Intégration API Yousign
Nous développons votre connecteur Yousign
Nous développons le connecteur Yousign v3 pour créer les Signature Requests, poser le bon niveau eIDAS et ramener le statut signé dans votre dossier.
- Équipe produit senior
- connecteurs de signature en production
- du cadrage au monitoring
À quoi sert l'intégration Yousign et pourquoi choisir une solution de signature européenne ?
Yousign est un éditeur français de signature électronique conforme eIDAS, offrant les niveaux simple, avancé et qualifié. Son intégration permet à votre application d'envoyer un document à signer en définissant le niveau de preuve requis, de suivre en temps réel le statut de chaque signataire, et de recevoir la preuve de signature dans votre dossier dès la clôture. On choisit Yousign pour sa conformité européenne native, son hébergement en France et son support en français : des critères importants pour les secteurs régulés comme l'immobilier, les RH ou le secteur juridique.
Ce que nos clients branchent sur Yousign
Devis et CGV en SES, iframe
Le SaaS français envoie la request, OTP email, iframe autorisée. Le commercial voit le statut dans le dossier, pas dans l'app Yousign.
Contrats de travail en AES
Pièce d'identité plus OTP SMS. Le SIRH avance sur signer.done. AES est éteint par défaut : l'activation support fait partie du cadrage.
Actes en QES, hors iframe
Cession de parts, certains mandats : vidéo plus contrôle humain, signers séquentiels, 30 minutes après identification. Les URLs de redirection remplacent l'iframe.
Cachet sur les factures émises
Le document est émis par la société, pas signé par une personne. Simple, avancé ou qualifié, distinct de la Signature Request des contrats.
Ce que ça change dans votre parcours
La technique au service d'un résultat mesurable : le bon niveau de signature, un KYC visible, un statut dans le dossier.
Le niveau eIDAS est un choix de parcours
Simple, avancée ou qualifiée : on le pose par type de document. Vous n'ouvrez pas un projet juridique parallèle à chaque modèle.
L'approbation reste dans le flux
Le rôle approbateur bloque la signature tant que tout le monde n'a pas validé. Le commercial n'ouvre plus un second outil « pour valider avant envoi ».
Le KYC est un statut produit
Vous savez pourquoi un signataire est bloqué (échec, expiration…), sans ouvrir la console Yousign.
Chaque client a son espace
Pour un éditeur multi-clients, les dossiers sont cloisonnés. Un incident chez l'un n'expose pas les documents de l'autre.
Comment nous livrons votre connecteur Yousign
Cadrage
Quels documents, quel signature_level, iframe ou redirect, AES et QES déjà ouverts sur le compte. On liste les cas limites avant d'écrire une ligne de code.
Développement
Signature Request, activation, HMAC x-yousign-signature-256, réponse 2xx en moins d'une seconde, traitement en file. Client calibré sur 60 / min.
Recette
Sandbox pour le développement manuel uniquement : signatures non contraignantes, documents filigranés. Les tests automatisés sont mockés. QES hors iframe.
Monitoring
Headers x-ratelimit-*, Ratelimit-Reset, x-yousign-retry. Alerte avant 1 200 / h. Vous savez qu'un flux est cassé avant vos clients.
Ce que permet l'API Yousign
- Signature Request
- Création, documents (PDF 50 Mo, 50 par request), signers (100, 5 en trial sandbox), champs, activation. Metadata et custom properties pour lier l'id affaire.
- Trois niveaux eIDAS par signataire
- electronic_signature, advanced_electronic_signature, qualified_electronic_signature. SES : no_otp, otp_email, otp_sms, iframe OK. AES : otp_sms, pièce, iframe OK. QES : pas d'OTP, pas d'iframe.
- Webhooks d'identification
- signature_request.done, signer.done, signer.identification_succeeded / failed / blocked / expired. Header x-yousign-signature-256 = sha256= + HMAC du corps brut.
- Cachet électronique
- POST /electronic_seals : document émis par la personne morale, niveaux simple, avancé ou qualifié, distinct de la signature d'un contrat.
Le vocabulaire de l'API Yousign
- signature_level
- electronic_signature (SES), advanced_electronic_signature (AES), qualified_electronic_signature (QES). On mixe SES et AES ; en QES tous les signers ont le même niveau et sont ordonnés.
- Youtrust
- Nom produit dans la documentation 2026. Les URL, le header x-yousign-signature-256 et les hosts *.yousign.app restent Yousign. Une page qui ignore ce décalage paraît hors-sol.
- x-yousign-signature-256
- Header HMAC-SHA256 du corps brut, préfixe sha256=. Plus x-yousign-retry et x-yousign-issued-at. Comparaison à temps constant, déduplication sur event_id.
- Timeout webhook 1 seconde
- Premier essai : 1 s. Retries : 10 s, jusqu'à 8 fois si auto_retry (2 min, 6 min, 30 min, 1 h, 5 h, 18 h, 1 j, 2 j). Répondre 2xx et traiter en file, sinon vous perdez des events.
- Fenêtre QES 30 minutes
- Après identification réussie, 30 minutes pour signer. Passé ce délai : signer.identification_expired. Pas d'iframe, pas d'interface custom, signature_authentication_mode = null.
- Approver
- Rôle qui bloque la signature tant que tous les approbateurs n'ont pas validé. Le circuit métier reste dans Yousign, déclenché depuis votre produit.
Les contraintes réelles de l'API Yousign
AES et QES sont éteints par défaut
Il faut une activation support, et un plan qui les inclut. Promettre une QES « disponible dans l'API » sans cette étape est faux. Le cadrage commence par les entitlements du compte.
QES refuse l'iframe
Contrainte autour de la vidéo d'identité : URLs de redirection obligatoires. Un produit conçu tout en iframe casse au premier contrat QES. Fenêtre de 30 minutes post-identification.
Un seul champ QES sur un PDF déjà signé
En QES, une seule signature cryptographique pour tout le document. Sur un PDF verrouillé, un seul champ. SES et AES n'ont pas cette contrainte. Erreur classique de recette.
60 requêtes / min, 1 200 / h en prod
Sandbox 30 / min et 200 / h. 429 Too many requests. Headers x-ratelimit-limit-minute / -hour. File unique, pas d'activation de requests en parallèle. Sandbox : pas de test de charge.
API Yousign ou API Docusign ?
Deux APIs de signature eIDAS. Le bon choix dépend de la façon dont SES, AES et QES s'expriment, et de votre parc actuel.
| Critère | YousignCette page | DocusignRéférence mondiale |
|---|---|---|
| Objet central | Signature Request | Envelope (GUID) |
| eIDAS SES / AES / QES | Enum signature_level par signataire | SBS, options de compte à activer |
| Authentification | Bearer, clé API | OAuth 2.0, JWT Grant (token 1 h) |
| Webhooks | x-yousign-signature-256, timeout 1 s | Connect, HMAC X-Docusign-Signature-1 |
| QES dans le parcours | Vidéo + humain, pas d'iframe, 30 min | QTSP, exemple IdNow, hors iframe |
| Quota API | 60 / min et 1 200 / h en production | 3 000 / h par compte, burst 500 / 30 s |
| Le bon cas | Produit français, eIDAS natif dans l'API | Parc Docusign déjà en place |
Les trois (Yousign, Docusign, Universign) couvrent SES, AES et QES. Aucune ne rend la QES gratuite ni iframe par défaut. C'est un arbitrage de cadrage, pas un choix définitif.
Ce que nous mesurons sur une intégration Yousign
Les autres API de signature
Si Yousign n'est pas le bon socle, ces options se discutent au cadrage.
YousignNous développons votre connecteur YousignCette page
DocusignEnvelope, SBS, Connect HMAC, go-live qui refuse le polling.
UniversignCinq niveaux, cachet et horodatage qualifiés, webhooks JWS PS256.On combine Yousign avec
La stack qui entoure Yousign sur nos projets.
Intégration Yousign : vos questions
Trois étapes. D'abord une clé Bearer, scopée organization ou workspace, sandbox et production séparées. Ensuite construire la Signature Request : documents, signers avec signature_level, activation. Enfin les webhooks : vérifier x-yousign-signature-256 (préfixe sha256=, corps brut), répondre 2xx en moins d'une seconde, traiter en file, dédupliquer sur event_id. La partie sensible n'est pas le POST, c'est le niveau eIDAS réellement ouvert sur le compte et le parcours QES hors iframe.
Ce sont les trois niveaux eIDAS, exposés en enum. SES (electronic_signature) : no_otp, otp_email ou otp_sms, iframe et interface custom autorisées. AES (advanced_electronic_signature) : pièce d'identité, otp_sms seul, iframe OK, interface custom interdite, désactivé par défaut. QES (qualified_electronic_signature) : pièce plus vidéo visage/ID vérifiée par un humain, pas d'OTP, pas d'iframe, signers séquentiels, 30 minutes pour signer, désactivé par défaut. Seule la QES a l'effet juridique d'une signature manuscrite dans toute l'Union (règlement (UE) n° 910/2014, art. 25 § 2).
Non. La QES refuse l'iframe et l'interface custom : il faut des URLs de redirection. Un produit qui a conçu tout son parcours en iframe casse au premier contrat QES. La fenêtre après identification réussie est de 30 minutes ; passé ce délai, signer.identification_expired. AES et SES acceptent l'iframe. On tranche ça au cadrage, avant le premier pixel, et on prévoit le timeout métier plus l'écoute de identification_blocked. Promettre une QES « comme le devis, mais en iframe » est faux.
Un premier flux utile, typiquement un devis en SES avec iframe et write-back sur signature_request.done, se livre en deux à trois semaines. Une chaîne AES ou QES, workspaces multi-tenant, cachet et vérifications d'identité demande plutôt six à huit semaines : l'activation support et le parcours redirect pèsent autant que le code. Nous cadrons le périmètre en amont et vous donnons une estimation ferme avant de commencer.
Yousign si vous voulez SES, AES et QES comme un enum, un éditeur français, et des hosts yousign.app. Docusign si le parc est déjà là : envelope, SBS à activer, Connect, go-live strict sur le polling. Universign si vous avez besoin du cachet et de l'horodatage qualifiés en plus de la signature, avec cinq niveaux dont level3 qui n'est pas une QES. Aucune API ne rend la QES iframe par défaut. Le choix est un arbitrage de parc et de politique de preuve.
Un projet d'intégration Yousign ?
Parlons-en. 30 minutes pour cadrer vos Signature Requests, le niveau eIDAS réellement ouvert sur le compte et vous dire franchement ce qui est faisable.
Parler de mon projet Yousign