Faire signer depuis votre logiciel métier avec l'API Yousign

Ce qu'un logiciel peut piloter dans Yousign

L'API Yousign v3 tourne autour d'un objet central, la demande de signature (Signature Request), à laquelle on rattache des documents, des signataires et des champs. La référence publiée par l'éditeur liste aussi des objets de second rang très utiles en entreprise.

Selon sa documentation, l'éditeur couvre aussi le cachet électronique, qui garantit l'authenticité et l'intégrité d'un document, et des services de vérification de documents et d'identité. Consultée en octobre 2026, la documentation développeur de l'API Yousign s'affiche sous le nom Youtrust (developers.youtrust.com), sans que les pages consultées expliquent ce changement de nom ; les adresses de l'API, elles, restent sur le domaine yousign.app.

Clé d'API, sandbox et abonnement : les conditions d'accès

• Authentification : une clé d'API, envoyée dans l'en-tête Authorization en mode Bearer. Seuls les utilisateurs Admin ou Owner du compte la créent. Elle porte sur toute l'organisation ou sur les seuls espaces de travail autorisés, en lecture seule ou en accès complet ; l'accès complet est nécessaire pour créer des demandes.
• Deux environnements : api-sandbox.yousign.app/v3 pour les tests, api.yousign.app/v3 pour la production. L'environnement se choisit à la création de chaque clé.
• Essai : 40 jours gratuits, sandbox uniquement, avec 5 signataires, 5 approbateurs et 5 observateurs au plus par demande. Pour les organisations en essai, les destinataires du sandbox sont limités aux membres de l'organisation.
• Production : un abonnement payant actif, souscrit auprès de l'équipe commerciale. Si l'abonnement expire sans renouvellement, l'accès au sandbox est perdu lui aussi.
• Sandbox : signatures et cachets sans valeur juridique, filigrane sur tous les documents et dossiers de preuve, vérifications d'identité simulées.

L'éditeur fournit aussi une collection Postman, un journal des modifications et un serveur MCP destiné aux outils de développement assistés par IA.

Signature simple, avancée ou qualifiée : que choisir pour vos documents ?

Le niveau se choisit signataire par signataire, avec le paramètre signature_level.

Yousign cite, pour la signature avancée, les contrats de vente, de travail, d'exclusivité ou d'assurance. Le choix du niveau reste une décision juridique : pour un type de contrat précis, l'avis de votre avocat prime. Il a aussi une conséquence technique directe : la signature avancée accepte l'iFrame mais pas l'interface de signature personnalisée, et la qualifiée n'accepte ni l'iFrame ni l'interface personnalisée. Un logiciel qui veut faire signer sans quitter son écran choisit donc la signature simple ou avancée ; en qualifiée, il renvoie vers la page Yousign.

Quatre parcours de signature branchés sur un logiciel métier

1. Le devis accepté sans impression. Dans le logiciel d'une entreprise de rénovation, le commercial clique sur « Envoyer pour signature » ; le logiciel génère le PDF du devis, crée la demande à partir d'un modèle et l'active. Quand l'événement signature_request.done arrive, le devis passe en « accepté », le PDF signé rejoint le dossier client et la commande de matériel peut partir. Voir notre page pour automatiser vos devis.
2. Le mandat de gestion. Dans une agence immobilière, un approbateur interne valide les honoraires, puis les deux propriétaires indivisaires signent le mandat avant la contresignature de l'agence. Le métier est décrit sur notre page logiciel immobilier.
3. Le contrat de mission. Une agence d'emploi envoie chaque contrat au salarié et à l'entreprise utilisatrice ; l'événement signer.done de chacun met à jour l'écran de suivi, et une relance part si le contrat n'est pas signé à temps. Voir notre page logiciel intérim.
4. La signature dans l'espace client. Un client connecté à son extranet signe ses conditions particulières dans une iFrame, sans quitter son espace, en signature simple. C'est un prolongement naturel d'un portail client.

Webhooks Yousign : vérifier, dédoublonner, rattraper

Yousign envoie une requête POST à votre adresse pour chaque événement auquel vous êtes abonné. La liste couvre la demande (activée, terminée, refusée, expirée, annulée), chaque signataire (notifié, lien ouvert, signature faite, refus, échec d'identification) et chaque approbateur.

• Authenticité : l'en-tête x-yousign-signature-256 contient une empreinte HMAC SHA-256 du corps brut de la requête, calculée avec le secret de l'abonnement et préfixée par sha256= ; côté logiciel, comparez-la à temps constant.
• Rapidité : votre serveur doit renvoyer un code 2xx en moins d'une seconde à la première tentative, 10 secondes lors des relances. On acquitte d'abord, on traite ensuite en file d'attente.
• Relances : avec la relance automatique, jusqu'à 8 nouvelles tentatives, après 2 min, 6 min, 30 min, 1 h, 5 h, 18 h, 1 jour puis 2 jours. L'en-tête x-yousign-retry compte les tentatives.
• Doublons : une même notification peut arriver plusieurs fois ; le logiciel dédoublonne sur event_id.
• Réseau : HTTPS obligatoire, certificats auto-signés refusés, réseaux privés non pris en charge. Un logiciel hébergé sur un serveur interne doit donc exposer un point de réception public.

Ajoutez une vérification de rattrapage : chaque nuit, le logiciel relit par l'API l'état des demandes encore ouvertes. Une demande signée dont la notification s'est perdue pendant une maintenance est ainsi rattrapée le lendemain.

Volumes, preuves et données personnelles

La page des limites de Yousign fixe le cadre de chaque demande : 50 documents au plus, 50 Mo par document, au format PDF ou docx, 100 signataires, 10 approbateurs, 100 observateurs et 500 champs. Le lien de signature reste valable 48 heures par défaut, ajustable de 1 à 72 heures sur demande au support. Une politique de limitation de débit couvre toute l'API, sans chiffre publié sur cette page : à faire préciser par Yousign si vous prévoyez des envois massifs.

Côté preuve, le logiciel rapatrie le PDF signé et le dossier de preuve, et les range avec le contrat : vous ne dépendez plus de l'abonnement pour retrouver un document. Côté RGPD, le nom, l'e-mail et le téléphone des signataires transitent par Yousign, et la pièce d'identité en signature avancée ou qualifiée ; votre logiciel n'a pas besoin d'en garder une copie. Ces traitements figurent dans votre registre, comme l'explique notre guide RGPD et logiciel métier.

Une option déjà prévue dans vos outils, ou une connexion à construire ?

Avant de développer, vérifiez trois pistes plus simples. Votre CRM ou votre logiciel de gestion propose peut-être déjà Yousign dans ses paramètres. Pour quelques contrats par mois, l'application Yousign et ses modèles suffisent. Pour un flux simple entre deux outils en ligne, la documentation de l'éditeur décrit une connexion avec Zapier.

Une connexion développée se justifie quand la signature déclenche une suite métier (commande, accès, planification), quand plusieurs signataires et approbateurs suivent un ordre propre à votre activité, ou quand les documents sont produits par votre logiciel. YMHB Web cadre d'abord ces règles, développe dans le sandbox, teste chaque cas (refus, expiration, échec d'identification), puis accompagne le passage en production. La clé de production et le secret des webhooks restent à votre nom ; le code, documenté et déposé chez vous, vous appartient au paiement intégral, et la maintenance suit le journal des modifications de l'API, comme pour toutes nos intégrations par API. Si vous hésitez encore sur le service de signature, notre page d'intégration Docusign décrit un autre modèle d'API.