Officiel Contraignant
Remarque
Spécification technique ETSI, partie 5, qui définit deux approches (1-QWAC et 2-QWAC) pour émettre des certificats qualifiés d'authentification de site web et les déployer sur les sites (version 2.1.1).
Le texte intégral n'est pas reproduit ici (droits) : consultez la source officielle.
Résumé
Objet
La spécification technique ETSI TS 119 411-5 (version 2.1.1, février 2025) organise la délivrance des certificats qualifiés d’authentification de site internet (QWAC), leur déploiement sur les sites et leur traitement par les navigateurs ETSI TS 119 411-5 V2.1.1, § 1 Scope ETSI TS 119 411-5 V2.1.1, History. Son champ d’application commence ainsi :
The present document defines two approaches for issuing qualified certificates for website authentication, deploying them to websites, and their consumption by web browsers.
Selon la spécification, les deux approches visent à répondre aux exigences du règlement 2024/1183 relatives à ces certificats ETSI TS 119 411-5 V2.1.1, § 1 Scope. La version 1.1.1 de janvier 2023 était un rapport technique (TR) ETSI TS 119 411-5 V2.1.1, History.
À qui ça s’applique
La spécification s’adresse à trois acteurs, une clause pour chacun ETSI TS 119 411-5 V2.1.1, § 1 Scope :
- les prestataires de services de confiance qualifiés qui délivrent les certificats (clause 4) ;
- les exploitants de sites internet qui les utilisent (clause 5, des orientations) ;
- les navigateurs internet qui les traitent (clause 6).
Points clés
- Approche 1 (1-QWAC) : le certificat qualifié sert directement à établir la connexion TLS entre le navigateur et le serveur ; il est délivré selon la politique QEVCP-w ou QNCP-w de l’ETSI EN 319 411-2 et le profil de l’ETSI EN 319 412-4 ETSI TS 119 411-5 V2.1.1, § 1 Scope ETSI TS 119 411-5 V2.1.1, § 4.1 1-QWAC Approach.
- Approche 2 (2-QWAC) : le certificat qualifié, délivré selon la politique QNCP-w-gen, ne sert qu’à signer une liaison vers les certificats TLS du site, eux-mêmes reconnus par les magasins de racines des navigateurs ; son usage étendu de clé est limité à id-kp-tls-binding ETSI TS 119 411-5 V2.1.1, § 1 Scope ETSI TS 119 411-5 V2.1.1, § 4.2 2-QWAC Approach.
- Liaison TLS : l’exploitant du site signe, avec la clé du 2-QWAC, une signature JAdES sur la liste de ses certificats TLS, et la signale par un en-tête HTTP Link ETSI TS 119 411-5 V2.1.1, § 5.2 Usage of 2-QWACs ETSI TS 119 411-5 V2.1.1, Annex B (normative): TLS Certificate Binding Profile.
- Contrôles du navigateur : déclarations QCStatements et politique, chaîne jusqu’à un émetteur de la liste de confiance de l’UE habilité à délivrer des QWAC, validité, nom de domaine, profil ETSI TS 119 411-5 V2.1.1, § 6.1.2 Validation of QWACs.
- Affichage : en cas de succès, le navigateur indique que le certificat est qualifié, avec le label de confiance de l’UE si c’est techniquement possible, et affiche les données d’identité de manière conviviale ; en cas d’échec, il n’affiche aucun indicateur de statut qualifié ETSI TS 119 411-5 V2.1.1, § 6.3 Validation outcomes.
Ce que les actes appliquent, et comment
- Règlement d’exécution 2025/2527 : pour les certificats qualifiés d’authentification de site internet autres que ceux utilisés en TLS hors navigateur, y compris dans un navigateur, l’annexe renvoie à la TS 119 411-5 version 2.1.1, entière et sans adaptation Liste des normes de référence applicables aux certificats qualifiés d’authentification de site internet. Le règlement est applicable à partir du 6 janvier 2027 Art. 2. Il désigne ces normes comme normes de référence applicables aux certificats Art. 1 Art. 45 §2. Le règlement 910/2014 ne prévoit pas ici de présomption, mais une évaluation menée selon ces normes :
L’évaluation du respect de ces exigences est effectuée conformément aux normes, spécifications et procédures visées au paragraphe 2 du présent article.
Les obligations des fournisseurs de navigateurs viennent du règlement 910/2014 lui-même : reconnaître les certificats délivrés conformément au paragraphe 1, garantir l’affichage convivial des données d’identité et des attributs attestés supplémentaires, et garantir la compatibilité et l’interopérabilité avec ces certificats, sauf, pour cette dernière obligation, les micro ou petites entreprises pendant leurs cinq premières années d’activité comme fournisseurs de navigateurs Art. 45 §1 bis. Le règlement ajoute que ces certificats ne font l’objet d’aucune exigence obligatoire autre que celles du paragraphe 1 Art. 45 §1 ter. Un considérant demande que les normes de référence permettent des certificats autonomes, liés à d’autres certificats ou dans d’autres configurations, sans porter atteinte à la liberté des fournisseurs de navigateurs en matière de sécurité du web portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence applicables aux certificats qualifiés d’authentification de site internet.
- Règlement d’exécution 2025/2162 : l’annexe II cite la TS 119 411-5, sans version, pour la délivrance de certificats qualifiés d’authentification de site internet ; les systèmes d’évaluation de la conformité indiquent l’année et le numéro de version des normes Annexe II Art. 6 §3.
Clauses importantes
- ETSI TS 119 411-5 V2.1.1, § 1 Scope : champ d’application et objectifs des deux approches.
- ETSI TS 119 411-5 V2.1.1, § 4 Trust Service Provider Requirements for issuing Qualified Certificates for Website Authentication : exigences pour les prestataires.
- ETSI TS 119 411-5 V2.1.1, § 6 Web Browser Requirements for consuming Qualified Certificates for Website Authentication : exigences pour les navigateurs.
- ETSI TS 119 411-5 V2.1.1, Annex B (normative): TLS Certificate Binding Profile : profil de la liaison TLS.
Liens
- Normes auxquelles elle renvoie : ETSI EN 319 411-2 ETSI EN 319 411-2 V2.6.1, ETSI EN 319 412-4 ETSI EN 319 412-4 V1.4.1, JAdES ETSI TS 119 182-1 V1.2.1, ETSI TS 119 615 ETSI TS 119 615 V1.4.1.
- Options de l’annexe de 2025/2527 pour le TLS hors navigateur : ETSI EN 319 411-2 (politiques QNCP-w-gen, QEVCP-w ou QNCP-w) ETSI EN 319 411-2 V2.6.1 ou ETSI TS 119 495 ETSI TS 119 495 V1.7.1.
- Parcours : étape 4, les services de confiance.
Version citée
L’annexe du règlement d’exécution 2025/2527 nomme l’ETSI TS 119 495 dans sa version 1.7.1 Liste des normes de référence applicables aux certificats qualifiés d’authentification de site internet. L’index des normes ETSI du corpus, consulté le 31 octobre 2026, mentionne une version publiée plus récente, la V1.8.1, dont le texte ne figure pas dans le corpus.
Consolidation sans valeur officielle
Ce résumé s’appuie sur la version consolidée, publiée sur EUR-Lex, du règlement 910/2014 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024. Elle sert de documentation : seul le texte publié au Journal officiel fait foi.
Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI TS 119 411-5 V2.1.1. Rédaction Asphalia.