Certificat DSP2
Un certificat DSP2 identifie un prestataire de services de paiement lorsqu'il communique avec l'interface de compte d'une banque. Il contient l'identité du prestataire et les services de paiement qu'il est autorisé à fournir. Les certificats qualifiés du cadre eIDAS permettent à la banque destinataire de vérifier qui demande l'accès avant de traiter la demande.
Les prestataires de l'open banking en Allemagne s'identifient avec des certificats qualifiés d'authentification de site web ou de cachet électronique. On les appelle QWAC et QSealC, et ils sécurisent la communication de deux manières différentes. Le certificat contribue à identifier le prestataire, tandis que l'autorisation du client et les contrôles d'accès de la banque restent des exigences distinctes.
Pourquoi DSP2 exige des certificats
Lorsqu'un prestataire d'information sur les comptes ou d'initiation de paiement appelle l'interface d'une banque, celle-ci doit savoir si l'appelant est agréé et pour quels services. L'article 34 des normes techniques de réglementation sur l'authentification forte et la communication sécurisée, le règlement délégué (UE) 2018/389, règle la question: les prestataires s'identifient avec des certificats qualifiés de cachet électronique ou d'authentification de site web au sens du règlement eIDAS.
Le certificat porte le numéro d'agrément du prestataire, le nom de l'autorité qui l'a délivré, comme la BaFin en Allemagne, et les rôles DSP2 du prestataire: tenue de compte, initiation de paiement, information sur les comptes ou émission d'instruments de paiement liés à une carte. Un seul certificat indique à la banque si l'appelant peut lancer un paiement ou seulement lire des données. Les prestataires eux-mêmes sont décrits sous TPP de l'open banking.
QWAC et QSealC
Un QWAC, certificat qualifié d'authentification de site web, est un certificat TLS. Le prestataire le présente à l'ouverture de la connexion, et les deux parties s'authentifient avant tout échange de données. Un QSealC, certificat qualifié de cachet électronique, scelle la requête elle-même, si bien que la banque peut vérifier l'origine et l'intégrité de chaque message, y compris après stockage ou transmission.
L'avis de l'ABE sur l'usage des certificats eIDAS laisse le choix à la banque qui fournit l'interface et recommande d'utiliser les deux en parallèle. Lorsqu'un agent ou un prestataire technique appelle l'API pour le compte d'un prestataire, le certificat doit identifier le prestataire agréé qui se trouve derrière.
ETSI TS 119 495 et les émetteurs
Seul un prestataire de services de confiance qualifié inscrit sur une liste de confiance de l'UE peut émettre des certificats DSP2, après un audit selon ETSI TS 119 495, la norme qui définit les champs DSP2. L'émission exige une demande signée par le représentant légal, le numéro d'agrément délivré par l'autorité et, pour un QWAC, la preuve du contrôle du domaine, comme le décrit l'émetteur TBS Certificates.
Un QSealC ne produit des cachets qualifiés que si sa clé se trouve dans un dispositif qualifié de création de signature. La DSP2 n'exige pas de cachet qualifié, si bien qu'un cachet avancé issu du même certificat suffit. Les changements apportés par eIDAS 2 aux certificats de site web sont présentés sous eIDAS 2 et la finance.
Prochains événements sur les paiements et l'open banking
Finance Loop et les certificats DSP2
Finance Loop réunit les personnes qui construisent et sécurisent les interfaces d'open banking en Allemagne, en Autriche et en Suisse: équipes API des banques, prestataires d'information sur les comptes et d'initiation de paiement, et leurs spécialistes de la sécurité. Finance Loop relie les communautés de la finance, de l'informatique et de l'IA, avec des événements à Francfort, Munich, Berlin et Hambourg.
Finance Loop est partenaire de la Digital Euro Association, dont la Digital Euro Conference à Francfort traite des infrastructures de monnaie numérique et de l'open banking.
Qu'est-ce qu'un certificat DSP2?
Un certificat DSP2 est un certificat qualifié eIDAS doté de champs DSP2 supplémentaires: numéro d'agrément du prestataire, autorité de supervision et rôles agréés. Le prestataire s'en sert pour s'identifier auprès de l'interface d'open banking d'une banque.
Quelle différence entre un QWAC et un QSealC?
Un QWAC sécurise et authentifie la connexion, comme un certificat TLS. Un QSealC scelle les données de chaque requête, dont l'origine et l'intégrité restent vérifiables; l'ABE recommande d'utiliser les deux certificats ensemble.
Qui émet les certificats DSP2?
Les prestataires de services de confiance qualifiés inscrits sur les listes de confiance de l'UE, audités selon ETSI TS 119 495, émettent les certificats DSP2. Le prestataire de paiement doit obtenir son agrément de l'autorité nationale avant l'émission du certificat.
Les certificats DSP2 et Finance Loop
Finance Loop traite les certificats DSP2 dans sa thématique Paiements & monnaie numérique, avec l'authentification forte du client, eIDAS 2 et le rôle des TPP. Les équipes API des banques et les prestataires qui appellent leurs interfaces se retrouvent aux événements de Finance Loop.
Finance Loop est un réseau professionnel qui favorise l'usage institutionnel des technologies émergentes en finance, comme l'IA, les paiements numériques, le cloud et les solutions blockchain. Finance Loop aide ses membres à développer des compétences et des réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.