JSON Web Signature (JWS)

Remarque

Spécification de l'IETF qui définit la signature web JSON (JWS), représentant un contenu sécurisé par des signatures numériques ou des codes d'authentification à l'aide de structures JSON.

Résumé

Objet

La RFC 7515 de l’IETF (mai 2015) définit la signature web JSON (JSON Web Signature, JWS) :

Les algorithmes cryptographiques utilisables sont décrits dans une spécification distincte RFC 7515, Abstract. Une JWS comporte un en-tête (JOSE Header) dont les paramètres décrivent la signature et ses propriétés RFC 7515, § 4. JOSE Header. Les actes du corpus qui la citent visent surtout trois de ces paramètres, qui désignent le certificat du signataire : x5u, x5c et x5t#S256.

À qui ça s’applique

La RFC elle-même n’impose rien au titre d’eIDAS. Quatre actes du corpus y renvoient, avec des portées différentes.

• PID au format SD-JWT VC. Les fournisseurs de données d’identification personnelle (PID) veillent à ce que les PID délivrées soient conformes à l’annexe du règlement d’exécution 2024/2977 Art. 3 §3. Pour le format SD-JWT VC, l’en-tête protégé de la signature de la PID contient les paramètres x5u et x5t#S256 spécifiés dans la RFC Annexe.
• Registre des parties utilisatrices. Les informations des registres nationaux des parties utilisatrices de portefeuille portent la signature ou le cachet du bureau d’enregistrement, selon la section 1 de l’annexe II du règlement d’exécution 2025/848 Art. 3 §5. Cette section cite JSON et « IETF 7515 » pour les signatures web JSON ; l’API commune unique est signée selon ces exigences Annexe II.
• Registres électroniques qualifiés. L’annexe du règlement d’exécution 2025/2531 exige que les fournisseurs de registres électroniques qualifiés établissent l’origine des enregistrements ; ils utilisent à cet effet des signatures ou cachets électroniques avancés fondés sur des certificats qualifiés, créés par les utilisateurs du service, selon des normes listées, dont JAdES (ETSI TS 119 182-1 V1.2.1) adapté sur le paramètre x5c Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés. Selon le règlement 910/2014, un registre électronique est présumé respecter les exigences fixées au paragraphe 1 du même article lorsqu’il respecte les normes, spécifications et procédures visées au paragraphe 3 Art. 45 terdecies §2 ; ce sont celles de l’annexe Art. 1.
• Formats reconnus par le secteur public. Les États membres qui exigent une signature ou un cachet électronique avancé reconnaissent ceux dont le format respecte l’annexe I du règlement d’exécution 2026/248 Art. 1 §1 Art. 3 §1. Cette annexe reprend JAdES (TS 119 182-1 V1.2.1) avec la même adaptation sur x5c Annexe I. Ces deux paragraphes ne s’appliquent qu’à partir du 23 février 2027 Art. 6.

Points clés

• x5c, facultatif dans la RFC, obligatoire dans JAdES adapté. Pour la RFC, ce paramètre contient le certificat (ou la chaîne de certificats) de la clé de signature, et son usage est facultatif RFC 7515, § 4.1.6. "x5c" (X.509 Certificate Chain) Header Parameter. Les règlements d’exécution 2025/2531 et 2026/248 exigent sa présence dans la signature JAdES, en paramètre d’en-tête signé ou non signé, avec la sémantique et la syntaxe de la clause 4.1.6 de la RFC Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés Annexe I.
• Validation de la chaîne. Le destinataire doit valider la chaîne selon la RFC 5280, et le premier certificat est celui de la clé de signature RFC 7515, § 4.1.6. "x5c" (X.509 Certificate Chain) Header Parameter.
• x5u. Ce paramètre est une URI qui pointe vers le certificat ou la chaîne ; le protocole de récupération doit protéger l’intégrité RFC 7515, § 4.1.5. "x5u" (X.509 URL) Header Parameter.
• x5t#S256. C’est l’empreinte SHA-256 du certificat ; son usage est facultatif dans la RFC RFC 7515, § 4.1.8. "x5t#S256" (X.509 Certificate SHA-256 Thumbprint) Header, mais l’acte la place dans l’en-tête protégé des PID SD-JWT VC Annexe.

Clauses visées par les actes

• Clause 4.1.6 (x5c) : règlements d’exécution 2025/2531 et 2026/248, par l’adaptation de la clause 5.1.8 de la spécification ETSI TS 119 182-1 ; pour 2025/2531, au travers de l’exigence REQ-7.5-03 ajoutée à la norme ETSI EN 319 401 V3.1.1, dont les références normatives adaptées insèrent la RFC 7515 Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés Annexe I.
• Paramètres x5u et x5t#S256 : renvoi sans numéro de clause, règlement d’exécution 2024/2977 Annexe.
• Renvoi général à « IETF 7515 », règlement d’exécution 2025/848 Annexe II.

Liens

• Actes qui y renvoient : règlements d’exécution 2024/2977 Règlement d'exécution (UE) 2024/2977 — version consolidée au 11/08/2026, 2025/848 Règlement d'exécution (UE) 2025/848 — version consolidée au 11/08/2026, 2025/2531 Règlement d'exécution (UE) 2025/2531 et 2026/248 Règlement d'exécution (UE) 2026/248.
• Normes intermédiaires : ETSI TS 119 182-1 (JAdES) ETSI TS 119 182-1 V1.2.1 ; ETSI EN 319 401 V3.1.1, pour le règlement d’exécution 2025/2531 ETSI EN 319 401 V3.1.1.
• Normes liées : RFC 7519, jeton JWT RFC 7519 ; RFC 5280 RFC 5280.
• Parcours : étape 4, les services de confiance et étape 3, le portefeuille européen.

Rédaction Asphalia.