Electronic Signatures and Trust Infrastructures (ESI); Relying party attributes supporting EUDI Wallet user's authorization decisions

Remarque

Spécification technique ETSI qui fixe les exigences des attestations par certificat servant à identifier et autoriser les parties utilisatrices de portefeuilles EUDI, dont les certificats d'enregistrement (version 1.2.1).

Résumé

Objet

La spécification technique ETSI TS 119 475 (version 1.2.1, mars 2026) porte sur les certificats qui identifient les parties utilisatrices de portefeuille et décrivent ce qu’elles sont autorisées à demander ETSI TS 119 475 V1.2.1, § 1 Scope ETSI TS 119 475 V1.2.1, History. Son champ d’application commence ainsi :

Elle définit surtout la politique et le profil des certificats d’enregistrement des parties utilisatrices (WRPRC), la correspondance des données entre ce certificat et le certificat d’accès (WRPAC), et des recommandations de coordination entre leurs fournisseurs ETSI TS 119 475 V1.2.1, § 1 Scope. Elle ne fixe pas d’exigences sur la conception ou le fonctionnement interne du portefeuille ETSI TS 119 475 V1.2.1, § 1 Scope.

À qui ça s’applique

• Aux États membres, qui autorisent au moins une autorité de certification à délivrer des certificats d’enregistrement, et mettent en œuvre des politiques et énoncés de pratiques spécifiques à ces certificats, conformément à l’annexe V du règlement d’exécution 2025/848 Art. 8 §1 Art. 8 §2, f).
• Aux fournisseurs de certificats d’enregistrement : les États membres veillent à ce qu’ils délivrent ces certificats de manière automatisée et sans retard injustifié après l’enregistrement, et leur imposent de ne les délivrer qu’aux parties utilisatrices enregistrées Art. 8 §1 Art. 8 §2, a).
• Aux fournisseurs de portefeuille, pour l’usage du certificat d’accès dans les demandes de présentation (voir plus bas) Art. 5 §1.

Points clés

• Deux certificats complémentaires : le certificat d’accès authentifie la partie utilisatrice auprès du portefeuille ; le certificat d’enregistrement indique les usages déclarés et les données qu’elle peut demander. Les deux sont liés par l’identifiant de la partie utilisatrice ETSI TS 119 475 V1.2.1, § 4.5 Registration and access certificate relation.
• Certificat d’accès : la spécification ne fixe pas la politique de ce certificat, qu’elle renvoie à la TS 119 411-8 ; elle en donne la correspondance des données ETSI TS 119 475 V1.2.1, § 4.3 Wallet-Relying Party Access Certificates (WRPACs).
• Certificat d’enregistrement : il sert la transparence envers l’utilisateur et la minimisation des données ; à défaut de certificat, le portefeuille consulte le registre national ETSI TS 119 475 V1.2.1, § 4.4 Wallet-Relying Party Registration Certificates (WRPRCs). Cette clause présente la délivrance des certificats d’enregistrement comme une possibilité ouverte aux États membres (may mandate or allow) ; dans sa version modifiée par le règlement d’exécution 2026/1730, l’article qui régit ces certificats prévoit que les États membres autorisent au moins une autorité de certification à les délivrer Art. 8 §1.
• Format : un jeton JWT ou CWT signé par le fournisseur ; le JWT porte une signature JAdES de niveau B-B ETSI TS 119 475 V1.2.1, § 5.2.1 Format.
• Politique et droits : un identifiant de politique propre (OID) et une liste d’identifiants de rôles, du prestataire de services au fournisseur de PID ou d’attestations ETSI TS 119 475 V1.2.1, § 6.1.3 Certificate Policy name and identification ETSI TS 119 475 V1.2.1, A.2 WRP entitlement identifiers.

Ce que les actes appliquent, et comment

• Règlement d’exécution 2025/848, annexe V, point 3 (règlement applicable à partir du 24 décembre 2026 Art. 11) : la politique et l’énoncé des pratiques de certification des certificats d’enregistrement font l’objet d’une harmonisation dans toute l’Union, sont conformes à la TS 119 475 version 1.2.1 et comprennent une liste d’éléments Annexe V. Le règlement d’exécution 2026/1730 a remplacé, au premier alinéa du point 3, une exigence de conformité à la politique normalisée de l’ETSI EN 319 411-1 version 1.4.1 par la phrase suivante Annexe III :

À la différence du certificat d’accès, pour lequel l’annexe IV dit le cas échéant, cette formule ne comporte pas de réserve Annexe IV. L’annexe vise la spécification entière, sans liste de clauses ni adaptation. L’article du règlement 910/2014 qui habilite la Commission ne prévoit pas de présomption de conformité Art. 5 ter §11.

• Règlement d’exécution 2024/2982, annexe II : l’exigence OIDFVP-HAIP-COMMON-REQ-RO-23 précise que le certificat d’entité finale utilisé avec le préfixe x509_hash d’OpenID4VP est un certificat d’accès tel que spécifié dans la TS 119 475 Annexe II. Ce renvoi passe par la norme intermédiaire ETSI TS 119 472-2, dont la référence [14] cite la TS 119 475 sans version ETSI TS 119 472-2 V1.2.1, § 2.1 Normative references.

Clauses importantes

• ETSI TS 119 475 V1.2.1, § 1 Scope : champ d’application.
• ETSI TS 119 475 V1.2.1, § 4 General concepts : rôles et certificats.
• ETSI TS 119 475 V1.2.1, § 5.2 WRPRC profile requirements : profil du certificat d’enregistrement.
• ETSI TS 119 475 V1.2.1, § 6 Policy requirements for WRPRC : politique du certificat d’enregistrement.
• ETSI TS 119 475 V1.2.1, Annex A (normative): WRP identifiers : identifiants.

Liens

• Version antérieure au corpus : ETSI TS 119 475 V1.1.1 ETSI TS 119 475 V1.1.1.
• Certificats d’accès : ETSI TS 119 411-8 ETSI TS 119 411-8 V1.1.1.
• Parcours : étape 7, la partie utilisatrice.

Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI TS 119 475 V1.2.1. Rédaction Asphalia.