Token Status List (TSL)

Remarque

Document non définitif : projet de l'IETF (version 20) qui définit la liste d'état de jetons (TSL), mécanisme d'état pour des jetons JOSE ou COSE, dont JWT, SD-JWT, CWT et mdoc.

Résumé

Objet

Le projet de spécification de l’IETF draft-ietf-oauth-status-list-20 (20 avril 2026) définit la « liste d’états des jetons » (Token Status List, TSL) draft-ietf-oauth-status-list-20 :

Le principe : chaque jeton délivré (le « jeton référencé ») reçoit un index dans un tableau de bits ; la valeur des bits à cet index donne son état. Ce tableau, la liste d’états, est publié dans un jeton signé, au format JWT ou CWT draft-ietf-oauth-status-list-20, [1.](#section-1) [Introduction](#name-introduction). Les actes eIDAS s’en servent comme mécanisme de révocation.

À qui ça s’applique

Le projet lui-même n’impose rien. Les actes eIDAS y renvoient par deux chemins.

• Attestations et PID. L’annexe II du règlement d’exécution 2024/2979 rend applicables les paragraphes 2 à 6 de la spécification ETSI TS 119 472-1 V1.2.1, moyennant des adaptations ; l’une d’elles ajoute le projet, dans sa version 20, à ses références normatives Annexe II. Cette annexe s’impose aux attestations délivrées aux portefeuilles, qui doivent respecter au moins une de ses normes Art. 4 §1, aux PID, délivrées selon ses paragraphes 5 et 6, certains sous-paragraphes exceptés Annexe, et aux fournisseurs de portefeuille, dont les solutions doivent prendre en charge ces formats Art. 8.
• Attestations d’unité de portefeuille. Les fournisseurs de portefeuille veillent à ce que ces attestations respectent l’annexe I ter du même règlement Art. 6 §2. Selon cette annexe, un fournisseur de portefeuille doit utiliser des listes d’états des jetons comme mécanisme de révocation des attestations de clé et des attestations d’instance de portefeuille. Cette exigence renvoie à la spécification Token Status List de l’IETF sans numéro de version Annexe I ter.

Points clés

• Format SD-JWT VC. Le membre status d’une attestation peut contenir le membre status_list comme indiqué au paragraphe 6.2 du projet Annexe II. Dans le projet, status_list désigne le jeton de liste d’états par une URI (uri) et l’index à consulter (idx) draft-ietf-oauth-status-list-20, [6.2.](#section-6.2) [Referenced Token in JOSE](#name-referenced-token-in-jose).
• Format ISO/IEC-mdoc. L’un des mécanismes de révocation prévus pour l’objet de sécurité mobile (MSO) est la liste d’états. Ce mécanisme est précisé par renvoi à la version 20 de la spécification relative à la liste d’états des jetons ; la liste de révocation du MSO prend la forme d’un jeton de liste d’états au format CWT Annexe II.
• Révoqué, pas suspendu. Pour les PID, les attestations qualifiées et celles des organismes publics, seules les valeurs « valid » et « invalid » du projet doivent être utilisées ; la révocation d’un MSO est permanente Annexe II. Le projet prévoit aussi un état « SUSPENDED », temporaire draft-ietf-oauth-status-list-20, [7.1.](#section-7.1) [Status Types Values](#name-status-types-values).
• Vérification par la partie utilisatrice. La vérification de la liste de révocation du MSO est facultative pour la partie utilisatrice ; celle qui doit pouvoir vérifier l’état de révocation prend en charge les deux mécanismes prévus Annexe II.
• Taille des listes et vie privée. Le fournisseur de portefeuille veille à ce que les listes d’états de ses attestations d’instance de portefeuille soient suffisamment grandes pour empêcher la corrélation et protéger la vie privée des utilisateurs Annexe I ter.

Clauses visées par les actes

• Paragraphe 6.2 du projet (jeton référencé en JOSE) : adaptation EAA-5.2.10.1-06 de la spécification ETSI TS 119 472-1 Annexe II.
• Format mdoc : renvois au projet le plus souvent sans numéro de clause ; ses sections 8.2 et 9.2 sont citées pour le mécanisme de liste d’identifiants Annexe II.
• Annexe I ter : renvoi à la spécification sans version Annexe I ter.
• Les annexes I ter et II du règlement d’exécution 2024/2979 reflètent les changements du règlement d’exécution 2026/1731 Règlement d'exécution (UE) 2026/1731 ; ce résumé cite la version consolidée.

Liens

• Actes qui y renvoient : règlements d’exécution 2024/2979 Règlement d'exécution (UE) 2024/2979 — version consolidée au 11/08/2026, 2026/1731 Règlement d'exécution (UE) 2026/1731 et, par renvoi, 2024/2977 Règlement d'exécution (UE) 2024/2977 — version consolidée au 11/08/2026.
• Norme intermédiaire : ETSI TS 119 472-1 ETSI TS 119 472-1 V1.2.1.
• Normes liées : version 21 du projet draft-ietf-oauth-status-list-21 ; RFC 8392, jeton CWT RFC 8392 ; OpenID4VCI 1.0 OpenID4VCI 1.0.
• Parcours : étape 3, le portefeuille européen.

Rédaction Asphalia.