API Sigalion
Intégrez l'horodatage et la vérification à vos applications : horodatage RFC 3161, gratuit ou qualifié eIDAS, et vérification des signatures et des horodatages.
Les clés API se créent dans votre Espace Client, et permettent d'utiliser vos crédits d'horodatage qualifié.
Pour utiliser l'API sans Sigalion Vault, dans un cadre professionnel, nous ouvrons des comptes API dédiés, sans licence logicielle. Pour un tel compte, un usage soutenu ou une intégration sur mesure, écrivez-nous à contact@sigalion.fr.
Adresses de service
Les deux adresses suivent le protocole RFC 3161 et s'utilisent telles quelles dans Acrobat, OpenSSL ou tout outil de signature.
Horodatage Sigalion
Gratuit, sans compte. Jusqu'à dix jetons d'affilée, puis un par minute.
Sans garantie de disponibilité. Ces limites peuvent évoluer. Voir les conditions générales.
https://api.sigalion.fr/tsa
Horodatage qualifié eIDAS
Clé API, un crédit par jeton.
https://api.sigalion.fr/tsa/qualified/auto(le premier prestataire disponible)https://api.sigalion.fr/tsa/qualified/certigna(Certigna)
Vérification et solde du compte
Deux routes JSON complètent les adresses d'horodatage.
Vérifier un horodatage ou une signature
Gratuit, sans clé. Le document ne quitte pas votre poste : vous envoyez le jeton ou la signature et, si vous voulez contrôler qu'il correspond, les empreintes SHA-256, SHA-384 et SHA-512 du document. La réponse dit si la preuve est valide, qui l'a émise, et si elle est qualifiée eIDAS d'après les listes de confiance européennes, à sa date.
Jusqu'à 30 vérifications d'affilée, puis une toutes les 2 secondes ; 1 Mo au plus par requête.
Sans garantie de disponibilité. Ces limites peuvent évoluer. Voir les conditions générales.
POST https://api.sigalion.fr/v1/verify
curl https://api.sigalion.fr/v1/verify \
-H "Content-Type: application/json" \
-d "{\"kind\":\"token\",\"token\":\"$(openssl base64 -A -in jeton.tst)\"}"Réponse, extrait :
{"kind":"timestamped",
"timestamp":{"verdict":"valid","time":"2026-03-16T21:34:36Z",
"authority":{"name":"Sectigo Limited","country":"GB"},"level":"standard"}}Solde du compte
Avec une clé API, en authentification Basic (la clé comme identifiant, sans mot de passe) : le nombre de crédits d'horodatage restants, pour surveiller une intégration en production.
GET https://api.sigalion.fr/v1/account/balance
Réponse :
{"credits_remaining": 9, "account_type": "individual"}Certificat racine Sigalion
Les jetons du service gratuit sont signés sous notre propre autorité. Les applications Sigalion et la page Vérifier embarquent déjà cette racine, elles n'ont rien à installer. Pour tout autre outil, OpenSSL, un lecteur de PDF ou un magasin de certificats, c'est la seule pièce qui manque : le jeton transporte déjà le certificat du signataire et l'autorité intermédiaire.
Racine au format PEM (OpenSSL, curl, bibliothèques, magasin de certificats Linux) ou DER (magasin de certificats Windows). Les deux fichiers contiennent le même certificat, et macOS accepte l'un comme l'autre.
Empreinte SHA-256 : A0:DF:11:28:7F:DD:6A:C8:6D:D6:E2:8F:29:28:03:7D:B8:5B:8A:E4:9E:73:9C:AF:F0:93:BE:5C:D1:1B:1F:93
Cette autorité n'est pas qualifiée eIDAS. L'horodatage qualifié, lui, est émis par des prestataires qualifiés qui sont reconnus dans les listes de confiance des États membres, et sa vérification par Sigalion ne demande aucune installation.
Fabricants de cartes et autorités de certification
L'onglet Diagnostic de Vault lit les cartes à puce, les clés et les certificats sur macOS, Windows et Linux, puis teste la signature et le déchiffrement. Vault prend en charge les cartes IAS-ECC avec le middleware IDOpte et les clés YubiKey et Nitrokey en PIV.
Vous fabriquez des cartes ou délivrez des certificats, et vous voulez que vos supports fonctionnent avec Vault ? Écrivez-nous à contact@sigalion.fr pour les faire tester.