Vérification de certificat : contrôlez n’importe quel certificat sans le croire sur parole

D’abord, ignorez la dernière ligne

Imaginons que vous recrutiez une aide-comptable, et que son certificat arrive en PDF la veille de sa prise de poste. Un blason, une signature, un numéro, un sceau. Tout en bas : « Vérifiez ce titre en ligne », une adresse web et un code QR.⁠​‌​​​​​‌​‌​‌​‌​‌​‌‌‌‌‌​​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​‌‌​​​‌‌​​‌​‌​‌‌​​​​‌​‌‌‌​​‌​​‌‌​‌‌‌​​​‌​‌‌‌‌​‌‌​​​‌‌​‌‌​​‌​‌​‌‌‌​​‌​​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​​‌​‌​​‌​‌‌​‌​‌‌‌​‌‌​​‌‌​​‌​‌​‌‌‌​​‌​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​‌‌‌‌​‌‌​‌‌‌​​‌‌‌‌‌​​​​‌‌​​‌​​​‌‌​​​​​​‌‌​​‌​​​‌‌​‌‌​​​‌​‌‌​‌​​‌‌​​​‌​​‌‌​​​‌​​‌​‌‌​‌​​‌‌​​​​​​‌‌​‌‌‌​‌‌‌‌‌​​​‌‌​​​‌‌​‌‌​​​​‌​​‌‌​‌​​​​‌‌​‌‌​​​‌‌​‌​‌​​‌‌​‌‌‌​​‌‌​​​‌​​‌‌​‌​​​​‌‌​‌​​​‌‌​​​‌‌⁠

C’est la ligne la plus rassurante de la page, et précisément celle qu’il ne faut pas utiliser : qui imprime un lien peut aussi gérer la page qu’il ouvre.⁠​‌​​​​​‌​‌​‌​‌​‌​‌‌‌‌‌​​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​‌‌​​​‌‌​​‌​‌​‌‌​​​​‌​‌‌‌​​‌​​‌‌​‌‌‌​​​‌​‌‌‌‌​‌‌​​​‌‌​‌‌​​‌​‌​‌‌‌​​‌​​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​​‌​‌​​‌​‌‌​‌​‌‌‌​‌‌​​‌‌​​‌​‌​‌‌‌​​‌​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​‌‌‌‌​‌‌​‌‌‌​​‌‌‌‌‌​​​​‌‌​​‌​​​‌‌​​​​​​‌‌​​‌​​​‌‌​‌‌​​​‌​‌‌​‌​​‌‌​​​‌​​‌‌​​​‌​​‌​‌‌​‌​​‌‌​​​​​​‌‌​‌‌‌​‌‌‌‌‌​​​‌‌​​​‌‌​‌‌​​​​‌​​‌‌​‌​​​​‌‌​‌‌​​​‌‌​‌​‌​​‌‌​‌‌‌​​‌‌​​​‌​​‌‌​‌​​​​‌‌​‌​​​‌‌​​​‌‌⁠

Un guide destiné aux employeurs, publié par Hedd, le service officiel britannique de vérification des diplômes, décrit une université clone dont les relevés de notes renvoyaient les employeurs vers son propre site, où un bouton « search profile » (rechercher un profil) affichait les informations de l’étudiant. « The employer thinks they have verified the applicant » (l’employeur croit avoir vérifié le candidat).⁠​‌​​​​​‌​‌​‌​‌​‌​‌‌‌‌‌​​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​‌‌​​​‌‌​​‌​‌​‌‌​​​​‌​‌‌‌​​‌​​‌‌​‌‌‌​​​‌​‌‌‌‌​‌‌​​​‌‌​‌‌​​‌​‌​‌‌‌​​‌​​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​​‌​‌​​‌​‌‌​‌​‌‌‌​‌‌​​‌‌​​‌​‌​‌‌‌​​‌​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​‌‌‌‌​‌‌​‌‌‌​​‌‌‌‌‌​​​​‌‌​​‌​​​‌‌​​​​​​‌‌​​‌​​​‌‌​‌‌​​​‌​‌‌​‌​​‌‌​​​‌​​‌‌​​​‌​​‌​‌‌​‌​​‌‌​​​​​​‌‌​‌‌‌​‌‌‌‌‌​​​‌‌​​​‌‌​‌‌​​​​‌​​‌‌​‌​​​​‌‌​‌‌​​​‌‌​‌​‌​​‌‌​‌‌‌​​‌‌​​​‌​​‌‌​‌​​​​‌‌​‌​​​‌‌​​​‌‌⁠

La leçon : un certificat peut vous dire à qui vous adresser, jamais comment le joindre.⁠​‌​​​​​‌​‌​‌​‌​‌​‌‌‌‌‌​​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​‌‌​​​‌‌​​‌​‌​‌‌​​​​‌​‌‌‌​​‌​​‌‌​‌‌‌​​​‌​‌‌‌‌​‌‌​​​‌‌​‌‌​​‌​‌​‌‌‌​​‌​​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​​‌​‌​​‌​‌‌​‌​‌‌‌​‌‌​​‌‌​​‌​‌​‌‌‌​​‌​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​‌‌‌‌​‌‌​‌‌‌​​‌‌‌‌‌​​​​‌‌​​‌​​​‌‌​​​​​​‌‌​​‌​​​‌‌​‌‌​​​‌​‌‌​‌​​‌‌​​​‌​​‌‌​​​‌​​‌​‌‌​‌​​‌‌​​​​​​‌‌​‌‌‌​‌‌‌‌‌​​​‌‌​​​‌‌​‌‌​​​​‌​​‌‌​‌​​​​‌‌​‌‌​​​‌‌​‌​‌​​‌‌​‌‌‌​​‌‌​​​‌​​‌‌​‌​​​​‌‌​‌​​​‌‌​​​‌‌⁠

Piste, leurre ou décor : un certificat, ligne par ligne

Chaque ligne d’un certificat est soit une piste, un fait que vous portez à l’émetteur ; soit un leurre, un chemin que le certificat vous propose ; soit du décor, un ornement que n’importe qui peut imprimer.⁠​‌​​​​​‌​‌​‌​‌​‌​‌‌‌‌‌​​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​‌‌​​​‌‌​​‌​‌​‌‌​​​​‌​‌‌‌​​‌​​‌‌​‌‌‌​​​‌​‌‌‌‌​‌‌​​​‌‌​‌‌​​‌​‌​‌‌‌​​‌​​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​​‌​‌​​‌​‌‌​‌​‌‌‌​‌‌​​‌‌​​‌​‌​‌‌‌​​‌​​‌‌​‌​​‌​‌‌​​‌‌​​‌‌​‌​​‌​‌‌​​​‌‌​‌‌​​​​‌​‌‌‌​‌​​​‌‌​‌​​‌​‌‌​‌‌‌‌​‌‌​‌‌‌​​‌‌‌‌‌​​​​‌‌​​‌​​​‌‌​​​​​​‌‌​​‌​​​‌‌​‌‌​​​‌​‌‌​‌​​‌‌​​​‌​​‌‌​​​‌​​‌​‌‌​‌​​‌‌​​​​​​‌‌​‌‌‌​‌‌‌‌‌​​​‌‌​​​‌‌​‌‌​​​​‌​​‌‌​‌​​​​‌‌​‌‌​​​‌‌​‌​‌​​‌‌​‌‌‌​​‌‌​​​‌​​‌‌​‌​​​​‌‌​‌​​​‌‌​​​‌‌⁠

Ramenez les pistes à leur source : la vérification de certificat, étape par étape

Pour vérifier l’authenticité d’un certificat, recopiez les pistes sur une fiche comme celle-ci, puis refermez le certificat. Toute la suite se fait sans lui.

Émetteur, nom exact : …
Titulaire, titre obtenu et date : …
Numéro ou identifiant : …
Où j’ai trouvé l’émetteur : …

Voici comment trouver l’émetteur sans l’aide du certificat ; le tableau plus bas indique où se fait la vérification.

• Une université britannique : le guide de GOV.UK sur les établissements habilités à délivrer des diplômes.
• Un établissement américain : DAPIP, la base de données des établissements accrédités du ministère américain de l’Éducation.
• Une université d’un autre pays : le centre ENIC-NARIC de ce pays, c’est-à-dire son centre national d’information sur la reconnaissance des diplômes, s’il en existe un ; ou le site du ministère de l’Éducation lui-même.
• Tout autre organisme certificateur : l’autorité de réglementation, l’organisation professionnelle ou l’employeur qui fixe l’exigence.

1. Le nom de l’émetteur : trouvez-le vous-même

   Passez par ces voies, jamais par un simple résultat de recherche : les imitateurs construisent des sites sosies. Cherchez le nom dans les listes officielles de mise en garde avec notre outil, et collez l’adresse web de l’université dans le détecteur de fausses vérifications.

   Pour l’aide-comptable, c’est vous qui fixez l’exigence : partez de l’organisme professionnel des comptables cité dans votre propre annonce, sur le site que vous aviez trouvé en la rédigeant, et non sur celui qui figure dans son PDF. Si elle ne figure pas dans le registre des membres de cet organisme, ce n’est pas pour autant la preuve d’un faux.

   Si l’émetteur devrait figurer sur une liste officielle et n’y figure pas, considérez le titre comme non confirmé tant que l’organisme officiel n’a pas dit le contraire.

2. Le numéro : uniquement dans la vérification de l’émetteur

   Sur le site de l’émetteur, cherchez comment il vous permet de vérifier un certificat : un registre, un outil de recherche, un service des archives, ou un partenaire vers lequel sa page vous renvoie. Alors seulement, saisissez le numéro.

3. Titulaire, titre et date : demandez à l’émetteur de les confirmer

   Pas de recherche instantanée ? Écrivez à l’émetteur, à une adresse tirée de son propre site, avec le consentement du titulaire (notre formule de consentement pour les employeurs s’adapte facilement).

   « Madame, Monsieur, je vérifie un diplôme dans le cadre [d’un recrutement, d’une location]. [Nom complet, et éventuel nom antérieur], date de naissance : [date], déclare avoir reçu de votre établissement le titre de [intitulé] le [date], sous le numéro [numéro]. Son consentement signé est joint. Vos registres font-ils apparaître ce titre et, si ce n’est pas le cas, qu’est-ce qui diffère ? »

   « Qu’est-ce qui diffère ? » transforme un simple oui ou non en une réponse exploitable.

À chaque certificat sa source

Pour un métier réglementé, le registre l’emporte sur n’importe quel certificat. Et quand il s’agit de vérifier un certificat numérique, une version imprimée ne compte pas : My eQuals et OpenCerts le disent tous les deux.

Piste, leurre ou décor ? Quatre lignes qui trompent leur monde

Pour chacune, décidez de quoi il s’agit avant de l’ouvrir.

L’adresse imprimée après « vérifier sur » est le vrai site de l’émetteur.

Un leurre malgré tout, certes inoffensif : utilisez l’adresse que vous avez trouvée vous-même. Les faussaires misent sur des adresses presque identiques, qu’on confond au premier coup d’œil.

La signature e-mail de l’aide-comptable affiche un badge barré de la mention « vérifié ».

Décor. L’image d’un badge n’est pas le badge : demandez-lui le lien. Ne l’utilisez que si son adresse web correspond à la plateforme indiquée sur le site de l’émetteur lui-même ; en cas de doute, cherchez-la vous-même sur cette plateforme.

Un PDF avec un bandeau « signé numériquement » ou « vérifié par blockchain ».

Décor, tant qu’il n’a pas passé le vérificateur officiel désigné par son émetteur, comme opencerts.io pour les fichiers OpenCerts. Un fichier valide peut être copié : vérifiez donc que le destinataire nommé est bien la personne en face de vous. Et signé ne veut pas dire reconnu.

Une apostille ou un tampon officiel joint au certificat.

Du décor, pour ce qui est du titre. GOV.UK précise que le Legalisation Office, le service britannique de légalisation, vérifie si les signatures, tampons ou sceaux correspondent à ses registres. Il garantit une signature, pas les études qui sont derrière.

Quand l’émetteur répond

Seule la réponse de l’émetteur fait preuve. Tout le reste, c’est le certificat qui parle.

Tout concorde. Vérifiez qu’il s’agit bien de cette personne : les homonymes existent, comme le rappelle le registre du NMC, alors vérifiez aussi que le numéro PIN ou le numéro d’enregistrement correspond.

Aucune trace. Ce n’est pas la preuve d’un faux : les noms changent, et les dossiers anciens dorment dans des archives. Hedd note qu’un résultat « cancelled » (annulé) « does not necessarily mean that the individual does not hold the qualification claimed » (ne signifie pas forcément que la personne n’a pas le diplôme qu’elle déclare).

L’émetteur a fermé ou fusionné ? Demandez au ministère de l’Éducation ou à l’autorité de réglementation quelle organisation détient désormais ses dossiers. Pour les établissements britanniques, la recherche d’établissements de Hedd indique qui les détient, quand on le sait (voir sa FAQ). Pour aller plus loin : si votre université a fermé ou fusionné.

Presque. Imaginons que l’organisme indique que l’aide-comptable a obtenu son titre un an plus tard. Posez-lui la question avec bienveillance : les erreurs de bonne foi arrivent. Mais modifier un certificat authentique et le présenter comme vrai constitue une fraude au regard du droit britannique, avertit le guide de Hedd.

Rien ne concorde. Obtenez la réponse de l’émetteur par écrit avant d’aborder le sujet, et ne laissez jamais l’explication du titulaire l’emporter sur le dossier de l’émetteur.

Conservez le certificat, la réponse écrite et une note de ce que vous avez fait : le guide de Hedd conseille de garder une trace des cas de fraude et des mesures prises. Prévenez ensuite l’émetteur, dont le nom est usurpé, ou l’autorité de réglementation s’il s’agit d’une autorisation d’exercer.

Au Royaume-Uni, signalez une fraude au diplôme à Hedd via sa page de contact ; les autres fraudes se signalent à Report Fraud (Angleterre, pays de Galles, Irlande du Nord) ou à Police Scotland, comme l’explique le NCSC, le centre britannique de cybersécurité. Notre guide pour les employeurs indique ce qu’il faut faire si vous découvrez un faux.

Pas de consentement ? Le titre reste alors non vérifié.

Et l’aide-comptable ? Imaginons que le registre de son organisme professionnel affiche son nom et son numéro, et que son badge s’ouvre sur la plateforme indiquée par le site de cet organisme. Vous n’avez jamais eu besoin du code QR.

Sources

• Hedd et Prospects : guide sur la fraude au diplôme pour les employeurs (édition précédente) : le site clone, les certificats modifiés, la conservation des traces
• Hedd : le service officiel britannique de vérification des diplômes ; FAQ : résultats « cancelled », établissements fermés ou fusionnés ; recherche d’établissements ; page de contact : signaler de faux établissements et des fraudes au diplôme
• GOV.UK : vérifier si votre université ou votre établissement peut délivrer un diplôme
• Ministère américain de l’Éducation : DAPIP
• Réseaux ENIC-NARIC : centres nationaux d’information des pays membres
• National Student Clearinghouse : vérification en ligne
• My eQuals : FAQ pour les vérificateurs
• OpenCerts : FAQ
• Nursing and Midwifery Council : consulter le registre
• Solicitors Regulation Authority : registre des solicitors
• IELTS : vérifier des résultats IELTS
• ACFE : badge numérique CFE
• GOV.UK : faire légaliser un document
• NCSC : signaler un site frauduleux : Report Fraud et Police Scotland

#VérificationDeCertificat #VérificationDeDiplôme #CertificatsNumériques #FauxCertificats #Recrutement