FR 3156555 A1 20250613 FR 2313788 A 20231207 PROCEDE D’ENREGISTREMENT RENFORCE D’UN FI CHIER NUMERIQUE ASSOCIE A DES DONNEES INTERNATIONALES La présente invention concerne un procédé d’enregistrement d’un fichier numérique (FI), - selon une méthode par chaîne de blocs de type privée avec une preuve d’autorité, - un premier terminal (SSC) étant équipé d’un dispositif d’acquisition (CAPD) d’une donnée de surveillance (DS) du terminal (SSC), - l’enregistrement du fichier numérique (FI) sur une chaîne de blocs se faisant sous forme d’une capsule de preuves (CP) comprenant : - le fichier (FI), - une donnée de surveillance (DS) acquise par le dispositif d’acquisition (CAPD) lors de l’enregistrement du fichier (FI) sur le premier terminal (SSC), caractérisé en ce que la capsule de preuves (CP) comprend des données internationales (DI) émises depuis un espace international, en dehors des frontières de tout Etat. Figure de l’abrégé : Fig. 3 TITRE DE L’INVENTION PROCEDE D’ENREGISTREMENT RENFORCE D’UN FICHIER NUMERIQUE ASSOCIE A DES DONNEES INTERNATIONALES DOMAINE DE L’INVENTION L’invention se rapporte au domaine technique du stockage informatisé de fichiers numériques et en particulier aux méthodes d’enregistrement mettant en œuvre des méthodes de chaîne de blocs. ÉTAT DE LA TECHNIQUE Dans le domaine juridique, des fichiers numériques peuvent être invoqués en tant que preuves, par exemple pour attester qu’un contrat a bel et bien été signé par les parties. Une photographie numérique peut aussi aider à prouver qu’un événement a bel et bien eu lieu à une date donnée et dans un lieu donné, car le fichier numérique de la photographie comprend des métadonnées où figurent par exemple un horodatage de la prise de vue, ou la géolocalisation de la prise de vue. Toutefois, les technologies informatiques permettent de modifier des fichiers numériques, de sorte que ces fichiers numériques sont facilement contestables et sont difficilement acceptés en tant que preuve, car leur force probante n’est pas suffisante. Ils sont seulement considérés comme des commencements de preuves. Il existe des terminaux sécurisés dans lesquels une surveillance matérielle du terminal est effectuée, par exemple au moyen de capteurs disposés sur le terminal. Néanmoins, c’est le serveur en tant que tel qui est surveillé, pas les données qui y sont enregistrées. Certains tribunaux refusent donc de considérer les fichiers issus de ce serveur comme probants, car ils considèrent que les fichiers peuvent avoir été falsifiés : - en amont de leur stockage sur le serveur, et ce même si l’enregistrement est réalisé par des méthodes de chaines de blocs, ou encore - entre le moment où le fichier est téléchargé depuis le serveur, et le moment de sa production au tribunal. Au surplus, lorsque le serveur d’enregistrement du fichier est localisé dans un autre pays ou un autre Etat que celui où le litige est instruit, la juridiction particulière de l’Etat où le litige est instruit peut rendre extrêmement compliqué de faire accepter ledit fichier comme preuve suffisante : des conditions de territorialités, de génération du fichier et de localisation du stockage des données peuvent être prépondérantes. Cette situation peut notamment se produire en cas de piratage d’un ou plusieurs serveurs localisés dans un pays où se déroule un litige : une preuve numérique devant être produite devant le tribunal où se tient le litige doit être fournie par un autre serveur, localisé dans un pays tiers. Il existe enfin des méthodes d’enregistrement d’un fichier numérique par méthode de chaîne de blocs, dans lesquelles le fichier est partagé en tessons dont le volume de données est défini par le volume de données d’un bloc de la chaîne, selon la méthode de chaîne utilisée. Les tessons sont ensuite enregistrés dans différents blocs. Cependant, ces méthodes emploient des chaînes de blocs publiques, décentralisées, pour lesquelles la localisation des serveurs, ou ordinateurs, est aléatoire et donc non maîtrisée. La captation des éléments à produire en preuves peut être réalisée dans un premier pays, mais les éléments peuvent être nécessaire en tant que preuve dans une juridiction d’un autre pays. Par conséquent, un fichier numérique stocké de cette manière peut ne pas être recevable devant la juridiction d’un territoire donné. De plus, la méthode de chaîne de bloc employée peut être illicite dans certains Pays, selon la mise en œuvre ou non du minage en tant qu’algorithme de preuve d’autorité. RÉSUMÉ L’un des buts de l’invention est de pallier les inconvénients de l’art antérieur en proposant un procédé d’enregistrement d’un fichier numérique garantissant son authenticité, c’est-à-dire garantissant le fait que ce fichier n’ait pas été falsifié. Un autre but de l’invention est de pouvoir fournir des fichiers numériques probants, qui puissent être utilisés en tant que preuves d’un point de vue juridique et ce y compris dans un contexte international. À cet effet, il a été mis au point un procédé d’enregistrement d’un fichier numérique, - selon une méthode par chaîne de blocs de type privée, - un premier terminal étant équipé d’un dispositif d’acquisition d’une donnée de surveillance du terminal, - l’enregistrement du fichier numérique sur une chaîne de blocs se faisant sous forme d’une capsule de preuves comprenant : - le fichier, - une donnée de surveillance acquise par le dispositif d’acquisition lors de l’enregistrement du fichier sur le premier terminal. Selon l’invention, la capsule de preuves comprend des données internationales émises par un validateur de la méthode par chaîne de blocs, depuis un espace international, en dehors des frontières de tout Etat. De cette manière, l’authenticité du fichier numérique est assurée par l’association du fichier et de la donnée de surveillance au sein de la même chaîne de blocs, ce qui confère la force probante attendue : en effet, il n’est pas possible de modifier ou de falsifier le fichier numérique et ses données de surveillance sans que cela ne soit détectable, car les empreintes numériques des blocs suivants de la chaîne ne correspondraient plus à celle du bloc comprenant une donnée modifiée. La falsification des fichiers enregistrés avec le procédé selon l’invention n’étant pas possible, « la balance des probabilités » utilisée par la majorité des tribunaux ou juridictions permet donc d’utiliser ces fichiers en tant que preuves. Au surplus, la capsule de preuve comprenant des données émises par le validateur depuis un espace international, sa force probante ne dépend plus seulement d’Etats soumis à une juridiction particulière, mais comprend des éléments extraterritoriaux échappant aux considérations géopolitiques, ce qui évite un doute d’interventionnisme, tant technologique que juridique. Quand bien même le fichier numérique est acquis au sein d’un premier Etat, soumises à une réglementation, la capsule de preuve comprend des données provenant d'un territoire neutre. Par « fichier numérique », on fait référence au fichier numérique en tant que tel, ou à son empreinte numérique (« hash » en anglais). En effet, des fichiers moins volumineux peuvent être stockés directement au sein de la chaîne de bloc. En revanche, des fichiers plus volumineux peuvent ralentir les transferts et les copies de la chaîne de bloc car le volume de stockage de cette dernière va augmenter trop rapidement, au fur et à mesure de l’enregistrement de nouvelles capsules de preuve. Il est envisageable d’enregistrer sur la chaîne soit un fichier, soit son empreinte, en fonction d’un test sur le volume du fichier à stocker. Par exemple : - on stocke le fichier s’il pèse moins de 512Ko, ou alors - on stocke l’empreinte numérique si le fichier pèse plus de 512Ko. Il est également envisageable de partager un fichier numérique en plusieurs tessons, chaque tesson étant stocké dans un bloc de la chaîne. Dans la suite du document, on décrit le « fichier numérique », qu’il s’agisse du fichier en tant que tel ou bien de son empreinte numérique. Par donnée de surveillance, on entend tout type de donnée relative au terminal (telle qu’un numéro de série ou une adresse MAC), ou à son environnement (telle que les conditions environnementales), ou à son utilisation (telle que l’horodatage de l’enregistrement ou une identification de son utilisateur, par exemple une empreinte biométrique). Les données internationales peuvent être de différentes natures : - Il peut s’agir de données de géolocalisation, permettant d’attester que la capsule de preuve a été constituée en zone internationale. Ce cas est notamment adapté aux modes de réalisation dans lesquels la capsule de preuve est stockée sur un serveur localisé en zone internationale, dit « serveur international ». - Il peut également s’agir d’une réplication de données stockées dans le serveur international, permettant d’attester que la capsule de preuve n’a pu être constituée qu’avec la coopération de matériel non-soumis à une juridiction nationale. Ce cas est notamment adapté aux modes de réalisation dans lesquels la capsule de preuve est stockée sur un serveur localisé dans un Etat, dit « serveur national ». Il est entendu qu’une capsule comprend au moins un fichier numérique, mais peut également en contenir plusieurs. Il peut s’agir par exemple des photographies de chacune des pages d’un contrat ou de fichiers de nature différentes comme des photographies, des vidéos, et une base de données sous forme de bits ou de qubits. La méthode mise en œuvre pour l’invention est du type à algorithme de preuve d’autorité privé, de sorte que l’inscription de nouveaux blocs ne nécessite pas de minage, mais que l’inscription de nouveaux blocs ne peut être faite que sur des terminaux agréés et contrôlés par la preuve d’autorité en interaction avec leur environnment. Ainsi, avec la méthode de preuve d’autorité, la confiance au regard des fichiers de preuves déposés repose sur un système fondé sur une vérification en amont de l’identité des terminaux. De manière générale, de telles méthodes de chaînes de bloc sont connues en soi et ne seront pas plus détaillées. A l’inverse d’une méthode de chaîne de bloc publique, le procédé selon l’invention ne nécessite pas l’intervention d’un nombre important de nœuds, ni de plusieurs réplications de la chaîne de blocs afin de prouver son authenticité : celle-ci repose sur l’intégrité de la preuve d’autorité privée : - Cela permet entre autres une économie substantielle de l’espace de stockage nécessaire, car la chaîne de blocs n’est pas dupliquée inutilement sur un trop grand nombre de serveurs. - En outre, puisque les nouveaux blocs et les transactions sont vérifiés par des terminaux préapprouvés, le modèle de preuve d'autorité repose sur un nombre limité de validateurs de blocs : le système selon l’invention peut facilement être déployé à grande échelle. Dans un mode de réalisation particulier : - le validateur localisé dans un espace international émet soit un bloc d’ouverture comprenant des données internationales, soit un bloc de fermeture comprenant des données internationales, soit un bloc d’ouverture et un bloc de fermeture comprenant chacun des données internationales ; - le premier terminal, dit « serveur national », est localisé au sein d’un Etat, et - la capsule de preuves comprend le bloc d’ouverture et/ou le bloc de fermeture. De cette manière, le serveur international peut être le validateur, et le premier terminal peut être localisé dans un Etat. Le serveur international n’a pas besoin de stocker l’intégralité de la chaîne de blocs comprenant les capsules de preuve. Son besoin de capacité de stockage est réduit. La force probante des capsules de preuves est néanmoins conservée, puisque chaque capsule comprend des données émises par le validateur. Par « bloc d’ouverture », on entend un bloc de la chaîne permettant de définir le début d’une nouvelle capsule de preuves. Il ne s’agit pas d’un « bloc de genèse », correspondant au premier bloc d’une chaîne, selon le sens communément utilisé dans ce domaine. Avantageusement, le validateur comprend une mémoire de stockage configurée pour enregistrer le bloc d’ouverture et/ou de fermeture sur une chaine de blocs supérieure, et le validateur est configuré pour émettre un jeton de preuve d’autorité comprenant le bloc d’ouverture et/ou de fermeture. Ainsi : - l’enregistrement des blocs d’ouverture et de fermeture est sécurisé ; - l’émission d’un jeton de preuve d’autorité permet de garantir l’authenticité d’une capsule de preuve stockée au sein d’un Etat, par comparaison entre : - les données du bloc d’ouverture contenues dans le jeton de preuve d’autorité, avec - les données du bloc d’ouverture contenues dans la capsule de preuve. Si les données sont identiques, alors l’authenticité de la capsule de preuve, ainsi que l’intégrité de la méthode de chaîne de blocs privée, sont garanties. Le même fonctionnement s’applique au bloc de fermeture. Afin d’augmenter la force probante de la méthode privée par chaîne de blocs, le validateur comprend un dispositif d’acquisition d’une donnée de surveillance du validateur, et le bloc d’ouverture et/ou de fermeture comprend la donnée de surveillance du validateur. De cette manière, le faisceau d’indices, attestant de l’authenticité de la capsule de preuve et surtout, le cas échéant, du jeton de preuve d’autorité, est renforcé. Dans un mode de réalisation adapté aux cas d’usages nomades : - un second terminal acquiert le fichier et une donnée de surveillance supplémentaire, puis - le second terminal transmet le fichier et la donnée de surveillance supplémentaire au premier terminal, et - le premier terminal enregistre le fichier et la donnée de surveillance supplémentaire sous forme d’une capsule de preuve comprenant le fichier, la donnée de surveillance supplémentaire du second terminal et la donnée de surveillance du premier terminal. Ainsi, l’acquisition des fichiers peut être effectuée sur plusieurs sites, et l’enregistrement est centralisé, ce qui facilite sa protection et la surveillance de son intégrité, par rapport à une multitude de seconds terminaux. Le second terminal est de préférence un terminal mobile. Afin de garantir que les données ne sont pas falsifiées avant d’être enregistrées sur le premier terminal, la capsule de preuves peut être enregistrée sur une chaîne de blocs distante sur le second terminal, avant d’être transmise au premier terminal qui l’enregistre dans une chaine de blocs locale. L’enregistrement sur une chaîne de bloc dès l’acquisition du fichier empêche les opérations de falsification, et ce dès son acquisition. Puisque la méthode de chaîne de blocs est privée, il est possible de générer plusieurs chaînes de blocs distantes, en parallèle, pour plusieurs seconds terminaux. L’authenticité de chaque chaîne est garantie par l’intégrité de la preuve d’autorité. La chaîne de bloc distante peut donc être constituée et évoluer de manière complémentaire à la chaîne de bloc locale. Toujours dans un but de sécurisation, la capsule de preuves peut comprendre un bloc d’ouverture et/ou un bloc de fermeture chacun émis par le premier terminal, qui sont intégrés dans la capsule lors de son enregistrement sur le second terminal, et qui bornent le fichier et la donnée de surveillance supplémentaire. De cette manière, la capsule de preuves ne peut pas être enregistrée sur le second terminal sans que le premier terminal ne l’ait autorisé, en émettant un bloc d’ouverture et/ou un bloc de fermeture. L’utilisation du bloc d’ouverture et du bloc de fermeture permet également au premier terminal de surveiller l’état du second terminal. Il est par exemple possible de détecter si un second terminal n’a pas été synchronisé depuis trop longtemps. La chaîne de bloc locale et la chaîne de bloc distante évoluent chacune en parallèle, mais mêler les données de la chaîne de bloc locale avec celles de la chaîne de bloc distante permet de renforcer la sécurisation de l’ensemble. De manière à renforcer la recevabilité du fichier numérique auprès des juridictions de plusieurs Etats, ou pays, la capsule de preuves est transmise simultanément depuis le second terminal vers le premier terminal ainsi que vers plusieurs terminaux auxiliaires situés sur plusieurs juridictions. Les terminaux auxiliaires sont semblables au premier terminal et fonctionnent de manière équivalente. Le terme « terminal auxiliaire » n’est utilisé qu’afin de différencier ces terminaux supplémentaires du premier terminal, mais en pratique le premier terminal et les terminaux auxiliaires sont équivalents. Ils fonctionnent de préférence en parallèle, sans hiérarchie maître/esclave. Dans le cas où le procédé met en œuvre des terminaux auxiliaires, la capsule de preuves comprend en outre des blocs d’ouverture et/ou des blocs de fermeture, chacun émis par les terminaux auxiliaires. La capsule de preuves ne peut pas être générée sans que ne soit impliqué le terminal présent sur chacune des juridictions concernées. La force probante est encore augmentée car la quantité de données comprise dans la chaîne de blocs de la capsule est augmentée. Une falsification de la capsule impliquerait une intervention sur chacun des terminaux, ce qui n’est pas réalisable en pratique. De plus, la capsule de preuves étant considérée comme originaire du Pays où elle est enregistrée, elle est considérée comme directement recevable auprès de chacune des juridictions où se trouve un desdits terminaux sans qu’il ne soit nécessaire de mettre en œuvre des traités multilatéraux tel que la convention de la Haye du 18 mars 1970. Pour faciliter la communication de la capsule de preuves à un tiers, par exemple à un juge, ou encore un assureur, chaque terminal est configuré pour émettre un jeton correspondant à la capsule de preuves, c’est-à-dire un fichier numérique unique correspondant à ladite capsule. Avantageusement, l’émission d’un jeton est inscrite dans la chaine de blocs. De préférence, chaque jeton est unique et non fongible. Pour les mêmes raisons de volume de stockage évoquées plus haut : - le jeton peut comprendre la capsule de preuves si son volume est limité, ou - le jeton peut comprendre des données d’identification permettant d’attester sa correspondance avec la capsule de preuves stockée sur un serveur, si le volume de la capsule de preuves est trop important. De préférence, le validateur est localisé dans un lieu le plus difficile d’accès possible, pour prévenir toute attaque physique. Un moyen efficace de prévenir une attaque matérielle ou un accès physique sur le validateur est de le disposer dans un satellite en orbite terrestre. Le même principe s’applique au serveur international. Dans le cas où le validateur est placé dans un satellite, une communication entre le validateur et le premier terminal est avantageusement du type des communications optiques en espace libre. Ainsi, il n’est pas possible d’intercepter le faisceau lumineux sans que cette attaque ne soit détectée. Ce mode de communication est donc plus sécurisé qu’une communication par radio par exemple. Avantageusement, le fichier et la donnée de surveillance sont effacés d’une mémoire du second terminal après avoir été transmis au premier terminal. Cela permet de garantir la protection de données sensibles, telles que des données personnelles, au cas où le second terminal serait volé. Cela permet également de gérer la saturation de la mémoire de stockage du second terminal. Pour vérifier la bonne intégrité des terminaux, la donnée de surveillance acquise peut être comparée à une donnée de surveillance attendue, et une différence entre la donnée de surveillance acquise et la donnée de surveillance attendue déclenche une alerte auprès d’une preuve d’autorité de la chaîne de blocs. L’invention concerne également un système comprenant : - un validateur localisé dans un espace international et configuré pour transmettre des données internationales à un premier terminal, - le premier terminal comprenant : - des moyens de réception de données de preuves, tel qu’un capteur photo ou une carte réseau ; - des moyens d’acquisition de données de surveillance, tel qu’un capteur GPS ; - des moyens de stockage de données, tel qu’un disque dur ou une carte SD ; - un programme d’ordinateur programmé pour enregistrer une chaine de blocs sur les moyens de stockage, et pour mettre en œuvre un procédé selon les caractéristiques précitées. L’invention concerne enfin un jeton numérique issu d’un terminal de stockage d’un fichier numérique, le fichier étant stocké selon une méthode par chaîne de blocs, et le jeton comprenant une capsule de preuves comprenant elle-même : - le fichier numérique ; - une donnée de surveillance acquise lors du l’enregistrement du fichier ; - une donnée internationale émise depuis l’espace international. Un tel jeton permet de garantir que le fichier contenu n’a pas été falsifié depuis son acquisition. FIG. 1 est un schéma illustrant un premier mode de réalisation dans lequel un validateur est dans une zone internationale, et un premier terminal est localisé au sien d’un Etat. FIG. 2 est un schéma illustrant un second mode de réalisation, dans lequel le premier terminal est dans une zone internationale et remplit la fonction de validateur, et le fichier numérique est acquis par un second terminal. FIG. 3 est un schéma illustrant un troisième mode de réalisation, dans lequel le validateur est localisé en zone internationale, échange des données avec le premier terminal localisé en zone nationale, et le premier terminal échange des données avec un second terminal configuré pour acquérir le fichier numérique. FIG. 4 est un schéma illustrant un quatrième mode de réalisation, alternatif au troisième mode de réalisation, dans lequel le validateur communique avec le second terminal, et le second terminal communique avec le premier terminal. FIG. 5 est un schéma simplifié illustrant un cinquième mode de réalisation qui est une variante du troisième mode de réalisation mettant en œuvre plusieurs validateurs et plusieurs terminaux. DESCRIPTION DÉTAILLÉE En référence à la FIG. 1 , le procédé selon l’invention consiste essentiellement à enregistrer sur une mémoire (DQ) d’un premier terminal (SSC), et au sein d’une même chaîne de blocs locale (BU), un fichier numérique (FI) associé à une donnée de surveillance (DS) ainsi qu’à des données internationales (DI). Plusieurs données de surveillance (DS) peuvent être utilisées afin de constituer un faisceau d’indice. Plus le faisceau d’indice est complet, plus la force probante d’une capsule de preuve (CP) contenant le fichier numérique (FI) est renforcée. La donnée de surveillance (DS) peut donc comprendre, de manière non limitative : - une adresse MAC du premier terminal (SSC), permettant de rendre détectable la génération d’un fichier falsifié depuis un autre terminal ; -une géolocalisation du premier terminal (SSC) ; - la lecture d’un capteur d’empreinte d’un second terminal (APP), permettant d’attester qui était l’utilisateur du second terminal (APP) lors de l’acquisition du fichier (FI) - ou encore une combinaison de plusieurs données. La méthode par chaîne de blocs étant de type privé, chaque terminal ou serveur intervenant dans la méthode a été approuvé par la preuve d’autorité de la méthode, et est un soi un « validateur » de la méthode par chaîne de blocs mise en œuvre, selon la terminologie employée dans le domaine technique considéré. Néanmoins, les données internationales (DI) sont de préférences émises par un validateur de rang supérieur (POA), spécifiquement dédié : - à l’émission de données internationales (DI), - à l’administration et aux autorisations d’écritures conférées aux autres validateurs de la méthode par chaîne de blocs. Dans la suite du document, le terme « validateur » ne fera référence qu’au validateur de rang supérieur (POA). Les données internationales (DI) peuvent être de différents types : - il peut s’agir de données dont le caractère international est intrinsèque, comme des données de la géolocalisation du validateur (POA) au moment de l’émissions des données internationales (DI) : la simple lecture des données de géolocalisation suffit à attester que les données internationales (DI) ont été émises depuis un lieu situé en dehors de frontières de tout Etat. - il peut s’agir de données dont le caractère international est extrinsèque, comme un identifiant matériel du validateur (POA), tel que son adresse MAC : dans ce cas, c’est la comparaison entre les données internationales (DI) comprises dans une capsule de preuve (CP) et l’identifiant du validateur (POA) qui permet d’attester le caractère international des données internationales (DI). Une manière de procéder à la comparaison peut comprendre les étapes suivantes : - le validateur (POA) génère un sceau international (SI), de préférence unique ; - le validateur (POA) stocke le sceau international (SI) au sein d’une chaîne de blocs supérieure (MB) du validateur (POA) ; - la donnée internationale (DI) comprend une empreinte du sceau international (SI) ou encore un cryptage du sceau international (SI), que le validateur (POA) génère et transmet au premier terminal (SSC). Lors de la production d’une capsule de preuve (CP) devant une juridiction, la force probante ainsi que le caractère international de la capsule de preuve (CP) peuvent être prouvés en renvoyant au validateur (POA) la donnée internationale (DI) : le validateur (POA), détenteur de la clé ayant permis de générer la donnée internationale (DI) à partir du sceau international (SI), tente de décoder la donnée internationale (DI) qui lui est soumise : - si le décodage fonctionne, ou encore si le décodage de la donnée internationale (DI) correspond au sceau international (SI) stocké dans la chaîne de blocs supérieure (MB), alors la capsule de preuve (CP) est authentique, et son caractère international est avéré. - si le décodage échoue, ou si les données décodées ne sont pas lisibles, ou si le décodage de la donnée internationale (DI) ne correspond pas au sceau international (SI), alors la capsule de preuve (CP) n’est pas authentique et provient d’une tentative de falsification. Cette falsification est néanmoins détectée sans difficultés. Cette méthode de comparaison permet donc de faire intervenir le validateur (POA) international lors de la production de la capsule de preuve (CP). Cette intervention supplémentaire du validateur (POA) rajoute un niveau de vérification permettant de renforcer la force probante de la capsule de preuve (CP), et permet encore d’échapper aux difficultés que pourrait soulever la juridiction particulière d’un Etat. La géolocalisation du validateur (POA) peut être obtenue par des moyens connus, tels qu’un géo-positionnement par satellite « GPS », ou encore des paramètres orbitaux à deux lignes (« TLE » selon l’anglais « Two-Line Elements »). La présence de données internationales (DI) émises par le validateur (POA) de la méthode par chaine de blocs, au sein de chaque capsule de preuves (CP), permet de ne faire dépendre la preuve d’autorité d’aucun Etat. De cette manière, chaque capsule de preuve (CP) est recevable auprès d’une institution devant laquelle elle est produite, quel que soit l’Etat où se trouve cette institution. Le premier terminal (SSC) est apte, au moyen du programme qu’il exécute, à émettre des jetons de preuve (NFP) comprenant la capsule de preuves (CP). Le jeton de preuve (NFP) comprend également des données additionnelles (DAdd), ajoutées lors de l’émission du jeton de preuves (NFP). Les données additionnelles (DAdd) peuvent être par exemple un horodatage de l’émission du jeton, un identifiant de la session utilisateur ayant ordonnée l’émission du jeton de preuve (NFP), etc. L’ajout de données additionnelles (DAdd) répond au même besoin de renforcer la force probante, en rajoutant des éléments dans le faisceau d’indices. Plusieurs jetons de preuve (NFP) de la même capsule (CP) peuvent être émis, mais il s’agit à chaque fois d’une copie, et chaque jeton de preuve (NFP) est non fongible car il comprend des données additionnelles (DAdd) qui lui sont propres. Les jetons de preuve (NFP) sont néanmoins transmissibles. La capsule de preuve (CP) est ainsi évolutive : chaque transaction effectuée, par exemple le transfert de la capsule de preuve (CP) d’un terminal (APP, SSC) à un autre est enregistrée, et est traçable au moyen de ces données additionnelles (DAdd). Lorsqu’un jeton de preuve (NFP) est émis, on peut donc remonter toute la chaîne de bloc contenue dans le jeton de preuve (NFP) et savoir sur quel terminal (APP, SSC) la capsule (CP) a été acquise, stockée, à quel moment a eu lieu chaque transaction. La FIG. 1 illustre également un mode de réalisation dans lequel le validateur (POA) émet un bloc d’ouverture (Op) et un bloc de fermeture (Cl), inclus dans l’enregistrement de la capsule de preuve (CP) sur le premier terminal (SSC). Dans ce mode, le bloc d’ouverture (Op) et le bloc de fermeture (Cl) comprennent les données internationales (DI). L’intrication des blocs générés par le validateur (POA) et par le serveur (SSC) protège le fichier (FI) d’une falsification. Par « bloc d’ouverture », on entend un bloc de la chaîne permettant de définir le début d’une nouvelle capsule de preuves (CP). Il ne s’agit pas d’un « bloc de genèse », correspondant au premier bloc d’une chaîne selon le sens communément utilisé dans ce domaine. Il en est de même pour le « bloc de fermeture ». Le bloc d’ouverture (Op) et le bloc de fermeture (Cl) peuvent être des blocs complets de la chaîne de blocs locale (BU). En alternative, l’intrication de la chaîne de blocs supérieure (MB) et de la chaîne de blocs locale (BU) peut être obtenue par l’échange d’empreinte numériques seulement (hash en anglais), afin de limiter le volume de données échangées. Dans la suite du document, les termes « bloc d’ouverture » et « bloc de fermeture » couvrent ces deux modes de réalisation. Afin de parfaire la sécurisation de la méthode, les blocs d’ouverture (Op) et les blocs de fermeture (Cl) comprennent des données cryptées dont la sécurité est renforcée par une méthode dite de « salage », c’est-à-dire que des données sont rajoutées au bloc avant hachage, évitant ainsi le risque d’attaques. Avantageusement, le salage est dynamique, les données ajoutées étant générées par une méthode mathématique (données pseudo-aléatoires), ou préférentiellement les données ajoutées sont générées par un ordinateur quantique (données aléatoires). De préférence, le bloc d’ouverture (Op) est un bloc comprenant : - des données cryptées et uniques, permettant d’identifier le bloc d’ouverture (Op), - des données internationales (DI), - des données de surveillances (DS) acquises par un capteur (CAPD) du validateur (POA) lors de l’émission du bloc d’ouverture (Op), afin de constituer un faisceau d’indices attestant que le bloc d’ouverture (Op) est probant. Il est rappelé que le bloc d’ouverture (Op) et le bloc de fermeture (Cl) présentent un fonctionnement similaire, et que les caractéristiques techniques détaillées pour le bloc d’ouverture (Op) s’appliquent également au bloc de fermeture (Cl). Le bloc d’ouverture (Op) et le bloc de fermeture (Cl) sont également enregistrés sur la chaine de blocs supérieure (MB) du validateur (POA), lors de leur émission. Cela permet d’en conserver une trace, notamment si les données internationales sont extrinsèques, et qu’il est nécessaire de comparer les données internationales (DI) contenues dans une capsule de preuve (CP) avec des données internationales (DI) contenues dans une mémoire (DQ) du validateur (POA). Afin de pouvoir procéder à la comparaison des données internationales (DI) stockées dans le validateur (POA) avec celles contenues dans la capsule de preuves (CP), le validateur (POA) est programmé pour émettre un jeton d’autorité (PT) comprenant les données internationales (DI). Le jeton d’autorité (PT) est émis d’une manière similaire au jeton de preuve (NFP) et est donc crypté. Lors de l’émission d’un tel jeton d’autorité (PT), des données additionnelles (DAdd) sont rajoutées à sa chaîne, de sorte que chaque jeton d’autorité (PT) est non fongible, et probant. Le validateur (POA) est de préférence disposé au sein d’un satellite, placé en orbite autour de la Terre. Cette solution permet de sécuriser le validateur (POA) contre une attaque physique ou matérielle, du fait de son inaccessibilité. La communication entre le validateur (POA) et le premier terminal (SSC) comprend de préférence des communications du type optiques en espace libre, par exemple par laser. Ce type de communication évite qu’un tiers puisse intercepter le signal de la communication, sans que la preuve d’autorité de la méthode ne puisse le détecter. La validateur (POA) peut également être disposé dans des eaux internationales, que ce soit : - en surface, par exemple sur un navire stationnaire, ou - en sous-marin, par exemple dans un serveur immergé et disposé sur le fond marin. Le premier terminal (SSC) est équipé de moyens d’acquisition de la donnée de surveillance (CAPD), par exemple tout capteur ou tout moyen de lecture adapté. Le premier terminal (SSC) est également équipé de moyens d’acquisition du fichier (CAPF), par exemple un capteur photographique, ou encore un moyen de communication lui permettant de recevoir le fichier numérique (FI) émis par un autre terminal. Bien entendu, le premier terminal (SSC) comprend une mémoire de stockage réinscriptible (DQ) pour enregistrer le fichier numérique (FI) ainsi que la donnée de surveillance (DS), et exécute un programme d’ordinateur, programmé pour effectuer les acquisitions, les enregistrements et les étapes du procédé décrits. Le programme d’ordinateur peut comprendre des sous-programmes ou exécuter des applications tierces, par exemple pour piloter le capteur (CAPF) du fichier (FI) ou le capteur (CAPD) des données de surveillance (DS). En référence à la FIG. 2 , la capsule de preuve (CP) en tant que telle peut être enregistrée au sein d’un serveur (SSC) disposé dans une zone internationale. Dans ce cas : - le premier terminal (SSC) joue le rôle de validateur (POA), - le fichier numérique (FI) et la donnée de surveillance (DS) associée sont acquis par un second terminal (APP), - le second terminal (APP) transmet le fichier numérique (FI) et la donnée de surveillance (DS) acquis au premier terminal (SSC), - lors de l’enregistrement du fichier numérique (FI) et de la donnée de surveillance (DS), le premier terminal (SSC) émet des données internationales (DI) afin qu’elles soient intégrées au sein de la capsule de preuve (CP). Le second terminal (APP) est semblable au premier terminal (SSC) en ce qu’il comprend des moyens d’acquisition du fichier numérique (CAPF), des moyens d’acquisition des données de surveillance (CAPF), une mémoire de stockage réinscriptible (DQ), et qu’il exécute un programme d’ordinateur programmé pour mettre en œuvre les étapes décrites. Afin de simplifier les explications suivantes, le premier terminal (SSC) sera désigné sous le terme de « serveur », et le second terminal (APP) sous le terme « d’appareil ». En effet, bien que le premier terminal (SSC) et le second terminal (APP) puissent être de tout type adapté, un mode préféré est d’utiliser un serveur (SSC) auquel sont connectés plusieurs appareils (APP) nomades, de type téléphone intelligent, la connexion entre l’appareil (APP) et le serveur (SSC) se faisant de préférence par le réseau Internet et/ou par réseau de téléphonie mobile. De préférence, l’appareil (APP) est également apte à émettre des jetons de preuve (NFP). L’utilisation d’un appareil (APP) permet d’acquérir les fichiers (FI) de manière déportée, éventuellement au moyen de plusieurs appareils (APP), mais de les enregistrer de manière centralisée sur le serveur (SSC). Sur le mode illustré à la FIG. 2 , l’appareil (APP) n’enregistre pas le fichier (FI) et la donnée de surveillance (DS) sous forme de chaine de bloc et les transmet directement au serveur (SSC). En alternative non représentée, l’appareil (APP) enregistre le fichier (FI) et la donnée de surveillance (DS) sur une chaine de bloc distante (MBL), dans une mémoire de l’appareil (APP). Dans le mode de la FIG. 2 , la capsule de preuves (CP) est donc générée directement sur l’appareil (APP), et le fichier (FI) et la donnée de surveillance (DS) sont transmis au serveur (SSC) sous forme d’une capsule de preuves (CP). Ce mode permet de garantir que le fichier (FI), dès son acquisition sur l’appareil (APP), n’est pas falsifié sans que cela ne soit détectable par l’analyse de la chaîne de blocs de la capsule (CP). Lorsque la capsule (CP) est transmise au serveur (SSC), celui-ci l’enregistre sur sa chaîne de blocs locale (BU). Ce mode de réalisation permet que l’intégralité des capsules de preuves (CP) soient stockées au sein d’une zone internationale. Il n’y a pas de serveurs qui soient localisés au sein d’un Etat. En référence à la FIG. 3 , un mode de réalisation de l’invention comprend : - un validateur (POA) placé dans un espace international ; - un serveur (SSC) disposé au sein d’un Etat, et recevant les données internationales (DI) émises par le validateur (POA), de préférence sous forme de blocs d’ouverture (Op_POA) et de fermeture (Cl_POA) ; - un appareil (APP) configuré pour acquérir le fichier numérique (FI) et la donnée de surveillance (DS). Dans ce mode : - Le validateur (POA) émet le bloc d’ouverture (Op_POA), et l’enregistre au sein d’une chaîne de blocs supérieure (MB), puis - le premier serveur (SSC) : - intègre le bloc d’ouverture (Op-POA) du validateur (POA) au sein d’une chaîne de blocs locale (BU) ; puis - émet lui-même ses propres blocs d’ouverture (Op_SSC) et de fermeture (Cl_SSC), à destination de l’appareil (APP). Ainsi, lorsque l’appareil (APP) inscrit une capsule de preuve (CP) sur une chaîne de blocs distante (MBL), la capsule de preuves (CP) comprend : - le bloc d’ouverture (Op_POA) du validateur (POA), et qui intègre des données internationales (DI), - le bloc d’ouverture (Op_SSC) du serveur (SSC), - le fichier numérique (FI), - les données de surveillances (DS) acquises lors de l’enregistrement du fichier numérique (FI), - le bloc de fermeture (Cl_SSC) du serveur (SSC). L’appareil (APP) peut ensuite transmettre la capsule de preuve (CP) au serveur (SSC). Lors de cette transmission, des données additionnelles (DAdd) sont rajoutées à la capsule de preuve (CP). Lorsque le serveur (SSC) inscrit la capsule de preuves (CP) sur la chaîne de blocs locale (BU), la capsule de preuves (CP) comprend : - les données précitées ; - des données additionnelles (DAdd) rajoutées lors de l’émission de la capsule de preuves (CP) par l’appareil (APP) à destination du serveur (SSC) ; - préférentiellement, des données de surveillance (DS) acquises par le serveur (SSC) au moment où le serveur (SSC) effectue l’inscription ; - le bloc de fermeture (Cl_POA) du validateur (POA), qui intègre également des données internationales (DI). De cette manière, il y a une intrication de trois chaines de blocs en parallèle. Le piratage d’une des chaînes de blocs est donc grandement complexifié. L’utilisation de blocs d’ouverture (Op) ainsi que de blocs de fermeture (Cl) multiplie les points d’intrication entre les chaînes. L’utilisation de blocs d’ouverture (Op) et de fermeture (Cl) permet en outre à la preuve d’autorité de la chaine de blocs de vérifier le comportement d’un terminal (SSC, APP). Par exemple, la création d’une nouvelle capsule (CP) sur l’appareil (APP) peut n’être possible que si le serveur (SSC) émet le bloc d’ouverture (Op). Un appareil (APP) qui serait volé pourrait donc être rendu inopérant, si le serveur (SCC) cesse de lui fournir des blocs d’ouverture (Op). De manière similaire, l’utilisation d’un bloc de fermeture (Cl) permet de n’autoriser le retour d’une capsule (CP) vers le serveur (SSC) que si des opérations de contrôles ont été effectuées : par exemple si l’appareil (APP) ne comprend pas de capteurs de données biométriques, l’identité de l’utilisateur de l’appareil (APP) pourrait être vérifiée par un autre moyen avant de déclencher l’envoi du bloc de fermeture (Cl) par le serveur (SSC). L’utilisation d’un bloc d’ouverture (Op) et d’un bloc de fermeture (Cl) permet également de vérifier que la capsule (CP) a bien été générée durant une fenêtre temporelle prédéfinie, ce qui renforce encore la sécurisation et la force probante des capsules (CP) générées. Ce mode permet en outre de préparer des capsules de preuves (CP) sur l’appareil (APP) même s’il est hors ligne et ne peut pas communiquer avec le serveur (SSC) : - le bloc d’ouverture (Op) est généré puis enregistré sur la chaîne de blocs distante (MBL) lorsque la connexion est établie ; puis - le fichier (FI) et la donnée de surveillance (DS) sont ajoutées sur la chaîne de blocs distante (MBL) même si l’appareil (APP) est hors ligne ; puis - le bloc de fermeture (Cl) est enregistré sur la chaîne de blocs distante (MBL) lorsque la connexion entre l’appareil (APP) et le serveur (SSC) est rétablie. La capsule de preuves (CP) n’est téléversée sur le serveur (SSC) que lorsque la connexion est rétablie. Les capsules de preuves (CP) peuvent donc être préparées hors connexion sur l’appareil (APP), par l’acquisition des fichiers (FI) et des données de surveillance (DS), dans l’attente de la complétion des capsules (CP) avec le bloc de fermeture (Cl) dès que la connexion avec le serveur (SSC) est rétablie. Les mêmes avantages sont obtenus concernant les échanges entre le validateur (POA) et le serveur (SSC), lorsque sont utilisés des blocs d’ouverture (Op_POA) et de fermeture (Cl_POA) émis par le validateur (POA). Les blocs d’ouverture (Op_POA) et de fermeture (Cl_POA) émis par le validateur (POA) au sein de la capsule de preuve (CP) constituent une validation additionnelle de l’inscription sur la chaine de blocs, et provenant d'un territoire neutre quand bien même le fichier numérique (FI) a été enregistré au sein d’une juridiction soumise à une réglementation. Cette validation additionnelle renforce la sécurité et la force probante des opérations soumises à des validations territoriales, en ajoutant une validation extraterritoriale et neutre. La FIG. 4 illustre un mode alternatif dans lequel le validateur (POA) fournit les blocs d’ouverture (Op) et de fermeture (Cl) directement à l’appareil (APP), de sorte que la capsule de preuve (CP) est constituée directement au niveau de l’appareil (APP). L’appareil (APP) fournit ensuite la capsule de preuves (CP) au serveur (SSC) en vue de son archivage. Dans ce mode, il est envisageable que le serveur (SSC) fournisse également des blocs d’ouverture (Op) et de fermeture (Cl) à l’appareil (APP). La FIG. 5 illustre un mode de réalisation préféré dans lequel : - plusieurs validateurs (POA1, POA2) fournissent chacun des données internationales (DI), de préférence au sein de blocs d’ouverture (Op_POA) et de fermeture (Cl_POA) ; - le fichier (FI) est acquis sur un appareil (APP), qui l’enregistre avec la donnée de surveillance (DS) sur une chaîne de blocs distante (MBL) ; - la capsule de preuve (CP) est enregistrée sur plusieurs serveurs, à savoir un serveur (SSC1) et un terminal auxiliaire (SSC2) ; - l’enregistrement de la capsule (CP) est soumis à l’émission de blocs d’ouverture (Op) et de fermeture (Cl) par chacun des serveurs (SSC) et des validateurs (POA1, POA2). En pratique, le terminal auxiliaire (SSC2) est de préférence un autre serveur équivalent au premier terminal (SSC1). Il n’y a pas de hiérarchie entre ces serveurs (SSC1, SSC2), et ils fonctionnent de manière semblable. Une pluralité de serveurs (SSC) permet de dupliquer les sauvegardes des capsules de preuve (CP) et de distribuer des serveurs (SSC) au sein de plusieurs Etats. Néanmoins, la méthode mise en œuvre est privée. Il ne s’agit pas d’une méthode dite « distribuée », dans lesquelles les algorithmes de preuve d’autorité sont basés sur des preuves de travail (« minage ») ou des preuves d’enjeu. Les blocs de fermeture (Cl_POA) peuvent être émis par les validateurs (POA1, POA2) : - soit en amont de la communication de la capsule de preuves (CP) depuis l’appareil (APP) et à destination des serveurs (SSC1, SSC2) ; - soit en aval de cette communication, afin de valider l’enregistrement de la capsule de preuves (CP) reçue. La capsule (CP) étant enregistrée sur plusieurs serveurs (SSC), elle est dupliquée et il y a désormais autant de capsules (CP) qu’il y a de serveurs (SSC). Ce mode garantit : - que la génération de la capsule (CP) était autorisée, car les blocs d’ouverture (Op) ont été émis par les serveurs (SSC) et les validateurs (POA) ; - que l’intégrité de l’appareil (APP) était reconnue, car les blocs de fermeture (Cl) ont été émis par les serveurs (SSC) ; - que l’intégrité des serveurs (SSC) était reconnue, car les blocs de fermeture (Cl) ont été émis par les validateurs (POA) ; - que le fichier numérique (FI) sera recevable en tant que preuve dans chaque Etat car la capsule de preuve (CP) contient des données internationales (DI) - que la recevabilité du fichier numérique (FI) sera renforcée dans chaque Etat où sont situés les serveurs (SSC), car chacun de ces serveurs (SSC) a participé à la génération de la capsule (CP) : - depuis son origine, via l’émission des blocs d’ouverture (Op) ; et - jusqu’à son enregistrement sur les serveurs (SSC), via l’émission des blocs de fermeture (Cl). La présence de données internationales (DI) au sein de chaque capsule de preuve (CP) est déjà un élément assurant une sécurité renforcée et donc une recevabilité plus forte au sein de chaque Etat, mais le fait que la capsule de preuve (CP) soit de surcroît enregistrée sur un serveur (SSC) localisé au sein d’un Etat particulier rend incontestable sa recevabilité auprès d’instances de cet Etat, quand bien même les critères d’acceptation de preuves y sont très élevés. Lors de l’émission d’un jeton de preuve (NFP) par un des serveurs (SSC), on voit que celui-ci comprend : - le fichier (FI) dont l’authenticité est à prouver ; - la donnée de surveillance (DS) de l’appareil (APP) ayant acquis le fichier (FI) ; - les données internationales (DI), au sein des bloc d’ouverture et de fermeture (Op, Cl) de chacun des validateurs (POA) ; - chaque bloc d’ouverture et de fermeture (Op, Cl) de chacun des serveurs (SSC) mis en cause ; - des données de surveillance (DS) garantissant l’intégrité du serveur (SSC2) dont provient le jeton de preuve (NFP) ; - des données additionnelles (DAdd) rajoutées lors de l’émission du jeton de preuve (NFP) par le serveur (SSC2). Un tel jeton de preuve (NFP) comprend donc le fichier (FI) dont l’authenticité est à prouver, et un ensemble de faisceaux d’indices mêlant des données relatives à chaque transaction effectuée par le procédé, depuis l’autorisation de l’acquisition du fichier (FI) sur l’appareil (APP) jusqu’à sa production devant un tribunal. Le nombre de serveurs (SSC) n’est pas lié au nombre de validateurs (POA). Plusieurs serveurs (SSC) permettent une réplication des sauvegardes des capsules de preuve (CP), ainsi que la présence d’une desdites sauvegardes sur chacun des territoires où il sera nécessaire de produire une preuve. Plusieurs validateurs (POA) permettent de fiabiliser le fonctionnement du système global, dans la mesure où une panne d’un validateur sera nécessairement plus compliquée à réparer, eu égard à la difficulté d’accès aux validateurs (POA). De plus, dans le cas de validateurs (POA) disposés dans un satellite, il peut être intéressant de mettre en œuvre un satellite avec une orbite à défilement, afin de limiter les coûts : un seul validateur (POA) peut défiler autour du globe terrestre et échanger successivement des données avec les différents serveurs (SSC) au-dessus desquels il défile, au fur et à mesure. En pratique, un nombre limité de validateurs (POA), par exemple 3 ou 5, permet : - de limiter l’intervalle de temps entre deux passages d’un validateur (POA) au regard d’un serveur (SSC), lorsque les validateurs (POA) sont chacun disposés dans un satellite ; - de constituer une réplication de données enregistrées par les validateurs (POA), ce qui est nécessaire pour garantir la durabilité d’une sauvegarde ; - de préférence, un nombre impair de validateurs (POA) permet de mettre en place un système de vote entre les validateurs (POA) lorsqu’il s’agit d’autoriser ou non l’inscription d’un nouveau bloc par un serveur (SSC) : un nombre impair de validateurs (POA) garantit que le vote ne fournisse pas une égalité de voix. A l’instar de la gestion d’une perte de connexion entre un appareil (APP) et un serveur (SSC), la méthode divulguée prévoit la gestion d’une perte de connexion entre un serveur (SSC) et un validateur (POA) : l’inscription de nouveaux blocs est mise en attente jusqu’à ce qu’un validateur (POA) vérifie la conformité des données à inscrire, puis autorise l’inscription des blocs en question en émettant un bloc de fermeture (Cl_POA). La vérification effectuée par le validateur (POA) peut comprendre la vérification de la durée écoulée depuis l’émission du bloc d’ouverture (Op), la bonne correspondance entre les données du bloc d’ouverture (Op) comprises dans la capsule de preuve (CP) et les données du bloc d’ouverture (Op) comprises dans la mémoire (DQ) du validateur (POA), ou encore une comparaison entre la donnée de surveillance acquise (DS) et une donnée de surveillance attendue (DS ref). En effet, dans tous les modes de réalisations, une comparaison entre la donnée de surveillance acquise (DS) et une donnée de surveillance attendue (DS ref) est envisageable, et permet de vérifier l’intégrité du terminal utilisé, qu’il s’agisse de l’appareil (APP), du serveur (SSC) ou du validateur (POA). La comparaison peut être par exemple : - une différence entre l’horodatage contenu dans la donnée de surveillance (DS) du terminal (SCC) et l’horodatage contenu dans la donnée additionnelle (DAdd) de l’émission de la capsule (CP) : une différence trop importante peut signifier que l’heure de l’appareil (APP) a été modifiée, par exemple en vue d’antidater une capsule (CP) ; - une comparaison entre les blocs d’ouverture et ou de fermeture (Op, Cl) émis par le serveur (SSC) et ceux contenus dans les capsule (CP) émises par l’appareil (APP) : si un même bloc (Op, Cl) revient plusieurs fois, cela peut signifier qu’un utilisateur mal intentionné essaye de renvoyer sur le serveur (SSC) de fausses capsules (CP) dont la génération n’a pas été autorisée. Lorsqu’une différence est constatée, une alerte est émise à l’attention de la preuve d’autorité. Celle-ci peut ensuite verrouiller ou mettre en quarantaine le validateur (POA), l’appareil (APP) ou le serveur (SSC) incriminé. Il est rappelé que la méthode de chaîne de blocs mise en œuvre étant de type « méthode privée », tous les terminaux mis en œuvre doivent être approuvés par la preuve d’autorité pour pouvoir exécuter les programmes nécessaires à la mise en œuvre du procédé. L’installation et/ou le fonctionnement de programmes installés sur les serveurs (SSC), appareils (APP) et validateurs (POA) est donc soumis à la preuve d’autorité qui autorise ou empêche l’inscription de blocs sur les différentes chaînes (BU, MBL, MB). Par ailleurs, le procédé et le jeton de preuve (NFP) peuvent être conformés différemment des exemples donnés sans sortir du cadre de l’invention, qui est défini par les revendications. En variante non représentée, le fichier (FI) et la donnée de surveillance (DS) sont supprimées de l’appareil (APP) après avoir été transmises au serveur (SSC), que l’appareil (APP) comprenne une chaîne de blocs distante (MBL) ou non. Dans le premier cas, la chaîne de blocs distante (MBL) peut être intégralement supprimée de l’appareil, auquel cas un nouveau bloc d’initialisation de la chaîne de blocs distante (MBL) doit être fournie à l’appareil (APP) par la preuve d’autorité. Sinon, seuls les blocs comprenant le fichier (FI) et la donnée de surveillance (DS) sont supprimés (ainsi que d’éventuels blocs aval de la chaîne), de manière à pouvoir créer une nouvelle suite de blocs sur la base de la chaîne de blocs distante (MBL) restante. Dans le cas où les fichiers (FI) comprennent des informations personnelles, la suppression du fichier (FI) de l’appareil (APP) facilite notamment la conformité du procédé avec le règlement général pour la protection des données personnelles (RGPD). Pour protéger la confidentialité du fichier (FI), les données peuvent être enregistrées sous forme cryptée. En outre, les caractéristiques techniques des différents modes de réalisation et variantes mentionnés ci-dessus peuvent être, en totalité ou pour certaines d’entre elles, combinées entre elles. Ainsi, l’invention peut être adaptée en termes de coûts, de fonctionnalités et de performances. Procédé d’enregistrement d’un fichier numérique (FI), - selon une méthode par chaîne de blocs de type privée avec une preuve d’autorité, - un premier terminal (SSC) étant équipé d’un dispositif d’acquisition (CAPD) d’une donnée de surveillance (DS) du terminal (SSC), - l’enregistrement du fichier numérique (FI) sur une chaîne de blocs se faisant sous forme d’une capsule de preuves (CP) comprenant : - le fichier (FI), - une donnée de surveillance (DS) acquise par le dispositif d’acquisition (CAPD) lors de l’enregistrement du fichier (FI) sur le premier terminal (SSC), caractérisé en ce que la capsule de preuves (CP) comprend des données internationales (DI) émises par un validateur (POA) de la méthode par chaîne de blocs, depuis un espace international, en dehors des frontières de tout Etat. Procédé selon la revendication 1, dans lequel : - le validateur (POA) localisé dans un espace international émet un bloc d’ouverture (Op) comprenant des données internationales (DI) et/ou un bloc de fermeture (Cl) comprenant des données internationales (DI), et - le premier terminal (SSC) est localisé au sein d’un Etat, et la capsule de preuves (CP) comprend le bloc d’ouverture (Op) et/ou le bloc de fermeture (Cl). Procédé selon la revendication 2, dans lequel : - le validateur (POA) comprend une mémoire de stockage configurée pour enregistrer le bloc d’ouverture (Op) et/ou de fermeture (Cl) sur une chaine de blocs supérieure (MB), et - le validateur (POA) est configuré pour émettre un jeton d’autorité (PT) comprenant le bloc d’ouverture (Op) et/ou de fermeture (Cl). Procédé selon l’une des revendications 2 ou 3, dans lequel le validateur (POA) comprend un dispositif d’acquisition (CAPD) d’une donnée de surveillance (DS) du validateur (POA), et le bloc d’ouverture (Op) et/ou de fermeture (Cl) comprend la donnée de surveillance (DS) du validateur (POA). Procédé selon l’une des revendications 2 à 4, dans lequel : - un second terminal (APP) acquiert le fichier (FI) et une donnée de surveillance (DS) supplémentaire, puis - le second terminal (APP) transmet le fichier (FI) et la donnée de surveillance (DS) supplémentaire au premier terminal (SSC), et - le premier terminal (SSC) enregistre le fichier (FI) et la donnée de surveillance (DS) supplémentaire sous forme d’une capsule de preuve (CP) comprenant le fichier (FI), la donnée de surveillance (DS) supplémentaire du second terminal (APP) et la donnée de surveillance (DS) du premier terminal (SSC). Procédé selon l’une des revendications 2 à 5, dans lequel la capsule de preuves (CP) est enregistrée sur une chaîne de blocs distante (MBL) sur le second terminal (APP), avant d’être transmise au premier terminal (SSC) qui l’enregistre dans une chaine de blocs locale (BU). Procédé selon l’une des revendications 2 à 6, dans lequel la capsule de preuves (CP) est transmise depuis l’appareil (APP) vers plusieurs terminaux auxiliaires situés sur plusieurs juridictions. Procédé selon l’une des revendications 2 à 7, dans lequel chaque terminal (APP, SSC) est configuré pour émettre un jeton de preuve (NFP) comprenant la capsule de preuves (CP). Procédé selon l’une des revendications 2 à 8, dans lequel le validateur (POA) est disposé dans un satellite en orbite terrestre, et une communication entre le validateur (POA) et le premier terminal (SSC) est du type des communications optiques en espace libre. Système comprenant : - un validateur (POA) localisé dans un espace international et configuré pour transmettre des données internationales (DI) à un premier terminal (SSC), - le premier terminal (SSC) comprenant : - des moyens de réception de données de preuves (CAPF), tel qu’un capteur photo ou une carte réseau ; - des moyens d’acquisition de données de surveillance (CAPS), tel qu’un capteur GPS ; - des moyens de stockage de données (DQ), tel qu’un disque dur ou une carte SD ; - un programme d’ordinateur programmé pour enregistrer une chaine de blocs sur les moyens de stockage (DQ), et pour mettre en œuvre un procédé d’enregistrement d’une capsule de preuve (CP) selon l’une des revendications précédentes. Jeton de preuve (NFP) numérique issu d’un terminal de stockage d’un fichier numérique (FI), le fichier (FI) étant stocké selon une méthode par chaîne de blocs, caractérisé en ce que le jeton de preuve (NFP) comprend une capsule de preuves (CP) comprenant : - le fichier numérique (FI) ; - une donnée de surveillance (DS) acquise lors du l’enregistrement du fichier (FI) ; - une donnée internationale (DI) émise depuis l’espace international.