EAAE,MAAM,eAAe,CAAC;AACjG,OAAO,EAAE,aAAa,EAAE,aAAa,EAAE,gBAAgB,EAAE,MAAM,cAAc,CAAC;AAC9E,OAAO,EAAE,iBAAiB,EAAsB,MAAM,aAAa,CAAC"}

package/dist/types.d.ts

@@ -178,9 +178,98 @@ export interface VerifyResult {
     /** Données de validation à long terme (DSS) présentes dans le document (0.5.0). */
     dss?: boolean;
 }
+/** 0.7.0 — `signatureVerdict` : altérée, valide (sans chaîne de confiance), de confiance, ou invalide. */
+export type SignatureVerdict = "altered" | "valid" | "trusted" | "invalid";
+/** 0.7.0 — `verifyPdfBytes` : le résultat de `verifyPdf`, plus la taille et l'empreinte du fichier reçu. */
+export interface VerifyBytesResult extends VerifyResult {
+    file: {
+        bytes: number;
+        sha256: string;
+    };
+}
 export interface EngineAvailability {
     node: boolean;
     pyhanko: boolean;
     python?: string;
 }
+/** Un fichier fourni à la signature séparée, ou à sa vérification. */
+export interface DetachedFile {
+    name: string;
+    bytes: Uint8Array;
+}
+export interface DetachedSignOptions extends HorodateurOptions {
+    /** Les fichiers que le XML scellera, chacun nommé dans le manifeste (noms distincts). */
+    files: DetachedFile[];
+    /** PKCS#12 (chemin ou octets) ; défaut : PDF_SIGN_P12. */
+    p12?: string | Uint8Array;
+    passphrase?: string;
+    passphraseFile?: string;
+}
+export interface DetachedSignResult {
+    /** Le XML XAdES (XAdES-B-B, ou B-T avec un horodateur). */
+    xml: Buffer;
+    engine: "pyhanko";
+}
+export interface DetachedVerifyOptions {
+    /** Le XML de la signature. */
+    xml: Uint8Array;
+    /** Les documents à confronter au manifeste (optionnels : la signature se vérifie sans eux). */
+    files?: DetachedFile[];
+}
+/** Ce que dit un certificat de signataire XAdES — `qualified` : il SE DÉCLARE qualifié (QCStatements). */
+export interface DetachedCertificateInfo extends CertificateInfo {
+    qualified: boolean;
+    /** Clé sur dispositif qualifié (QcSSCD). */
+    qscd: boolean;
+    /** « esign » (personne), « eseal » (cachet d'organisation), « web ». */
+    qcType: string[];
+}
+export interface DetachedTimestampInfo extends TimestampInfo {
+    /** « signature » (sur la valeur de signature), « archive » (longue durée), « other ». */
+    kind: "signature" | "archive" | "other";
+    /** Le jeton porte-t-il bien sur ce qu'il prétend couvrir ? null : non recalculé. */
+    imprintOk: boolean | null;
+}
+export interface DetachedVerifyResult {
+    format: "xades" | "xmldsig";
+    /** XAdES-B-B, B-T, B-LT, B-LTA, ou XMLDSig. */
+    level: string;
+    /** Nombre de ds:Signature dans le fichier (la première est vérifiée). */
+    signatures: number;
+    signatureValid: boolean;
+    signatureAlgorithm: string | null;
+    canonicalization: string | null;
+    references: {
+        uri: string | null;
+        type: "manifest" | "signedProperties" | "document" | "other";
+        ok: boolean | null;
+    }[];
+    signedPropertiesOk: boolean | null;
+    /** Le certificat qui a signé est-il celui que la signature annonce (SigningCertificate) ? */
+    signingCertificateOk: boolean | null;
+    signerCertificate: DetachedCertificateInfo | null;
+    /** L'heure DÉCLARÉE (xades:SigningTime) — à opposer à celle des jetons. */
+    signingTime: string | null;
+    timestamps: DetachedTimestampInfo[];
+    manifest: {
+        uri: string;
+        digestAlgorithm: string;
+        matchedFile: string | null;
+    }[];
+    documents: {
+        name: string;
+        bytes: number;
+        sha256: string;
+        covered: boolean;
+        coveredAs: string | null;
+    }[];
+    /** Données de validation à long terme embarquées. */
+    longTerm: {
+        certificates: number;
+        ocsp: number;
+        crl: number;
+    };
+}
+/** « altered » : une partie signée a changé ; « invalid » : la signature ne correspond pas ; « valid ». */
+export type DetachedVerdict = "altered" | "invalid" | "valid";
 //# sourceMappingURL=types.d.ts.map

package/dist/types.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../src/types.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAEH,6DAA6D;AAC7D,MAAM,WAAW,QAAQ;IACvB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,OAAO,CAAC,EAAE,MAAM,CAAC;CAClB;AAED,yFAAyF;AACzF,MAAM,WAAW,SAAS;IACxB,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,0CAA0C;IAC1C,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,iDAAiD;IACjD,GAAG,CAAC,EAAE,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC,CAAC;IACvC,gGAAgG;IAChG,UAAU,CAAC,EAAE,MAAM,CAAC;CACrB;AAED,kFAAkF;AAClF,MAAM,WAAW,eAAe;IAC9B,OAAO,CAAC,EAAE,OAAO,CAAC;IAClB,gBAAgB,CAAC,EAAE,OAAO,CAAC;IAC3B,cAAc,CAAC,EAAE,OAAO,CAAC;IACzB;;;;;;;OAOG;IACH,UAAU,CAAC,EAAE,OAAO,CAAC;IACrB,WAAW,CAAC,EAAE,OAAO,CAAC;IACtB,WAAW,CAAC,EAAE,OAAO,CAAC;IACtB,YAAY,CAAC,EAAE,OAAO,CAAC;IACvB,aAAa,CAAC,EAAE,OAAO,CAAC;CACzB;AAED,MAAM,MAAM,UAAU,GAAG,MAAM,GAAG,MAAM,GAAG,SAAS,CAAC;AAErD,MAAM,WAAW,WAAW;IAC1B,qCAAqC;IACrC,KAAK,EAAE,MAAM,GAAG,UAAU,CAAC;IAC3B,qEAAqE;IACrE,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,6CAA6C;IAC7C,GAAG,EAAE,MAAM,GAAG,UAAU,CAAC;IACzB,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,cAAc,CAAC,EAAE,MAAM,CAAC;IACxB,IAAI,CAAC,EAAE,QAAQ,CAAC;IAChB,KAAK,CAAC,EAAE,SAAS,CAAC;IAClB,qGAAqG;IACrG,WAAW,CAAC,EAAE,eAAe,GAAG,KAAK,CAAC;IAEtC;;;;;;;;OAQG;IACH,YAAY,CAAC,EAAE,MAAM,CAAC;IACtB;;;;;;;;;;OAUG;IACH,gBAAgB,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAC;IAC1C,6GAA6G;IAC7G,aAAa,CAAC,EAAE;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAA;KAAE,CAAC;IACnD,0GAA0G;IAC1G,gBAAgB,CAAC,EAAE,MAAM,CAAC;IAC1B;;;;;;OAMG;IACH,YAAY,CAAC,EAAE,MAAM,CAAC;IACtB,2FAA2F;IAC3F,MAAM,CAAC,EAAE,UAAU,CAAC;CACrB;AAED,uHAAuH;AACvH,MAAM,MAAM,iBAAiB,GAAG,IAAI,CAAC,WAAW,EAAE,cAAc,GAAG,kBAAkB,GAAG,eAAe,GAAG,kBAAkB,CAAC,CAAC;AAE9H;;;GAGG;AACH,MAAM,WAAW,gBAAiB,SAAQ,iBAAiB;IACzD,qCAAqC;IACrC,KAAK,EAAE,MAAM,GAAG,UAAU,CAAC;IAC3B,wEAAwE;IACxE,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,8FAA8F;IAC9F,YAAY,EAAE,MAAM,CAAC;IACrB,4DAA4D;IAC5D,YAAY,CAAC,EAAE,MAAM,CAAC;CACvB;AAED,MAAM,WAAW,UAAU;IACzB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,KAAK,CAAC,EAAE,UAAU,CAAC;IACnB,MAAM,EAAE,MAAM,GAAG,SAAS,CAAC;CAC5B;AAED,MAAM,WAAW,aAAa;IAC5B,KAAK,EAAE,MAAM,CAAC;IACd,uGAAuG;IACvG,YAAY,CAAC,EAAE,MAAM,CAAC;IACtB,gEAAgE;IAChE,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,MAAM,CAAC,EAAE,UAAU,CAAC;CACrB;AAED,+EAA+E;AAC/E,MAAM,WAAW,eAAe;IAC9B,OAAO,EAAE,MAAM,CAAC;IAChB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,oEAAoE;IACpE,UAAU,CAAC,EAAE,OAAO,CAAC;CACtB;AAED,mGAAmG;AACnG,MAAM,WAAW,aAAa;IAC5B,uFAAuF;IACvF,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,qEAAqE;IACrE,MAAM,EAAE,MAAM,CAAC;IACf,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,aAAa,CAAC,EAAE,MAAM,CAAC;IACvB,GAAG,EAAE,eAAe,GAAG,IAAI,CAAC;IAC5B,sDAAsD;IACtD,KAAK,EAAE,MAAM,EAAE,CAAC;IAChB,MAAM,EAAE,OAAO,GAAG,IAAI,CAAC;IACvB,KAAK,EAAE,OAAO,GAAG,IAAI,CAAC;IACtB,OAAO,EAAE,OAAO,GAAG,IAAI,CAAC;CACzB;AAED,MAAM,WAAW,aAAa;IAC5B,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,MAAM,CAAC,EAAE,OAAO,CAAC;IACjB,KAAK,CAAC,EAAE,OAAO,CAAC;IAChB,OAAO,CAAC,EAAE,OAAO,CAAC;IAClB,MAAM,CAAC,EAAE,MAAM,CAAC;IAEhB,IAAI,CAAC,EAAE,WAAW,GAAG,qBAAqB,CAAC;IAC3C,0GAA0G;IAC1G,IAAI,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACrB,MAAM,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,kFAAkF;IAClF,kBAAkB,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACnC,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,eAAe,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAChC,iBAAiB,CAAC,EAAE,eAAe,GAAG,IAAI,CAAC;IAC3C,SAAS,CAAC,EAAE,aAAa,GAAG,IAAI,CAAC;IACjC,gGAAgG;IAChG,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,sGAAsG;IACtG,KAAK,CAAC,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,YAAY;IAC3B,MAAM,EAAE,OAAO,CAAC;IAChB,UAAU,EAAE,aAAa,EAAE,CAAC;IAC5B,MAAM,EAAE,SAAS,GAAG,MAAM,CAAC;IAC3B,mFAAmF;IACnF,GAAG,CAAC,EAAE,OAAO,CAAC;CACf;AAED,MAAM,WAAW,kBAAkB;IACjC,IAAI,EAAE,OAAO,CAAC;IACd,OAAO,EAAE,OAAO,CAAC;IACjB,MAAM,CAAC,EAAE,MAAM,CAAC;CACjB"}
+{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../src/types.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAEH,6DAA6D;AAC7D,MAAM,WAAW,QAAQ;IACvB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,OAAO,CAAC,EAAE,MAAM,CAAC;CAClB;AAED,yFAAyF;AACzF,MAAM,WAAW,SAAS;IACxB,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,0CAA0C;IAC1C,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,iDAAiD;IACjD,GAAG,CAAC,EAAE,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC,CAAC;IACvC,gGAAgG;IAChG,UAAU,CAAC,EAAE,MAAM,CAAC;CACrB;AAED,kFAAkF;AAClF,MAAM,WAAW,eAAe;IAC9B,OAAO,CAAC,EAAE,OAAO,CAAC;IAClB,gBAAgB,CAAC,EAAE,OAAO,CAAC;IAC3B,cAAc,CAAC,EAAE,OAAO,CAAC;IACzB;;;;;;;OAOG;IACH,UAAU,CAAC,EAAE,OAAO,CAAC;IACrB,WAAW,CAAC,EAAE,OAAO,CAAC;IACtB,WAAW,CAAC,EAAE,OAAO,CAAC;IACtB,YAAY,CAAC,EAAE,OAAO,CAAC;IACvB,aAAa,CAAC,EAAE,OAAO,CAAC;CACzB;AAED,MAAM,MAAM,UAAU,GAAG,MAAM,GAAG,MAAM,GAAG,SAAS,CAAC;AAErD,MAAM,WAAW,WAAW;IAC1B,qCAAqC;IACrC,KAAK,EAAE,MAAM,GAAG,UAAU,CAAC;IAC3B,qEAAqE;IACrE,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,6CAA6C;IAC7C,GAAG,EAAE,MAAM,GAAG,UAAU,CAAC;IACzB,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,cAAc,CAAC,EAAE,MAAM,CAAC;IACxB,IAAI,CAAC,EAAE,QAAQ,CAAC;IAChB,KAAK,CAAC,EAAE,SAAS,CAAC;IAClB,qGAAqG;IACrG,WAAW,CAAC,EAAE,eAAe,GAAG,KAAK,CAAC;IAEtC;;;;;;;;OAQG;IACH,YAAY,CAAC,EAAE,MAAM,CAAC;IACtB;;;;;;;;;;OAUG;IACH,gBAAgB,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAAC;IAC1C,6GAA6G;IAC7G,aAAa,CAAC,EAAE;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,QAAQ,EAAE,MAAM,CAAA;KAAE,CAAC;IACnD,0GAA0G;IAC1G,gBAAgB,CAAC,EAAE,MAAM,CAAC;IAC1B;;;;;;OAMG;IACH,YAAY,CAAC,EAAE,MAAM,CAAC;IACtB,2FAA2F;IAC3F,MAAM,CAAC,EAAE,UAAU,CAAC;CACrB;AAED,uHAAuH;AACvH,MAAM,MAAM,iBAAiB,GAAG,IAAI,CAAC,WAAW,EAAE,cAAc,GAAG,kBAAkB,GAAG,eAAe,GAAG,kBAAkB,CAAC,CAAC;AAE9H;;;GAGG;AACH,MAAM,WAAW,gBAAiB,SAAQ,iBAAiB;IACzD,qCAAqC;IACrC,KAAK,EAAE,MAAM,GAAG,UAAU,CAAC;IAC3B,wEAAwE;IACxE,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,8FAA8F;IAC9F,YAAY,EAAE,MAAM,CAAC;IACrB,4DAA4D;IAC5D,YAAY,CAAC,EAAE,MAAM,CAAC;CACvB;AAED,MAAM,WAAW,UAAU;IACzB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,KAAK,CAAC,EAAE,UAAU,CAAC;IACnB,MAAM,EAAE,MAAM,GAAG,SAAS,CAAC;CAC5B;AAED,MAAM,WAAW,aAAa;IAC5B,KAAK,EAAE,MAAM,CAAC;IACd,uGAAuG;IACvG,YAAY,CAAC,EAAE,MAAM,CAAC;IACtB,gEAAgE;IAChE,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,MAAM,CAAC,EAAE,UAAU,CAAC;CACrB;AAED,+EAA+E;AAC/E,MAAM,WAAW,eAAe;IAC9B,OAAO,EAAE,MAAM,CAAC;IAChB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,oEAAoE;IACpE,UAAU,CAAC,EAAE,OAAO,CAAC;CACtB;AAED,mGAAmG;AACnG,MAAM,WAAW,aAAa;IAC5B,uFAAuF;IACvF,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,qEAAqE;IACrE,MAAM,EAAE,MAAM,CAAC;IACf,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,aAAa,CAAC,EAAE,MAAM,CAAC;IACvB,GAAG,EAAE,eAAe,GAAG,IAAI,CAAC;IAC5B,sDAAsD;IACtD,KAAK,EAAE,MAAM,EAAE,CAAC;IAChB,MAAM,EAAE,OAAO,GAAG,IAAI,CAAC;IACvB,KAAK,EAAE,OAAO,GAAG,IAAI,CAAC;IACtB,OAAO,EAAE,OAAO,GAAG,IAAI,CAAC;CACzB;AAED,MAAM,WAAW,aAAa;IAC5B,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,MAAM,CAAC,EAAE,OAAO,CAAC;IACjB,KAAK,CAAC,EAAE,OAAO,CAAC;IAChB,OAAO,CAAC,EAAE,OAAO,CAAC;IAClB,MAAM,CAAC,EAAE,MAAM,CAAC;IAEhB,IAAI,CAAC,EAAE,WAAW,GAAG,qBAAqB,CAAC;IAC3C,0GAA0G;IAC1G,IAAI,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACrB,MAAM,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,kFAAkF;IAClF,kBAAkB,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACnC,QAAQ,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,eAAe,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IAChC,iBAAiB,CAAC,EAAE,eAAe,GAAG,IAAI,CAAC;IAC3C,SAAS,CAAC,EAAE,aAAa,GAAG,IAAI,CAAC;IACjC,gGAAgG;IAChG,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,sGAAsG;IACtG,KAAK,CAAC,EAAE,MAAM,CAAC;CAChB;AAED,MAAM,WAAW,YAAY;IAC3B,MAAM,EAAE,OAAO,CAAC;IAChB,UAAU,EAAE,aAAa,EAAE,CAAC;IAC5B,MAAM,EAAE,SAAS,GAAG,MAAM,CAAC;IAC3B,mFAAmF;IACnF,GAAG,CAAC,EAAE,OAAO,CAAC;CACf;AAED,0GAA0G;AAC1G,MAAM,MAAM,gBAAgB,GAAG,SAAS,GAAG,OAAO,GAAG,SAAS,GAAG,SAAS,CAAC;AAE3E,4GAA4G;AAC5G,MAAM,WAAW,iBAAkB,SAAQ,YAAY;IACrD,IAAI,EAAE;QAAE,KAAK,EAAE,MAAM,CAAC;QAAC,MAAM,EAAE,MAAM,CAAA;KAAE,CAAC;CACzC;AAED,MAAM,WAAW,kBAAkB;IACjC,IAAI,EAAE,OAAO,CAAC;IACd,OAAO,EAAE,OAAO,CAAC;IACjB,MAAM,CAAC,EAAE,MAAM,CAAC;CACjB;AAID,sEAAsE;AACtE,MAAM,WAAW,YAAY;IAC3B,IAAI,EAAE,MAAM,CAAC;IACb,KAAK,EAAE,UAAU,CAAC;CACnB;AAED,MAAM,WAAW,mBAAoB,SAAQ,iBAAiB;IAC5D,yFAAyF;IACzF,KAAK,EAAE,YAAY,EAAE,CAAC;IACtB,0DAA0D;IAC1D,GAAG,CAAC,EAAE,MAAM,GAAG,UAAU,CAAC;IAC1B,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,cAAc,CAAC,EAAE,MAAM,CAAC;CACzB;AAED,MAAM,WAAW,kBAAkB;IACjC,2DAA2D;IAC3D,GAAG,EAAE,MAAM,CAAC;IACZ,MAAM,EAAE,SAAS,CAAC;CACnB;AAED,MAAM,WAAW,qBAAqB;IACpC,8BAA8B;IAC9B,GAAG,EAAE,UAAU,CAAC;IAChB,+FAA+F;IAC/F,KAAK,CAAC,EAAE,YAAY,EAAE,CAAC;CACxB;AAED,0GAA0G;AAC1G,MAAM,WAAW,uBAAwB,SAAQ,eAAe;IAC9D,SAAS,EAAE,OAAO,CAAC;IACnB,4CAA4C;IAC5C,IAAI,EAAE,OAAO,CAAC;IACd,wEAAwE;IACxE,MAAM,EAAE,MAAM,EAAE,CAAC;CAClB;AAED,MAAM,WAAW,qBAAsB,SAAQ,aAAa;IAC1D,yFAAyF;IACzF,IAAI,EAAE,WAAW,GAAG,SAAS,GAAG,OAAO,CAAC;IACxC,oFAAoF;IACpF,SAAS,EAAE,OAAO,GAAG,IAAI,CAAC;CAC3B;AAED,MAAM,WAAW,oBAAoB;IACnC,MAAM,EAAE,OAAO,GAAG,SAAS,CAAC;IAC5B,+CAA+C;IAC/C,KAAK,EAAE,MAAM,CAAC;IACd,yEAAyE;IACzE,UAAU,EAAE,MAAM,CAAC;IACnB,cAAc,EAAE,OAAO,CAAC;IACxB,kBAAkB,EAAE,MAAM,GAAG,IAAI,CAAC;IAClC,gBAAgB,EAAE,MAAM,GAAG,IAAI,CAAC;IAChC,UAAU,EAAE;QAAE,GAAG,EAAE,MAAM,GAAG,IAAI,CAAC;QAAC,IAAI,EAAE,UAAU,GAAG,kBAAkB,GAAG,UAAU,GAAG,OAAO,CAAC;QAAC,EAAE,EAAE,OAAO,GAAG,IAAI,CAAA;KAAE,EAAE,CAAC;IACvH,kBAAkB,EAAE,OAAO,GAAG,IAAI,CAAC;IACnC,6FAA6F;IAC7F,oBAAoB,EAAE,OAAO,GAAG,IAAI,CAAC;IACrC,iBAAiB,EAAE,uBAAuB,GAAG,IAAI,CAAC;IAClD,2EAA2E;IAC3E,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,UAAU,EAAE,qBAAqB,EAAE,CAAC;IACpC,QAAQ,EAAE;QAAE,GAAG,EAAE,MAAM,CAAC;QAAC,eAAe,EAAE,MAAM,CAAC;QAAC,WAAW,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,EAAE,CAAC;IACjF,SAAS,EAAE;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,KAAK,EAAE,MAAM,CAAC;QAAC,MAAM,EAAE,MAAM,CAAC;QAAC,OAAO,EAAE,OAAO,CAAC;QAAC,SAAS,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,EAAE,CAAC;IACzG,qDAAqD;IACrD,QAAQ,EAAE;QAAE,YAAY,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAC;QAAC,GAAG,EAAE,MAAM,CAAA;KAAE,CAAC;CAC/D;AAED,2GAA2G;AAC3G,MAAM,MAAM,eAAe,GAAG,SAAS,GAAG,SAAS,GAAG,OAAO,CAAC"}

package/dist/verify.d.ts

@@ -1,3 +1,13 @@
-import type { VerifyOptions, VerifyResult } from "./types.js";
+import type { SignatureInfo, SignatureVerdict, VerifyBytesResult, VerifyOptions, VerifyResult } from "./types.js";
 export declare function verifyPdf(opts: VerifyOptions): VerifyResult;
+/** Le moteur qui VÉRIFIE (pyhanko) est-il là ? Sans lui, on ne sait que constater une présence de signature. */
+export declare function fullVerificationAvailable(): boolean;
+/**
+ * Vérifie un PDF reçu en mémoire (dépôt sur une page publique). Le fichier n'existe sur disque que le temps de la
+ * vérification, dans un dossier privé (0700, fichier 0600), effacé ensuite quoi qu'il arrive. Moteur pyhanko exigé :
+ * une page publique ne doit jamais afficher « signé » pour « vérifié ».
+ */
+export declare function verifyPdfBytes(bytes: Uint8Array, opts?: Omit<VerifyOptions, "input" | "engine">): VerifyBytesResult;
+/** Le verdict d'une signature, en un mot : la confiance ne se lit qu'APRÈS l'intégrité. */
+export declare function signatureVerdict(s: Pick<SignatureInfo, "intact" | "valid" | "trusted">): SignatureVerdict;
 //# sourceMappingURL=verify.d.ts.map

package/dist/verify.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"verify.d.ts","sourceRoot":"","sources":["../src/verify.ts"],"names":[],"mappings":"AAWA,OAAO,KAAK,EAAE,aAAa,EAAE,YAAY,EAAE,MAAM,YAAY,CAAC;AAI9D,wBAAgB,SAAS,CAAC,IAAI,EAAE,aAAa,GAAG,YAAY,CAkC3D"}
+{"version":3,"file":"verify.d.ts","sourceRoot":"","sources":["../src/verify.ts"],"names":[],"mappings":"AAcA,OAAO,KAAK,EAAE,aAAa,EAAE,gBAAgB,EAAE,iBAAiB,EAAE,aAAa,EAAE,YAAY,EAAE,MAAM,YAAY,CAAC;AAIlH,wBAAgB,SAAS,CAAC,IAAI,EAAE,aAAa,GAAG,YAAY,CAkC3D;AAKD,gHAAgH;AAChH,wBAAgB,yBAAyB,IAAI,OAAO,CAEnD;AAED;;;;GAIG;AACH,wBAAgB,cAAc,CAAC,KAAK,EAAE,UAAU,EAAE,IAAI,GAAE,IAAI,CAAC,aAAa,EAAE,OAAO,GAAG,QAAQ,CAAM,GAAG,iBAAiB,CAavH;AAED,2FAA2F;AAC3F,wBAAgB,gBAAgB,CAAC,CAAC,EAAE,IAAI,CAAC,aAAa,EAAE,QAAQ,GAAG,OAAO,GAAG,SAAS,CAAC,GAAG,gBAAgB,CAIzG"}

package/dist/verify.js

@@ -8,7 +8,10 @@
  * @license AGPL-3.0-or-later
  */
 import { execFileSync } from "node:child_process";
-import { readFileSync } from "node:fs";
+import { createHash } from "node:crypto";
+import { mkdtempSync, readFileSync, rmSync, writeFileSync } from "node:fs";
+import { tmpdir } from "node:os";
+import { join } from "node:path";
 import { detectEngines, SIGN_PY } from "./engines.js";
 import { loadPdfSignConfig } from "./config.js";
 export function verifyPdf(opts) {
@@ -46,4 +49,39 @@ export function verifyPdf(opts) {
     const signed = s.includes("/ByteRange") && /\/Type\s*\/Sig|adbe\.pkcs7|ETSI\.CAdES/.test(s);
     return { signed, signatures: signed ? [{ intact: undefined, valid: undefined }] : [], engine: "node" };
 }
+// ── 0.7.0 (11/10/2026) — VÉRIFIER UN PDF REÇU EN MÉMOIRE ─────────────────────────────────────────────────────────
+// Écrit d'abord par mdseal pour sa page publique /verifier, puis demandé par qatrax.dev : la logique descend ici (R-G).
+/** Le moteur qui VÉRIFIE (pyhanko) est-il là ? Sans lui, on ne sait que constater une présence de signature. */
+export function fullVerificationAvailable() {
+    return detectEngines(loadPdfSignConfig().python).pyhanko === true;
+}
+/**
+ * Vérifie un PDF reçu en mémoire (dépôt sur une page publique). Le fichier n'existe sur disque que le temps de la
+ * vérification, dans un dossier privé (0700, fichier 0600), effacé ensuite quoi qu'il arrive. Moteur pyhanko exigé :
+ * une page publique ne doit jamais afficher « signé » pour « vérifié ».
+ */
+export function verifyPdfBytes(bytes, opts = {}) {
+    const buf = Buffer.from(bytes);
+    if (!buf.subarray(0, 5).equals(Buffer.from("%PDF-")))
+        throw new Error("Ce fichier n'est pas un PDF (en-tête %PDF- absent).");
+    const file = { bytes: buf.length, sha256: createHash("sha256").update(buf).digest("hex") };
+    const dossier = mkdtempSync(join(tmpdir(), "pdf-sign-verif-"));
+    try {
+        const chemin = join(dossier, "document.pdf");
+        writeFileSync(chemin, buf, { mode: 0o600 });
+        const r = verifyPdf({ ...opts, input: chemin, engine: "pyhanko" });
+        return { file, signed: r.signed, signatures: r.signatures, dss: !!r.dss, engine: r.engine };
+    }
+    finally {
+        rmSync(dossier, { recursive: true, force: true });
+    }
+}
+/** Le verdict d'une signature, en un mot : la confiance ne se lit qu'APRÈS l'intégrité. */
+export function signatureVerdict(s) {
+    if (s.intact === false)
+        return "altered";
+    if (s.intact === true && s.valid === true)
+        return s.trusted ? "trusted" : "valid";
+    return "invalid";
+}
 //# sourceMappingURL=verify.js.map

package/dist/verify.js.map

@@ -1 +1 @@
-{"version":3,"file":"verify.js","sourceRoot":"","sources":["../src/verify.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,YAAY,EAAE,MAAM,SAAS,CAAC;AAEvC,OAAO,EAAE,aAAa,EAAE,OAAO,EAAE,MAAM,cAAc,CAAC;AACtD,OAAO,EAAE,iBAAiB,EAAE,MAAM,aAAa,CAAC;AAEhD,MAAM,UAAU,SAAS,CAAC,IAAmB;IAC3C,MAAM,GAAG,GAAG,iBAAiB,EAAE,CAAC;IAChC,MAAM,KAAK,GAAG,aAAa,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;IACxC,MAAM,KAAK,GAAG,IAAI,CAAC,QAAQ,IAAI,GAAG,CAAC,QAAQ,CAAC;IAC5C,MAAM,IAAI,GAAG,IAAI,CAAC,MAAM,IAAI,GAAG,CAAC,MAAM,CAAC;IAEvC,iGAAiG;IACjG,gGAAgG;IAChG,8FAA8F;IAC9F,8FAA8F;IAC9F,8FAA8F;IAC9F,IAAI,IAAI,KAAK,SAAS,IAAI,CAAC,KAAK,CAAC,OAAO,EAAE,CAAC;QACzC,MAAM,IAAI,KAAK,CAAC,6HAA6H,CAAC,CAAC;IACjJ,CAAC;IACD,IAAI,KAAK,CAAC,OAAO,IAAI,IAAI,KAAK,MAAM,EAAE,CAAC;QACrC,MAAM,IAAI,GAAG,CAAC,OAAO,EAAE,QAAQ,EAAE,IAAI,CAAC,KAAK,EAAE,KAAK,IAAI,EAAE,CAAC,CAAC;QAC1D,IAAI,IAAI,CAAC,YAAY;YAAE,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,YAAY,CAAC,CAAC;QACpD,IAAI,GAAW,CAAC;QAChB,IAAI,CAAC;YACH,GAAG,GAAG,YAAY,CAAC,KAAK,CAAC,MAAgB,EAAE,IAAI,EAAE,EAAE,QAAQ,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC,QAAQ,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,CAAC,CAAC;QAC7G,CAAC;QAAC,OAAO,CAAM,EAAE,CAAC;YAChB,MAAM,KAAK,GAAG,MAAM,CAAC,CAAC,EAAE,MAAM,IAAI,EAAE,CAAC,CAAC;YACtC,MAAM,GAAG,GAAG,KAAK,CAAC,KAAK,CAAC,oBAAoB,CAAC,CAAC;YAC9C,MAAM,IAAI,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,uCAAuC,KAAK,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,GAAG,EAAE,IAAI,MAAM,CAAC,CAAC,EAAE,OAAO,IAAI,CAAC,CAAC,EAAE,CAAC,CAAC;QACrI,CAAC;QACD,MAAM,IAAI,GAAG,GAAG,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,GAAG,EAAE,IAAI,IAAI,CAAC;QAClD,MAAM,MAAM,GAAG,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC;QAChC,OAAO,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,CAAC,MAAM,EAAE,UAAU,EAAE,MAAM,CAAC,UAAU,IAAI,EAAE,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,EAAE,CAAC,CAAC,MAAM,CAAC,GAAG,EAAE,CAAC;IAChH,CAAC;IAED,iFAAiF;IACjF,MAAM,CAAC,GAAG,YAAY,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC;IACtD,MAAM,MAAM,GAAG,CAAC,CAAC,QAAQ,CAAC,YAAY,CAAC,IAAI,wCAAwC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAC5F,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,CAAC,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,SAAS,EAAE,KAAK,EAAE,SAAS,EAAE,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,MAAM,EAAE,MAAM,EAAE,CAAC;AACzG,CAAC"}
+{"version":3,"file":"verify.js","sourceRoot":"","sources":["../src/verify.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,SAAS,CAAC;AAC3E,OAAO,EAAE,MAAM,EAAE,MAAM,SAAS,CAAC;AACjC,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AAEjC,OAAO,EAAE,aAAa,EAAE,OAAO,EAAE,MAAM,cAAc,CAAC;AACtD,OAAO,EAAE,iBAAiB,EAAE,MAAM,aAAa,CAAC;AAEhD,MAAM,UAAU,SAAS,CAAC,IAAmB;IAC3C,MAAM,GAAG,GAAG,iBAAiB,EAAE,CAAC;IAChC,MAAM,KAAK,GAAG,aAAa,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;IACxC,MAAM,KAAK,GAAG,IAAI,CAAC,QAAQ,IAAI,GAAG,CAAC,QAAQ,CAAC;IAC5C,MAAM,IAAI,GAAG,IAAI,CAAC,MAAM,IAAI,GAAG,CAAC,MAAM,CAAC;IAEvC,iGAAiG;IACjG,gGAAgG;IAChG,8FAA8F;IAC9F,8FAA8F;IAC9F,8FAA8F;IAC9F,IAAI,IAAI,KAAK,SAAS,IAAI,CAAC,KAAK,CAAC,OAAO,EAAE,CAAC;QACzC,MAAM,IAAI,KAAK,CAAC,6HAA6H,CAAC,CAAC;IACjJ,CAAC;IACD,IAAI,KAAK,CAAC,OAAO,IAAI,IAAI,KAAK,MAAM,EAAE,CAAC;QACrC,MAAM,IAAI,GAAG,CAAC,OAAO,EAAE,QAAQ,EAAE,IAAI,CAAC,KAAK,EAAE,KAAK,IAAI,EAAE,CAAC,CAAC;QAC1D,IAAI,IAAI,CAAC,YAAY;YAAE,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,YAAY,CAAC,CAAC;QACpD,IAAI,GAAW,CAAC;QAChB,IAAI,CAAC;YACH,GAAG,GAAG,YAAY,CAAC,KAAK,CAAC,MAAgB,EAAE,IAAI,EAAE,EAAE,QAAQ,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC,QAAQ,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,CAAC,CAAC;QAC7G,CAAC;QAAC,OAAO,CAAM,EAAE,CAAC;YAChB,MAAM,KAAK,GAAG,MAAM,CAAC,CAAC,EAAE,MAAM,IAAI,EAAE,CAAC,CAAC;YACtC,MAAM,GAAG,GAAG,KAAK,CAAC,KAAK,CAAC,oBAAoB,CAAC,CAAC;YAC9C,MAAM,IAAI,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,uCAAuC,KAAK,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,GAAG,EAAE,IAAI,MAAM,CAAC,CAAC,EAAE,OAAO,IAAI,CAAC,CAAC,EAAE,CAAC,CAAC;QACrI,CAAC;QACD,MAAM,IAAI,GAAG,GAAG,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,GAAG,EAAE,IAAI,IAAI,CAAC;QAClD,MAAM,MAAM,GAAG,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC;QAChC,OAAO,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,CAAC,MAAM,EAAE,UAAU,EAAE,MAAM,CAAC,UAAU,IAAI,EAAE,EAAE,MAAM,EAAE,SAAS,EAAE,GAAG,EAAE,CAAC,CAAC,MAAM,CAAC,GAAG,EAAE,CAAC;IAChH,CAAC;IAED,iFAAiF;IACjF,MAAM,CAAC,GAAG,YAAY,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC;IACtD,MAAM,MAAM,GAAG,CAAC,CAAC,QAAQ,CAAC,YAAY,CAAC,IAAI,wCAAwC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAC5F,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,CAAC,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,SAAS,EAAE,KAAK,EAAE,SAAS,EAAE,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,MAAM,EAAE,MAAM,EAAE,CAAC;AACzG,CAAC;AAED,oHAAoH;AACpH,wHAAwH;AAExH,gHAAgH;AAChH,MAAM,UAAU,yBAAyB;IACvC,OAAO,aAAa,CAAC,iBAAiB,EAAE,CAAC,MAAM,CAAC,CAAC,OAAO,KAAK,IAAI,CAAC;AACpE,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,cAAc,CAAC,KAAiB,EAAE,OAAgD,EAAE;IAClG,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;IAC/B,IAAI,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC,MAAM,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,qDAAqD,CAAC,CAAC;IAC7H,MAAM,IAAI,GAAG,EAAE,KAAK,EAAE,GAAG,CAAC,MAAM,EAAE,MAAM,EAAE,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,CAAC;IAC3F,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,CAAC,MAAM,EAAE,EAAE,iBAAiB,CAAC,CAAC,CAAC;IAC/D,IAAI,CAAC;QACH,MAAM,MAAM,GAAG,IAAI,CAAC,OAAO,EAAE,cAAc,CAAC,CAAC;QAC7C,aAAa,CAAC,MAAM,EAAE,GAAG,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC;QAC5C,MAAM,CAAC,GAAG,SAAS,CAAC,EAAE,GAAG,IAAI,EAAE,KAAK,EAAE,MAAM,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC,CAAC;QACnE,OAAO,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,EAAE,UAAU,EAAE,CAAC,CAAC,UAAU,EAAE,GAAG,EAAE,CAAC,CAAC,CAAC,CAAC,GAAG,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,EAAE,CAAC;IAC9F,CAAC;YAAS,CAAC;QACT,MAAM,CAAC,OAAO,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;IACpD,CAAC;AACH,CAAC;AAED,2FAA2F;AAC3F,MAAM,UAAU,gBAAgB,CAAC,CAAsD;IACrF,IAAI,CAAC,CAAC,MAAM,KAAK,KAAK;QAAE,OAAO,SAAS,CAAC;IACzC,IAAI,CAAC,CAAC,MAAM,KAAK,IAAI,IAAI,CAAC,CAAC,KAAK,KAAK,IAAI;QAAE,OAAO,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,OAAO,CAAC;IAClF,OAAO,SAAS,CAAC;AACnB,CAAC"}

package/llms.txt

@@ -67,7 +67,19 @@ python/requirements.lock.txt = ensemble EXACT essayé (installé par défaut) ;
 admise (pyhanko>=0.35.1,<0.38 ; pikepdf>=10.9,<11). Python >= 3.10. En PRODUCTION : venv HORS de
 node_modules/ (setup-venv.sh <répertoire>). Doc : docs/INSTALLATION-ET-EXPLOITATION.md.
 
+## SIGNATURE SÉPARÉE (0.8.0) — XAdES, comme au Journal officiel de l'UE
+verifyDetached({ xml, files? }) → { format, level (XAdES-B-B|B-T|B-LT|B-LTA|XMLDSig), signatureValid, references,
+  signedPropertiesOk, signingCertificateOk, signerCertificate{subject,issuer,notBefore,notAfter,qualified,qscd,qcType},
+  signingTime, timestamps[{kind:signature|archive|other, genTime, tsa, imprintOk, intact, valid, trusted}],
+  manifest[{uri,digestAlgorithm,matchedFile}], documents[{name,bytes,sha256,covered,coveredAs}], longTerm }
+signDetached({ files:[{name,bytes}], p12?, passphrase?, timestampUrl?… }) → { xml } (manifeste SHA-512, RSA ou EC)
+detachedVerdict(r) → altered | invalid | valid ; detachedAvailable() → moteur Python présent ?
+Moteur : python/xades.py (lxml, cryptography, asn1crypto ; pyhanko pour l'horodatage).
+
 ## PIÈGES
+- verifyDetached : DOCTYPE/ENTITY refusés ; deux éléments au même Id refusés ; documents rapprochés PAR EMPREINTE
+  (le nom peut différer : coveredAs dit sous quel nom). « qualified » = ce que DÉCLARE le certificat, pas une liste de confiance.
+- signDetached : noms de fichiers distincts exigés ; horodateur injoignable ⇒ ERREUR (aucun XML sans le jeton demandé).
 - Le cœur Node lève si `permissions` OU `openPassword` est demandé : le chiffrement EXIGE pyhanko.
 - `openPassword` implique le chiffrement même sans `permissions` — et n'impose alors AUCUNE
   restriction (qui demande une clé ne demande pas de perdre son imprimante).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mostajs/pdf-sign",
-  "version": "0.6.0",
+  "version": "0.8.0",
   "description": "Signature numérique de PDF pour @mostajs — moteur HYBRIDE : cœur Node (PKCS#7 via @signpdf) + bascule pyhanko (PAdES + permissions AES-256) si disponible. Config .env, CLI, API. Réutilise le pipeline éprouvé pyhanko+pikepdf.",
   "author": "Dr Hamid MADANI <drmdh@msn.com>",
   "license": "AGPL-3.0-or-later",
@@ -51,7 +51,8 @@
     "@signpdf/signpdf": "^3.2.4",
     "@signpdf/signer-p12": "^3.2.4",
     "@signpdf/placeholder-plain": "^3.2.4",
-    "pdf-lib": "^1.17.1"
+    "pdf-lib": "^1.17.1",
+    "node-forge": "^1.3.3"
   },
   "devDependencies": {
     "@mostajs/mjs-unit": "^0.4.1",

package/python/xades.py

@@ -0,0 +1,601 @@
+#!/usr/bin/env python3
+"""@mostajs/pdf-sign 0.8.0 -- LA SIGNATURE SEPAREE (XAdES), comme celle du Journal officiel de l'UE.
+
+Author: Dr Hamid MADANI <drmdh@msn.com> -- AGPL-3.0-or-later
+
+Le Journal officiel publie des PDF qui ne portent aucune signature : la signature est un fichier XML a cote, dont le
+manifeste (ds:Manifest) nomme chaque document par son empreinte. Ce script VERIFIE une telle signature et en PRODUIT
+de semblables : un seul XML qui scelle plusieurs fichiers (le dossier d'un livrable QATrax, par exemple).
+
+    xades.py verify <config.json>   -> derniere ligne : le rapport JSON
+    xades.py sign   <config.json>   -> ecrit le XML a config["output"]
+
+La configuration arrive par FICHIER, jamais par argv : elle porte la phrase du certificat et les identifiants de
+l'horodateur, et une ligne de commande se lit dans la table des processus.
+
+Ce que la verification NE FAIT PAS, et dit : elle ne consulte pas les listes de confiance de l'UE ; « qualifie »
+signifie que le certificat SE DECLARE qualifie (QCStatements), pas qu'un registre l'a confirme.
+"""
+import asyncio
+import base64
+import hashlib
+import json
+import os
+import re
+import sys
+import uuid
+from datetime import datetime, timezone
+from urllib.parse import quote, unquote
+
+from lxml import etree
+
+DS = "http://www.w3.org/2000/09/xmldsig#"
+XADES = "http://uri.etsi.org/01903/v1.3.2#"
+XADES141 = "http://uri.etsi.org/01903/v1.4.1#"
+ETSI = "http://uri.etsi.org/01903/"
+NS = {"ds": DS, "xades": XADES, "xades141": XADES141}
+
+C14N = {
+    "http://www.w3.org/TR/2001/REC-xml-c14n-20010315": (False, False),
+    "http://www.w3.org/TR/2001/REC-xml-c14n-20010315#WithComments": (False, True),
+    "http://www.w3.org/2001/10/xml-exc-c14n#": (True, False),
+    "http://www.w3.org/2001/10/xml-exc-c14n#WithComments": (True, True),
+    # C14N 1.1 ne differe de 1.0 que pour xml:id / xml:base herites : traite comme 1.0.
+    "http://www.w3.org/2006/12/xml-c14n11": (False, False),
+    "http://www.w3.org/2006/12/xml-c14n11#WithComments": (False, True),
+}
+ENVELOPPEE = "http://www.w3.org/2000/09/xmldsig#enveloped-signature"
+DIGESTS = {
+    "http://www.w3.org/2000/09/xmldsig#sha1": "sha1",
+    "http://www.w3.org/2001/04/xmldsig-more#sha224": "sha224",
+    "http://www.w3.org/2001/04/xmlenc#sha256": "sha256",
+    "http://www.w3.org/2001/04/xmldsig-more#sha384": "sha384",
+    "http://www.w3.org/2001/04/xmlenc#sha512": "sha512",
+}
+DIGEST_URI = {v: k for k, v in DIGESTS.items()}
+SIGNATURES = {}
+for h in ("sha1", "sha224", "sha256", "sha384", "sha512"):
+    base = "http://www.w3.org/2000/09/xmldsig#" if h == "sha1" else "http://www.w3.org/2001/04/xmldsig-more#"
+    SIGNATURES[base + "rsa-" + h] = ("rsa", h)
+    SIGNATURES["http://www.w3.org/2001/04/xmldsig-more#ecdsa-" + h] = ("ecdsa", h)
+for h in ("sha256", "sha384", "sha512"):
+    SIGNATURES["http://www.w3.org/2007/05/xmldsig-more#" + h + "-rsa-MGF1"] = ("pss", h)
+TYPE_MANIFEST = "http://www.w3.org/2000/09/xmldsig#Manifest"
+TYPE_PROPRIETES = "http://uri.etsi.org/01903#SignedProperties"
+
+# OID ETSI des QCStatements (EN 319 412-5), encodes DER : le certificat SE DECLARE qualifie / sur dispositif qualifie.
+QC_CONFORME = bytes.fromhex("060604008e460101")
+QC_SSCD = bytes.fromhex("060604008e460104")
+QC_TYPES = {bytes.fromhex("060704008e46010601"): "esign", bytes.fromhex("060704008e46010602"): "eseal",
+            bytes.fromhex("060704008e46010603"): "web"}
+
+TAILLE_MAX_XML = 10 * 1024 * 1024
+
+
+class Refus(Exception):
+    """Une cause a montrer telle quelle : jamais de chemin, jamais de secret."""
+
+
+def erreur(msg):
+    raise SystemExit("ERREUR -- " + msg)
+
+
+def _iso(d):
+    if d is None:
+        return None
+    if d.tzinfo is not None:
+        d = d.astimezone(timezone.utc)
+    return d.strftime("%Y-%m-%dT%H:%M:%SZ")
+
+
+def _h(nom, octets):
+    return hashlib.new(nom, octets).digest()
+
+
+def _b64(o):
+    return base64.b64encode(o).decode("ascii")
+
+
+def _texte(el):
+    return re.sub(r"\s+", "", el.text or "") if el is not None else ""
+
+
+def _local(el):
+    return etree.QName(el).localname if isinstance(el.tag, str) else ""
+
+
+def _etsi(el):
+    return isinstance(el.tag, str) and (etree.QName(el).namespace or "").startswith(ETSI)
+
+
+# ── Lecture prudente ────────────────────────────────────────────────────────────────────────────────────────────
+def lire_xml(octets):
+    if len(octets) > TAILLE_MAX_XML:
+        raise Refus("fichier XML trop volumineux (10 Mo au plus)")
+    if re.search(rb"<!DOCTYPE", octets[:4096], re.I) or b"<!ENTITY" in octets:
+        raise Refus("XML refusé : une déclaration DOCTYPE ou ENTITY n'a rien à faire dans une signature")
+    parseur = etree.XMLParser(resolve_entities=False, no_network=True, load_dtd=False, dtd_validation=False,
+                              huge_tree=False, remove_blank_text=False)
+    try:
+        racine = etree.fromstring(octets, parseur)
+    except etree.XMLSyntaxError:
+        raise Refus("ce fichier n'est pas un document XML lisible")
+    return racine
+
+
+def table_ids(racine):
+    ids = {}
+    for el in racine.iter():
+        if not isinstance(el.tag, str):
+            continue
+        for a in ("Id", "ID", "id"):
+            v = el.get(a)
+            if v is None:
+                continue
+            if v in ids and ids[v] is not el:
+                # Deux elements au meme Id : la porte classique de l'« emballage » de signature (XSW).
+                raise Refus(f"XML refusé : l'Id « {v[:60]} » désigne deux éléments")
+            ids[v] = el
+    return ids
+
+
+def c14n(el, algo, prefixes=None):
+    if algo not in C14N:
+        raise Refus(f"canonicalisation non prise en charge : {algo}")
+    exclusif, commentaires = C14N[algo]
+    return etree.tostring(el, method="c14n", exclusive=exclusif, with_comments=commentaires,
+                          inclusive_ns_prefixes=prefixes if exclusif else None)
+
+
+def prefixes_inclus(tr):
+    for e in tr:
+        if _local(e) == "InclusiveNamespaces":
+            return (e.get("PrefixList") or "").split() or None
+    return None
+
+
+# ── Les references ──────────────────────────────────────────────────────────────────────────────────────────────
+def traiter_reference(ref, racine, ids):
+    """Les octets que la reference designe, apres ses transformations ; None pour un document exterieur."""
+    uri = ref.get("URI")
+    transfos = ref.find("ds:Transforms", NS)
+    liste = list(transfos) if transfos is not None else []
+    if uri is None or uri == "" or uri == "#xpointer(/)":
+        noeud = racine
+    elif uri.startswith("#"):
+        noeud = ids.get(uri[1:])
+        if noeud is None:
+            raise Refus(f"référence vers un Id absent : {uri[:80]}")
+    else:
+        if liste:
+            raise Refus("transformation sur un document extérieur non prise en charge")
+        return None
+    algo, prefixes, enveloppee = "http://www.w3.org/TR/2001/REC-xml-c14n-20010315", None, False
+    for t in liste:
+        a = t.get("Algorithm")
+        if a == ENVELOPPEE:
+            enveloppee = True
+        elif a in C14N:
+            algo, prefixes = a, prefixes_inclus(t)
+        else:
+            raise Refus(f"transformation non prise en charge : {a}")
+    if enveloppee:
+        if noeud is not racine:
+            raise Refus("signature enveloppée hors de la racine : non prise en charge")
+        copie = etree.fromstring(etree.tostring(racine))
+        for s in copie.iter("{%s}Signature" % DS):
+            s.getparent().remove(s)
+        noeud = copie
+    return c14n(noeud, algo, prefixes)
+
+
+def digest_de(ref):
+    dm = ref.find("ds:DigestMethod", NS)
+    a = dm.get("Algorithm") if dm is not None else None
+    if a not in DIGESTS:
+        raise Refus(f"algorithme d'empreinte non pris en charge : {a}")
+    return DIGESTS[a], base64.b64decode(_texte(ref.find("ds:DigestValue", NS)))
+
+
+def nom_uri(uri):
+    return unquote(uri or "")
+
+
+# ── Certificats ─────────────────────────────────────────────────────────────────────────────────────────────────
+def infos_certificat(der):
+    from asn1crypto import x509 as ax
+    from sign_with_perms import _cert_info
+    c = ax.Certificate.load(der)
+    info = _cert_info(c) or {}
+    qualifie, sscd, types = False, False, []
+    for ext in c["tbs_certificate"]["extensions"] or []:
+        if ext["extn_id"].dotted == "1.3.6.1.5.5.7.1.3":
+            brut = ext["extn_value"].contents
+            qualifie = QC_CONFORME in brut
+            sscd = QC_SSCD in brut
+            types = [n for o, n in QC_TYPES.items() if o in brut]
+    info.update({"qualified": qualifie, "qscd": sscd, "qcType": types})
+    if info.get("notBefore"):
+        info["notBefore"] = _iso(c["tbs_certificate"]["validity"]["not_before"].native)
+        info["notAfter"] = _iso(c["tbs_certificate"]["validity"]["not_after"].native)
+    return info
+
+
+def verifier_valeur(der, algo_uri, signee, valeur):
+    from cryptography import x509
+    from cryptography.exceptions import InvalidSignature
+    from cryptography.hazmat.primitives import hashes
+    from cryptography.hazmat.primitives.asymmetric import ec, padding, rsa
+    from cryptography.hazmat.primitives.asymmetric.utils import encode_dss_signature
+    if algo_uri not in SIGNATURES:
+        raise Refus(f"algorithme de signature non pris en charge : {algo_uri}")
+    famille, h = SIGNATURES[algo_uri]
+    hachage = getattr(hashes, h.upper())()
+    cle = x509.load_der_x509_certificate(der).public_key()
+    try:
+        if famille == "rsa" and isinstance(cle, rsa.RSAPublicKey):
+            cle.verify(valeur, signee, padding.PKCS1v15(), hachage)
+        elif famille == "pss" and isinstance(cle, rsa.RSAPublicKey):
+            cle.verify(valeur, signee, padding.PSS(mgf=padding.MGF1(hachage), salt_length=hachage.digest_size), hachage)
+        elif famille == "ecdsa" and isinstance(cle, ec.EllipticCurvePublicKey):
+            n = len(valeur) // 2
+            der_sig = encode_dss_signature(int.from_bytes(valeur[:n], "big"), int.from_bytes(valeur[n:], "big"))
+            cle.verify(der_sig, signee, ec.ECDSA(hachage))
+        else:
+            return False
+        return True
+    except InvalidSignature:
+        return False
+
+
+# ── Horodatages ─────────────────────────────────────────────────────────────────────────────────────────────────
+def lire_jeton(b64, attendu):
+    """Le jeton RFC 3161 : ce qu'il dit, et s'il porte sur `attendu` (fonction algo -> empreinte, ou None)."""
+    from asn1crypto import cms
+    from pyhanko.sign.validation.generic_cms import validate_tst_signed_data
+    from pyhanko_certvalidator import ValidationContext
+    from sign_with_perms import _jeton
+    tok = cms.ContentInfo.load(base64.b64decode(b64))
+    info = _jeton(tok) or {}
+    sd = tok["content"]
+    tst = sd["encap_content_info"]["content"].parsed
+    algo = tst["message_imprint"]["hash_algorithm"]["algorithm"].native
+    porte = tst["message_imprint"]["hashed_message"].native
+    imprint_ok = None
+    if attendu is not None:
+        try:
+            imprint_ok = attendu(algo) == porte
+        except Exception:
+            imprint_ok = None
+    statut = {"intact": None, "valid": None, "trusted": None}
+    try:
+        st = asyncio.run(validate_tst_signed_data(sd, ValidationContext(allow_fetching=False), lambda a: porte))
+        get = (lambda k: st.get(k)) if isinstance(st, dict) else (lambda k: getattr(st, k, None))
+        statut = {"intact": bool(get("intact")), "valid": bool(get("valid")), "trusted": bool(get("trusted"))}
+    except Exception:
+        pass
+    info["genTime"] = _iso(tst["gen_time"].native)
+    info.update(statut)
+    info["imprintOk"] = imprint_ok
+    return info
+
+
+def entree_archive(sig, ids, racine, algo_ts, ts_el, usp):
+    """L'entree d'un ArchiveTimeStamp (XAdES 1.4.1, 8.2.1) : references, SignedInfo, SignatureValue, KeyInfo,
+    proprietes non signees qui le precedent, ds:Object hors QualifyingProperties."""
+    morceaux = []
+    si = sig.find("ds:SignedInfo", NS)
+    for ref in si.findall("ds:Reference", NS):
+        o = traiter_reference(ref, racine, ids)
+        if o is None:
+            return None   # document exterieur : il faudrait ses octets ; on ne recalcule pas
+        morceaux.append(o)
+    for nom in ("SignedInfo", "SignatureValue", "KeyInfo"):
+        e = sig.find("ds:" + nom, NS)
+        if e is not None:
+            morceaux.append(c14n(e, algo_ts))
+    for e in usp:
+        if e is ts_el:
+            break
+        if isinstance(e.tag, str):
+            morceaux.append(c14n(e, algo_ts))
+    for o in sig.findall("ds:Object", NS):
+        if not any(_local(x) == "QualifyingProperties" for x in o):
+            morceaux.append(c14n(o, algo_ts))
+    return b"".join(morceaux)
+
+
+# ── Verification ────────────────────────────────────────────────────────────────────────────────────────────────
+def verifier(xml_octets, fichiers):
+    racine = lire_xml(xml_octets)
+    signatures = [racine] if racine.tag == "{%s}Signature" % DS else list(racine.iter("{%s}Signature" % DS))
+    if not signatures:
+        raise Refus("aucune signature XML (ds:Signature) dans ce fichier")
+    ids = table_ids(racine)
+    sig = signatures[0]
+    si = sig.find("ds:SignedInfo", NS)
+    if si is None:
+        raise Refus("signature sans SignedInfo")
+    cm = si.find("ds:CanonicalizationMethod", NS)
+    algo_c14n = cm.get("Algorithm") if cm is not None else None
+    sm = si.find("ds:SignatureMethod", NS)
+    algo_sig = sm.get("Algorithm") if sm is not None else None
+    valeur_el = sig.find("ds:SignatureValue", NS)
+    valeur = base64.b64decode(_texte(valeur_el))
+    empreintes = [(f["name"], f["bytes"]) for f in fichiers]
+
+    # Les certificats : KeyInfo, puis ceux des proprietes non signees ; le signataire est celui que nomme
+    # SigningCertificate(V2), s'il y en a un.
+    candidats = [base64.b64decode(_texte(e)) for e in sig.iterfind(".//ds:KeyInfo//ds:X509Certificate", NS)]
+    candidats += [base64.b64decode(_texte(e)) for e in sig.iter() if _local(e) == "EncapsulatedX509Certificate" and _etsi(e)]
+    signataire, signing_cert_ok = (candidats[0] if candidats else None), None
+    certs_annonces = [e for e in sig.iter() if _local(e) == "CertDigest" and _etsi(e)
+                      and _local(e.getparent().getparent()) in ("SigningCertificate", "SigningCertificateV2")]
+    if certs_annonces:
+        signing_cert_ok = False
+        for cd in certs_annonces:
+            algo, attendu = digest_de(cd)
+            for c in candidats:
+                if _h(algo, c) == attendu:
+                    signataire, signing_cert_ok = c, True
+                    break
+            if signing_cert_ok:
+                break
+    if signataire is None:
+        raise Refus("aucun certificat de signataire dans la signature")
+
+    references, manifeste, couverts = [], [], {}
+    signed_props_ok = None
+    for ref in si.findall("ds:Reference", NS):
+        uri, typ = ref.get("URI"), ref.get("Type") or ""
+        algo, attendu = digest_de(ref)
+        cible = ids.get(uri[1:]) if uri and uri.startswith("#") else None
+        genre = ("manifest" if typ == TYPE_MANIFEST or (cible is not None and _local(cible) == "Manifest")
+                 else "signedProperties" if typ == TYPE_PROPRIETES or (cible is not None and _local(cible) == "SignedProperties")
+                 else "document" if uri and not uri.startswith("#") else "other")
+        entree = {"uri": nom_uri(uri) if genre == "document" else uri, "type": genre, "ok": None}
+        o = traiter_reference(ref, racine, ids)
+        if o is not None:
+            entree["ok"] = _h(algo, o) == attendu
+        else:
+            for nom, octets in empreintes:
+                if _h(algo, octets) == attendu:
+                    entree["ok"] = True
+                    couverts.setdefault(nom, nom_uri(uri))
+            if entree["ok"] is None and any(n == nom_uri(uri) or os.path.basename(n) == os.path.basename(nom_uri(uri)) for n, _ in empreintes):
+                entree["ok"] = False   # le fichier de ce nom est la, mais ce n'est pas celui qui a ete signe
+        if genre == "signedProperties":
+            signed_props_ok = entree["ok"]
+        if genre == "manifest" and cible is not None:
+            for mr in cible.findall("ds:Reference", NS):
+                malgo, mattendu = digest_de(mr)
+                trouve = None
+                for nom, octets in empreintes:
+                    if _h(malgo, octets) == mattendu:
+                        trouve = nom
+                        couverts.setdefault(nom, nom_uri(mr.get("URI")))
+                manifeste.append({"uri": nom_uri(mr.get("URI")), "digestAlgorithm": malgo, "matchedFile": trouve})
+        references.append(entree)
+
+    signature_ok = verifier_valeur(signataire, algo_sig, c14n(si, algo_c14n, prefixes_inclus(cm)), valeur)
+
+    # Proprietes signees et non signees (XAdES).
+    st = next((e for e in sig.iter() if _local(e) == "SigningTime" and _etsi(e)), None)
+    usp = next((e for e in sig.iter() if _local(e) == "UnsignedSignatureProperties" and _etsi(e)), None)
+    horodatages = []
+    nb_certs = nb_ocsp = nb_crl = 0
+    if usp is not None:
+        for e in usp:
+            if not isinstance(e.tag, str):
+                continue
+            n = _local(e)
+            nb_certs += sum(1 for x in e.iter() if _local(x) == "EncapsulatedX509Certificate") if n == "CertificateValues" else 0
+            nb_ocsp += sum(1 for x in e.iter() if _local(x) == "EncapsulatedOCSPValue") if n == "RevocationValues" else 0
+            nb_crl += sum(1 for x in e.iter() if _local(x) == "EncapsulatedCRLValue") if n == "RevocationValues" else 0
+            if n not in ("SignatureTimeStamp", "ArchiveTimeStamp", "SigAndRefsTimeStamp", "RefsOnlyTimeStamp"):
+                continue
+            tcm = e.find("ds:CanonicalizationMethod", NS)
+            algo_ts = tcm.get("Algorithm") if tcm is not None else "http://www.w3.org/TR/2001/REC-xml-c14n-20010315"
+            if n == "SignatureTimeStamp":
+                entree = c14n(valeur_el, algo_ts)
+                genre = "signature"
+            elif n == "ArchiveTimeStamp":
+                try:
+                    entree = entree_archive(sig, ids, racine, algo_ts, e, usp)
+                except Refus:
+                    entree = None
+                genre = "archive"
+            else:
+                entree, genre = None, "other"
+            for enc in e:
+                if _local(enc) == "EncapsulatedTimeStamp":
+                    attendu = (lambda a, x=entree: _h(a, x)) if entree is not None else None
+                    j = lire_jeton(_texte(enc), attendu)
+                    j["kind"] = genre
+                    if genre == "archive" and j["imprintOk"] is False:
+                        # Les variantes de calcul de l'entree d'archive divergent selon les versions de XAdES : un
+                        # desaccord ici ne prouve pas une alteration. On ne conclut pas.
+                        j["imprintOk"] = None
+                    horodatages.append(j)
+
+    xades = signed_props_ok is not None
+    if not xades:
+        niveau = "XMLDSig"
+    elif any(t["kind"] == "archive" for t in horodatages):
+        niveau = "XAdES-B-LTA"
+    elif nb_certs and (nb_ocsp or nb_crl):
+        niveau = "XAdES-B-LT"
+    elif any(t["kind"] == "signature" for t in horodatages):
+        niveau = "XAdES-B-T"
+    else:
+        niveau = "XAdES-B-B"
+
+    documents = []
+    for nom, octets in empreintes:
+        documents.append({"name": nom, "bytes": len(octets), "sha256": hashlib.sha256(octets).hexdigest(),
+                          "covered": nom in couverts, "coveredAs": couverts.get(nom)})
+    return {
+        "format": "xades" if xades else "xmldsig",
+        "level": niveau,
+        "signatures": len(signatures),
+        "signatureValid": signature_ok,
+        "signatureAlgorithm": algo_sig,
+        "canonicalization": algo_c14n,
+        "references": references,
+        "signedPropertiesOk": signed_props_ok,
+        "signingCertificateOk": signing_cert_ok,
+        "signerCertificate": infos_certificat(signataire),
+        "signingTime": _texte(st) or None,
+        "timestamps": horodatages,
+        "manifest": manifeste,
+        "documents": documents,
+        "longTerm": {"certificates": nb_certs, "ocsp": nb_ocsp, "crl": nb_crl},
+    }
+
+
+# ── Signature ───────────────────────────────────────────────────────────────────────────────────────────────────
+def E(ns, nom, parent=None, texte=None, **attrs):
+    el = etree.SubElement(parent, "{%s}%s" % (ns, nom), nsmap=None) if parent is not None else etree.Element("{%s}%s" % (ns, nom), nsmap={"ds": DS})
+    for k, v in attrs.items():
+        el.set(k, v)
+    if texte is not None:
+        el.text = texte
+    return el
+
+
+def signer(cfg):
+    from cryptography.hazmat.primitives import hashes, serialization
+    from cryptography.hazmat.primitives.asymmetric import ec, padding, rsa
+    from cryptography.hazmat.primitives.asymmetric.utils import decode_dss_signature
+    from cryptography.hazmat.primitives.serialization import pkcs12
+    from asn1crypto import cms, x509 as ax
+
+    fichiers = cfg["files"]
+    if not fichiers:
+        erreur("aucun fichier à signer")
+    noms = [f["name"] for f in fichiers]
+    if len(set(noms)) != len(noms):
+        erreur("deux fichiers portent le même nom : un manifeste les confondrait (nom en double)")
+    with open(cfg["p12"], "rb") as fp:
+        donnees = fp.read()
+    with open(cfg["passFile"], "r", encoding="utf-8") as fp:
+        phrase = fp.read()
+    try:
+        cle, cert, autres = pkcs12.load_key_and_certificates(donnees, phrase.encode("utf-8") if phrase else None)
+    except Exception:
+        erreur("certificat PKCS#12 illisible, ou phrase secrète incorrecte")
+    if cle is None or cert is None:
+        erreur("certificat PKCS#12 sans clé privée ou sans certificat")
+    if isinstance(cle, rsa.RSAPrivateKey):
+        algo_sig = "http://www.w3.org/2001/04/xmldsig-more#rsa-sha256"
+        signe = lambda o: cle.sign(o, padding.PKCS1v15(), hashes.SHA256())
+    elif isinstance(cle, ec.EllipticCurvePrivateKey):
+        h = {256: "sha256", 384: "sha384", 521: "sha512"}.get(cle.curve.key_size, "sha256")
+        algo_sig = "http://www.w3.org/2001/04/xmldsig-more#ecdsa-" + h
+        taille = (cle.curve.key_size + 7) // 8
+        def signe(o):
+            r, s = decode_dss_signature(cle.sign(o, ec.ECDSA(getattr(hashes, h.upper())())))
+            return r.to_bytes(taille, "big") + s.to_bytes(taille, "big")
+    else:
+        erreur("type de clé non pris en charge (RSA ou EC attendus)")
+
+    EXC = "http://www.w3.org/2001/10/xml-exc-c14n#"
+    der = cert.public_bytes(serialization.Encoding.DER)
+    sid = "id-" + uuid.uuid4().hex
+    id_manifeste, id_props = "manifest-" + sid, "xades-" + sid
+    racine = E(DS, "Signature", Id=sid)
+    si = E(DS, "SignedInfo", racine)
+    E(DS, "CanonicalizationMethod", si, Algorithm=EXC)
+    E(DS, "SignatureMethod", si, Algorithm=algo_sig)
+    refs = []
+    for uri, typ, rid in ((id_manifeste, TYPE_MANIFEST, "r-" + sid + "-1"), (id_props, TYPE_PROPRIETES, None)):
+        r = E(DS, "Reference", si, **({"Id": rid} if rid else {}), Type=typ, URI="#" + uri)
+        tr = E(DS, "Transforms", r)
+        E(DS, "Transform", tr, Algorithm=EXC)
+        E(DS, "DigestMethod", r, Algorithm=DIGEST_URI["sha256"])
+        refs.append((r, E(DS, "DigestValue", r), uri))
+    valeur_el = E(DS, "SignatureValue", racine, Id="value-" + sid)
+    ki = E(DS, "KeyInfo", racine)
+    xd = E(DS, "X509Data", ki)
+    E(DS, "X509Certificate", xd, _b64(der))
+    for a in autres or []:
+        E(DS, "X509Certificate", xd, _b64(a.public_bytes(serialization.Encoding.DER)))
+
+    obj = E(DS, "Object", racine)
+    man = E(DS, "Manifest", obj, Id=id_manifeste)
+    for f in fichiers:
+        with open(f["path"], "rb") as fp:
+            octets = fp.read()
+        mr = E(DS, "Reference", man, URI=quote(f["name"], safe="-._~"))
+        E(DS, "DigestMethod", mr, Algorithm=DIGEST_URI["sha512"])
+        E(DS, "DigestValue", mr, _b64(_h("sha512", octets)))
+
+    obj2 = E(DS, "Object", racine)
+    qp = etree.SubElement(obj2, "{%s}QualifyingProperties" % XADES, nsmap={"xades": XADES})
+    qp.set("Target", "#" + sid)
+    sp = etree.SubElement(qp, "{%s}SignedProperties" % XADES)
+    sp.set("Id", id_props)
+    ssp = etree.SubElement(sp, "{%s}SignedSignatureProperties" % XADES)
+    etree.SubElement(ssp, "{%s}SigningTime" % XADES).text = datetime.now(timezone.utc).strftime("%Y-%m-%dT%H:%M:%SZ")
+    sc = etree.SubElement(ssp, "{%s}SigningCertificateV2" % XADES)
+    ce = etree.SubElement(sc, "{%s}Cert" % XADES)
+    cd = etree.SubElement(ce, "{%s}CertDigest" % XADES)
+    E(DS, "DigestMethod", cd, Algorithm=DIGEST_URI["sha512"])
+    E(DS, "DigestValue", cd, _b64(_h("sha512", der)))
+    ac = ax.Certificate.load(der)
+    issuer_serial = cms.IssuerSerial({"issuer": [ax.GeneralName({"directory_name": ac.issuer})], "serial": ac.serial_number})
+    etree.SubElement(ce, "{%s}IssuerSerialV2" % XADES).text = _b64(issuer_serial.dump())
+    sdop = etree.SubElement(sp, "{%s}SignedDataObjectProperties" % XADES)
+    dof = etree.SubElement(sdop, "{%s}DataObjectFormat" % XADES)
+    dof.set("ObjectReference", "#r-" + sid + "-1")
+    etree.SubElement(dof, "{%s}MimeType" % XADES).text = "text/xml"
+
+    # Les empreintes se calculent sur l'arbre FINAL (les espaces de noms en portee comptent), puis on signe.
+    for r, dv, uri in refs:
+        cible = man if uri == id_manifeste else sp
+        dv.text = _b64(_h("sha256", c14n(cible, EXC)))
+    valeur_el.text = _b64(signe(c14n(si, EXC)))
+
+    url = cfg.get("timestamp_url")
+    if url:
+        from pyhanko.sign import timestamps
+        from sign_with_perms import _cause_horodatage
+        auth_cfg = cfg.get("timestamp_auth")
+        auth = (auth_cfg["user"], auth_cfg.get("password", "")) if auth_cfg else None
+        horodateur = timestamps.HTTPTimeStamper(url=url, headers=cfg.get("timestamp_headers") or None, auth=auth,
+                                                timeout=cfg.get("timestamp_timeout") or 10)
+        try:
+            jeton = asyncio.run(horodateur.async_timestamp(_h("sha256", c14n(valeur_el, EXC)), "sha256"))
+        except Exception as e:
+            erreur(f"horodatage impossible ({url}) : {_cause_horodatage(e)}. Aucune signature n'a été produite : "
+                   "une date non attestée vaut moins que pas de date.")
+        up = etree.SubElement(qp, "{%s}UnsignedProperties" % XADES)
+        usp = etree.SubElement(up, "{%s}UnsignedSignatureProperties" % XADES)
+        sts = etree.SubElement(usp, "{%s}SignatureTimeStamp" % XADES)
+        sts.set("Id", "ts-" + sid)
+        E(DS, "CanonicalizationMethod", sts, Algorithm=EXC)
+        etree.SubElement(sts, "{%s}EncapsulatedTimeStamp" % XADES).text = _b64(jeton.dump())
+
+    with open(cfg["output"], "wb") as fp:
+        fp.write(etree.tostring(racine, xml_declaration=True, encoding="UTF-8", standalone=False))
+    print("OK -- signature séparée écrite", flush=True)
+
+
+if __name__ == "__main__":
+    if len(sys.argv) != 3 or sys.argv[1] not in ("verify", "sign"):
+        erreur("usage : xades.py verify|sign <config.json>")
+    with open(sys.argv[2], "r", encoding="utf-8") as fp:
+        conf = json.load(fp)
+    if sys.argv[1] == "sign":
+        signer(conf)
+    else:
+        try:
+            with open(conf["xml"], "rb") as fp:
+                xml = fp.read()
+            fs = []
+            for f in conf.get("files", []):
+                with open(f["path"], "rb") as fp:
+                    fs.append({"name": f["name"], "bytes": fp.read()})
+            print(json.dumps(verifier(xml, fs), default=str, ensure_ascii=False))
+        except Refus as r:
+            erreur(str(r))