Electronic Signatures and Trust Infrastructures (ESI); Specification of interfaces related to Authentic Sources

Remarque

Spécification technique ETSI sur les interfaces avec les sources authentiques, liée à l'obligation de l'article 45e de vérifier à la demande de l'utilisateur certains attributs (version 1.1.1).

Résumé

Objet

La spécification technique ETSI TS 119 478 (version 1.1.1, janvier 2026) définit les interfaces qui permettent de vérifier des attributs auprès des sources authentiques ETSI TS 119 478 V1.1.1, § 1 Scope ETSI TS 119 478 V1.1.1, History. Une source authentique est un répertoire ou un système, administré sous la responsabilité d’un organisme du secteur public ou d’une entité privée, qui contient et fournit des attributs concernant une personne Art. 3 §47. La spécification décrit son interface de vérification ainsi :

Elle définit aussi une interface de découverte (I1), une interface facultative de récupération des attributs (I3) et une interface d’autorisation (I4) ETSI TS 119 478 V1.1.1, § 1 Scope ETSI TS 119 478 V1.1.1, § 6.1.3 I4 (Authorize). Son champ d’application renvoie à l’article 9 du règlement d’exécution 2025/1569 ETSI TS 119 478 V1.1.1, § 1 Scope.

À qui ça s’applique

• Aux États membres, qui mettent en place des mécanismes permettant aux prestataires qualifiés délivrant des attestations électroniques d’attributs qualifiées (QEAA) de faire vérifier des attributs, à la demande de l’utilisateur Art. 9 §1.
• Aux organismes publics responsables d’une source authentique et aux intermédiaires désignés, qui communiquent le résultat par le point de vérification Art. 9 §2.
• Aux prestataires qualifiés qui délivrent des QEAA, côté demandeur Art. 9 §2.

Points clés

• Deux réalisations de l’interface de vérification : l’une fondée sur HTTP et OAuth (clause 6.1), l’autre sur la norme ISO 15000 (clause 6.2) ETSI TS 119 478 V1.1.1, § 6.1 Authentic Source Interface based on HTTP / OAuth ETSI TS 119 478 V1.1.1, § 6.2.1 Overview.
• Quatre résultats possibles pour chaque attribut, dans la réalisation HTTP : correspondance exacte, absence de correspondance, correspondance avec une variante orthographique admise, ou résultat inconnu faute de données ETSI TS 119 478 V1.1.1, § 6.1.1.2 Verify Response.
• Découverte (clause 5) : l’interface I1 permet d’accéder au répertoire sémantique et à l’annuaire des services de données du système technique once-only (OOTS) ETSI TS 119 478 V1.1.1, § 1 Scope ETSI TS 119 478 V1.1.1, § 5 Discover Interface.
• Autorisation : l’interface I4 s’appuie sur l’enregistrement dynamique des clients et le flux de code d’autorisation d’OAuth ETSI TS 119 478 V1.1.1, § 6.1.3 I4 (Authorize).
• Schémas : spécifications OpenAPI (annexes A et B) et schémas XML (annexe C) ETSI TS 119 478 V1.1.1, Annex B (normative): OpenAPI Specification for Authentic Source Interface ETSI TS 119 478 V1.1.1, Annex C (normative): XML-Schemata for PID and RIM binding.

Ce que les actes appliquent, et comment

L’annexe IV du règlement d’exécution 2025/1569, ajoutée par le règlement d’exécution 2026/1735, prévoit que les mécanismes de vérification de l’article 9 sont conformes à l’une des deux clauses suivantes, ou aux deux, moyennant des adaptations Annexe IV Art. 1 §6 :

• la clause 6.1.1 (vérification sur HTTP et OAuth) ;
• la clause 6.2.3 (vérification selon l’ISO 15000).

Renvoi partiel : les autres interfaces (découverte, récupération, autorisation) ne sont pas visées par l’annexe Annexe IV.

Adaptations : dans la spécification, une réponse positive doit renvoyer la valeur de l’attribut ETSI TS 119 478 V1.1.1, § 6.1.1.2 Verify Response ETSI TS 119 478 V1.1.1, § 6.2.3.2.1 Successful Verify Response ; l’annexe en fait une simple faculté. Pour la clause 6.1.1, la valeur peut être renvoyée ; si elle l’est, c’est celle de la demande en cas de correspondance exacte, celle de la source en cas de variante. Pour la clause 6.2.3, la réponse peut contenir exactement un élément enfant, au choix Annexe IV. Jusqu’au 31 décembre 2026, le règlement prévoit que le résultat indique uniquement si l’attribut a été vérifié ou non, et l’organisme public concerné Art. 9 §4.

Dates : les mécanismes de vérification sont applicables à partir du 19 août 2026 Art. 11. Le règlement d’exécution 2026/1735 insère dans l’article qui les régit un paragraphe 2 bis, selon lequel le mécanisme de vérification satisfait aux spécifications de l’annexe IV, et remplace le paragraphe 4 : le nouveau texte ne contient plus le mot uniquement, et le résultat devra être signé ou cacheté par l’organisme public ou l’intermédiaire désigné Art. 1 §3. Ces deux modifications sont applicables à partir du 1er janvier 2027 Art. 2.

Régime : c’est une exigence de conformité des mécanismes mis en place par les États membres ; l’article du règlement 910/2014 qui habilite la Commission sur la vérification des attributs ne contient pas de phrase de présomption Art. 45 sexies §2.

Clauses importantes

• ETSI TS 119 478 V1.1.1, § 1 Scope : champ d’application.
• ETSI TS 119 478 V1.1.1, § 6.1.1 I2 (Verify) : vérification sur HTTP et OAuth (visée).
• ETSI TS 119 478 V1.1.1, § 6.2.3 I2 (Verify) : vérification selon l’ISO 15000 (visée).
• ETSI TS 119 478 V1.1.1, § 5 Discover Interface : découverte (non visée).

Liens

• Exigences des prestataires d’attestations : ETSI TS 119 471 ETSI TS 119 471 V1.1.1, dont la clause de vérification auprès des sources authentiques n’est pas applicable selon l’annexe I du même règlement Annexe I.
• Parcours : étape 7, l’émetteur d’attestations.

Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI TS 119 478 V1.1.1. Rédaction Asphalia.