Communauté SEPAmail : Azzana

De nombreux acteurs sont arrivés depuis 2010 au sein de la communauté SEPAmail. Azzana Consulting fait partie de ceux qui s'intéressent à SEPAmail depuis fin 2013. J'ai rencontré et interrogé Lionel Vincke, le directeur.

Quand a été créé AZZANA, dans quel contexte ?

Azzana a été créée en 2011 à Bruxelles, et s'est établie en France en 2013, notamment pour accompagner une clientèle française de plus en plus nombreuse. Le but d'Azzana est de partager, en France, des pratiques "internationales" ou plus "anglo saxonnes" sur les moyens de paiement et la gestion de trésorerie, telles que rencontrées dans le Benelux.

Combien de collaborateurs comptez-vous, quels sont leurs profils, quelles sont leurs fonctions ?

Azzana compte 30 personnes, dont une majorité de consultants seniors, tous avec un domaine d'expertise donné (SEPA, cash pooling, monétique, risque de change, relation bancaire, ...). et tous avec un background particulier.

Quels sont les principaux produits ou services développés et vendus ?

Notre credo est de proposer des solutions sur mesure.
Nous n'avons donc pas l'approche d'un éditeur ou d'une SSII classique.
Nous écoutons chaque client avant de lui faire une offre unique, répondant précisément à sa problématique et son contexte.

Quant aux domaines que nous couvrons, il s'agit de tous ceux liés à la trésorerie d'entreprise ou aux moyens de paiement, que vous retrouverez sur notre site web (relation bancaire, moyens de paiement, gestion de la liquidité et des risques, logiciels de trésorerie).

Quels est le profil de vos clients, quelles sont vos références ?

Nos clients sont des banques de la place et, côté entreprise, des entreprises de taille intermédiaire ou grande entreprise (CAC40, SBF120,...)

Quelles sont vos spécificités ?

Nous mettons en avant 4 valeurs:

• la passion ; tous nos consultants sont réellement passionnés par notre domaine,
• le sur mesure
• le partage des connaissances (entre nous mais plus largement dans notre communauté)
• une approche à long terme (tant avec nos collaborateurs qu'avec nos clients).

Un autre facteur différenciant pour la concurrence est notre origine et position internationale.

Quel est votre lien à SEPAmail ?

Nous avons suivi Zoomit en Belgique depuis des années, iDEAL aux pays-bas et SEPAmail en France également.

Depuis notre arrivée en France, nous somme surpris du faible niveau d'automatisation et de dématérialisation des moyens de paiement (chèques, TIP, peu de référence de lettrage dans le virement,...).

Nous voyons en SEPAmail un moyen pour la France d'être force de proposition innovante sur ces sujets. SEPAmail est aussi une  voie pour les banques de se positionner en fournisseur de services (ou, en tout cas, comme l'un des maillons dans la chaine) alors qu'elles sont de plus en plus désintermédiées.

Quel est votre implication dans la communauté SEPAmail ? Quelle évolution pour la suite ?

Nous construisons, avec nos clients entreprises et banquiers, des "use cases" SEPAmail, c'est à dire des façons d'utiliser cet outil pour répondre à différents besoin.

A chaque rencontre client, nous découvrons une nouvelle utilisation pour SEPAmail.

Nous souhaitons continuer sur cette voie, en faisant découvrir les possibilités offertes par cet outil à tous et en imaginant des solutions à valeur ajoutée pour chacun et en accompagnant nos clients dans la mise en œuvre de ces solutions.

Communauté SEPAmail : PPI

Nous continuons notre tour des entreprises de la communauté SEPAmail avec la société PPI France, spécialiste des échanges de données informatiques financières, notamment dans le cadre de l'échange ebics.
J'ai rencontré et interrogé Marc Dutech, directeur général.

Quand a été créé PPI, dans quel contexte ?

PPI France, créée en 2010, est la filiale française de PPI AG, leader européen dans le domaine des transactions financières et des EDI financiers. PPI France propose les produits de la gamme TRAVIC, suite complète et modulaire d’Electronic-Banking dédiée aux Banques, Entreprises, Prestataires pour la dématérialisation de leurs flux financiers. PPI France fournit également des composants permettant aux éditeurs de logiciels d’implémenter rapidement la gestion du protocole EBICS au sein de leurs applications.

Combien PPI comptent de collaborateurs ?

PPI France compte 6 collaborateurs et fait appel fréquemment aux ressources humaines de PPI AG forte d’un effectif de 350 employés. Les collaborateurs de PPI France se consacrent à la localisation de l’offre TRAVIC pour ses marchés (France, Péninsule Ibérique, Pays d’Afrique francophone), à leur commercialisation, à leur déploiement et à leur support de premier niveau.

Quels sont vos principaux produits ?

La suite TRAVIC se compose de plusieurs logiciels :

• TRAVIC-Corporate : serveur multi-protocolaire utilisé par les Banques et Prestataires pour les échanges télématiques avec leur clientèle Entreprise et avec d’autres institutions financières dans le cadre d’échanges interbancaires,
• TRAVIC-Link : solution d’automatisation des échanges et des traitements des flux financiers particulièrement bien adapté aux Entreprises ayant des volumétries conséquentes à traiter,
• TRAVIC-Port : solution permettant de mettre en œuvre rapidement un portail de Coporate-Banking sur Internet,
• EBICS-Kernel : composant logiciel destiné à être intégré au sein d’application tierces pour la gestion du protocole EBICS toutes versions,

PPI fournit l’assistance au déploiement et à la mise en production de TRAVIC ainsi que son support après-vente. PPI propose également des prestations de conseil métier et IT dans les domaines ayant trait aux échanges de flux financiers.

Quels est le profil de vos clients, quelles sont vos références ?

Les clients de PPI sont des Banques de toute taille (Crédit Mutuel/CIC, Caisses d’Epargne Allemande, Commerzbank, Deutsche Bank, Banque Delubac,…) des Prestataires et Opérateurs (Docapost, Atos Worldline, GAD,EBA Clearing,…), des Entreprises (ADP GSI, AMB Generali,…) et des éditeurs de logiciel (Datalog Finance, CPI Software, Kyriba, Alsyon,…).

Quelles sont vos spécificités ?

 

Dès 2008 PPI a fait le pari qu’EBICS deviendrait un protocole couramment utilisé non seulement en France et en Allemagne mais aussi dans d’autres pays d’Europe et du reste du monde. De même qu’elle a prévu son utilisation à grande échelle non seulement dans le cadre des échanges Banque-Entreprise mais également dans le cadre des échanges interbancaires et B2B.

PPI a donc consacré une part importante de son effort R&D au développement d’applications basées sur le protocole EBICS afin de proposer des applications innovantes, robustes et performantes. A ce jour, plus de 70 employés sont dédiés au développement et au support de ces applications, faisant de PPI un acteur unanimement reconnu pour la qualité de ses logiciels et leur adéquation aux besoins de tous les marchés dans lesquels elle est présente.

Le pari fait en 2008 est en train de se réaliser et PPI y contribue largement, d’une part en proposant des prestations de conseil et une offre produit efficientes et d’autres part en participant activement à la promotion d’EBICS au niveau international.

Quel est votre lien à SEPAmail ?

PPI a proposé ses connaissances et ses produits pour tester la capacité d’EBICS à échanger des flux SEPAmail.

Ces tests, réalisés début 2013, se sont avérés concluants.

Quel est votre implication dans la communauté SEPAmail ?

Outre le fait que PPI continue à proposer ses services pour d’éventuels tests ou expérimentations supplémentaires, PPI entend informer ses clients et son marché de l’adéquation du protocole EBICS et de ses logiciels à l’échange des flux SEPAmail.

Communauté SEPAmail : Lyra Network

Nous continuons notre tour des entreprises de la communauté SEPAmail avec la société Lyra Network.

J'ai rencontré et interrogé Christophe Mariette, directeur commercial.

Quand a été créé Lyra Network, dans quel contexte ?

Lyra Network a été créée en janvier 2001 à Toulouse (où se situe son siège social) par Alain Lacour et André Malbert alors que l’industrie monétique était en pleine croissance.

Profitant de la libéralisation des Telecom, Lyra Network s'est rapidement imposée comme leader en France sur le marché de la transaction monétique en privilégiant l’innovation et la recherche de solutions fiables et performantes.

Elle s’est d’abord développée sur le paiement de proximité pour élargir son périmètre au paiement à distance depuis 2009

Aujourd’hui, l’entreprise est présente sur quatre continents (Europe, Afrique, Asie, Amérique Latine), elle réalise +50 millions de chiffre d’affaires et effectue plus de 2,5 milliards de connexions par an.

Combien de collaborateurs compte l'entreprise, quels sont leurs profils et leurs fonctions ?

Aujourd’hui l’entreprise compte une centaine de personnes de formations et d’expériences différentes:

• au service commercial, communication et marketing, support : ingénieurs, MBA en administration des entreprises, master de finance, expérience en développement marketing produit, profils internationaux.
• au service développement :  ingénieurs en informatique , télécom, informatique financière, gestion de l’entreprise, profils plus ou moins internationaux.

Notre organisation repose sur une centaine de collaborateurs dont une majorité de développeurs informatiques pilotés par :

• un directeur général et un président co-fondateurs : Alain Lacour et André Malbert
• un directeur commercial et marketing : Christophe Mariette
• un directeur Développement : Grégory Estrade
• un directeur Technique (Exploitation) : Jean Luc Lledos
• une directrice administrative et financière Clothilde Leclerc
• des directeurs régionaux
• Brésil : Thierry Coste
• Inde : Rajesh Desai
• Allemagne : Rainer Zettl

Quels sont les principaux produits ou services développés et vendus ?

Lyra Network est un opérateur monétique international qui offre un réseau fiable et sécurisé pour connecter tous types de solution de paiements.

Paiement de proximité : RTC, GPRS, IP, monétique intégrée

Lyra Network connecte les terminaux de paiements électroniques aux institutions bancaires et achemine les transactions de manière sécurisée.

Aujourd'hui, Lyra Network est reconnue comme le premier fournisseur français indépendant pour l'acheminement de transactions depuis les terminaux de paiement électroniques.

Paiement à distance : Plateforme de paiement sécurisées sur internet (Payzen)

Lyra Network propose une solution de paiement à distance pour les e-commerçants. Elle met à disposition de ses clients des outils de gestion et de suivi des transactions en direct via un back office.

Quels est le profil de vos clients, quelles sont vos références ?

Le profil de nos clients peut varier de façon très large pour le paiement à proximité, ce sont :

• Banques Groupe BPCE, La Banque Postale, Crédit Agricole, Banque Edel…
• Grande distribution, sociétés pétrolières : Total ; Ikea ; Leclerc, Carrefour ; Eram ;
• Sociétés de crédit à la consommation Cetelem, Cofinoga,Oney….
• Opérateurs télécom (prestataires de services aux banques) : Bouygues, SFR, Orange, O2, Vodafone…
•  Sociétés de maintenance

Les plus grands réseaux de banque, de crédit et pétroliers, ont choisi Lyra Network pour acheminer, gérer et superviser leurs flux monétiques en RTC, IP ou GPRS.

Pour le paiement à distance, nos clients sont :

• En marque Blanche : Banque Populaire, Caisse d’Epargne, BRED, Banque Edel, OSB,….
• Quelques exemple de clients : Leclerc Drive, UFC Que choisir, Allo Resto, Agapes, Vente du diable… 

Quelles sont vos spécificités ?

Lyra Network se distingue de ses concurrents par :

• son avancée technologique (fiabilité et performance des solutions),
• la redondance complète en exploitation (2 sites, multi opérateurs…)
• une offre complète dans le paiement (paiement par carte de proximité et à distance, sepamail…
• des solutions faciles à intégrer pour les clients, évolutives
• un extranet de gestion de en Web 2.0 egonomique
• un monotoring temps réel des transactions monétiques
• une traçabilité des flux bancaires et privatifs des terminaux de paiement
• un haut niveau de sécurité (Certification PCI DSS, contrôle de fraude, 3D Secure…)
• un support technique (24/7) ses valeurs

Ainsi que nos compétences : 

• des ingénieurs informatiques et télécom qualifiés
• ensemble des développements effectués en France
• des plateformes de traitement des transactions situées localement et administrées par les équipes techniques locales

Et notre développement : des projets de paiement développés sur demande des acquéreurs en des temps reccords.

Face à l’évolution des solutions de connexion des terminaux de paiement, Lyra Network fait évoluer son offre de façon permanente afin de s’adapter aux besoins du marché. 

Quel est votre lien avec le standard SEPAmail ?

SEPAmail est une messagerie à valeur ajoutée, orientée paiement, qui, par ses différentes applications, permet à des entités économiques d’échanger entre elles des factures et d’effectuer des paiements.

Lyra Network intervient alors pour gérer et sécuriser la transmission du message ainsi que la transaction qui en découle, entre l’entité économique sujette au paiement et la banque qui a préalablement installé l’application SEPAmail.

Quelle est votre implication dans la communauté SEPAmail ? Quelle évolution pour la suite ?

Lyra Network ambitionne de devenir un des importants acteurs dans SepaMail en sécurisant les échanges et en développant des services à valeur ajoutée.

En marge de SEPAmail : 2DDoc

Au fil du projet SEPAmail, il y a des idées (portées par des hommes) qui sont simples et réalisables... moins brillantes peut-être que les dogmes de quelques experts mais elles m'ont séduit car je crois en leur potentiel de métamorphose du sujet qu'elle traite.

Je continue cette série par le standard récent 2DDoc, inventé par la société AriadNext et porté par Cyril Murié de l'Agence Nationale des Titres Sécurisés (ANTS).

Les concepteurs de ce standard le présente ainsi : "Le standard à codes barres bidimensionnel 2D-Doc consiste en la sécurisation de données dans un code à barres signé électroniquement par la clé privée correspondant à une clé publique placée dans un certificat du type cachet serveur."

Premier constat : la fraude documentaire est facile à réaliser.
Un cas d'usage consiste à retoucher à l'aide d'une application la numérisation d'un document utilisé à des fins officielles afin de changer un élément important de ce document : une adresse, un nom, une date... tout en conservant un aspect "authentique" au document sans que cela soit facile à démontrer.


Deuxième constat : la numérisation ne veut pas dire dématérialisation et encore moins automatisation.


Beaucoup d'entreprises numérisent les documents qu'elles manipulent afin de les stocker, les reproduire, les sauvegarder plus facilement.
En sus de la numérisation, il est souvent configuré une reconnaissance de caractères afin de permettre des choix sur reconnaissance d'étiquettes  identifiants, références, etc...
Cependant, numériser et la reconnaissance de caractères ne signifie pas qu'il est plus facile d'automatiser des procédés. La notion d'encodage sous forme de code barre permet une lecture plus fiable et souvent plus facile.
Pour automatiser les procédés à la réception d'un document matérialisés ou numérisés, la présence de code barre permet une meilleure réussite et moins de cas à traiter avec un agent humain.

Troisième constat : pour dématérialiser de façon efficace une chaîne complète de traitement, il faut pouvoir articuler un tronçon matérialisé.
Quand on pense dématérialisation, on doit aussi penser à rester interopérable avec des agents qui ne disposent pas de la possibilité de lire ou écrire un support dématérialisé.
Ceci est connu des éditeurs de billets électroniques. Il faut pouvoir aussi imprimer ce billet dans certains cas.

Fort de ces trois constats, la société AriadNext a proposé d'encoder dans un code à barre 2D les informations utiles du document pour un automate, comme le nom, le montant, la date, l'adresse etc..., signées cryptographiquement par l'éditeur du document qui, par cette signature, authentifie ces informations.
Ce code à barre devient ainsi un sceau d'information photocopiable, imprimable, infalsifiable, lisible par un automate avec un fort taux de réussite.

Le principal inconvénient du code barre 2D est le peu d'information que l'on peut encoder.
l'ANTS a donc standardisé cette information sur le principe :

• d'un entête de type nomenclature à tiroir
• d'un corps de message de type liste de paires clés/valeurs en normalisant les clés, le type des valeurs.
• d'une signature des informations

sans y stocker le certificat qu'il faut donc récupérer par soi-même pour vérifier le code-barre.

Les informations 2DDOC sont compatibles avec les types de l'iso 20022 et les relevés d'identité bancaire et les relevés d'identité SEPAmail (RIS) sont des documents reconnus par le standard.

Ainsi, le RIS peut être encodé comme un 2DDOC : il s'appelle alors un RIS2D.

Voici mon RIS2D 2DDoc de test avec lequel vous pouvez essayer de m'envoyer un message SEPAmail.

Quels sont les avantages ?

Ils sont nombreux :

• la fraude par retouche infographique est difficile
• l'échange d'identifiant authentifié est automatisable et plutôt ergonomique avec un smartphone
• le standard propose une structuration des documents et des informations sensibles
• la vérification peut-être déshumanisée, ce qui peut augmenter la sécurité pour les agents
• la photocopie de l'identifiant authentifiable est possible

L'authentification documentaire est un premier pas vers la vulgarisation de l'authentification et la distinction essentielle entre l'authentification d'une personne, d'un document, à distance, en présence.

Quels sont les inconvénients ?

L'un des plus gros inconvénients, selon moi, tient dans un des avantages.
A ne plus pouvoir frauder par la retouche graphique, la fraude interne aux producteurs privés et publics de justificatifs va devenir visible.

Est-ce qu'un opérateur d'énergie ou de téléphonie va vraiment vouloir faire plus qu'authentifier un document et un montant et devenir responsable, sous son sceau et son organisation, de l'authentification d'une personne, d'une domiciliation, d'une date de naissance ?

On peut reprocher aussi au standard de ne pas expliciter suffisamment les limites d'utilisation d'une clé privée, notamment l'usure de la clé utilisée par rapport à l'usage.

Pour ceux qui liront la spécification technique, ils verront qu'il n'est pas possible de donner autre chose qu'une date limite d'utilisation, ce qui n'est pas très international. La norme possède également une limite intrinsèque liée au nombre maximum de jours depuis le 1er janvier 2000, à savoir 65535 jours donc elle ne sera plus valable en 2180 !

Enfin, par manque de place, il n'a pas été prévu de pouvoir insérer une clé publique liée à l'identifiant, ce qui aurait résolu nombre de difficultés cryptographiques d'inscription, notamment pour les relevés d'identité bancaire.

Pour aller plus loin

• le site 2D-doc
• le descriptif du processus
• la spécification technique
• l'application de lecture 2D-doc pour Android
• la page 2D-doc sur le site de l'ANTS

SEPAmail au coeur d'une solution pour remplacer les espaces clients "non markettés"

Il y a de nombreux espaces clients virtuels

De nombreux espaces clients virtuels se sont mis en place au fil des années, la plupart sur les modèles des boutiques eCommerce et marketés selon les mêmes principes.

Ainsi, aujourd'hui, chacun d'entre nous peut :

• voir ses remboursements de sécurité sociale sur son espace dédié de la CPAM, RAM, MSA etc...
• déclarer et consulter ses impôts
• récupérer ses remboursements de mutuelle
• déclarer ses emplois à domicile
• consulter ses déclarations CAF
• etc...

De même, les entreprises ont un espace de consultation et de déclaration pour :

• le RSI URSSAF
• le RSI RAM
• les impots
• les caisses de retraites
• les organismes de formation
• etc...

Tous ces espaces sont opérés et édités à grands frais par les institutions avec des critères de sécurités pas forcément homogènes, une authentification dédiée, des alertes par courriel avec des informations non anonymes.

Le papier a été remplacé par des documents numériques dans autant d'espaces que d'éditeurs de documents, avec une logique de stockage assuré et financé par l'éditeur au lieu et place du destinataire.

Le principe sous-jacent peut s'énoncer ainsi :
"Nous, les éditeurs de papier, nous avons intérêt à dématérialiser pour notamment faire des économies. Nous sommes prêts à financer des espaces de stockage pour nos destinataires car cela nous coutera moins cher, même si, avec ce service, nous changeons totalement les usages, la structure de coûts et les responsabilités autour du stockage, de la preuve et de la sécurité."

Ce principe n'est pas très efficace car il change fondamentalement les règles de confiance entre les expéditeurs et les destinataires de ces documents; alors même que cette confiance repose depuis des siècles sur le pair à pair et le rebond de l'authentification.

La confiance est primordiale.

Or, la confiance est primordiale dans les relations entre les entités économiques et il est important de ne pas déresponsabiliser l'utilisateur et le bénéficiaire des services collectifs.

Avec SEPAmail, l'approche de la dématérialisation et de l'automatisation est différente.
SEPAmail sécurise l'échange d'informations sans changer la nature et l'enjeu des stockages existants ou à venir.

Ainsi, un particulier peut choisir de matérialiser tous les documents qui lui arrivent ou les stocker de façon sécurisée ou non, dans en endroit unique ou non, il reste responsable et maître du stockage des documents.

Il ne dépend pas de nombreux éditeurs et de chacune des implémentations en terme de lecture de document, d'espaces de stockage et de sécurité de ses informations.

Le destinataire doit rester maitre à bord de son système d'information.

L'utilisateur reste le maitre à bord, quelque soit l'expéditeur du document.
Ainsi, l'utilisateur peut s'organiser de façon durable et personnalisée, comme autrefois pour son organisation de courriers.
 
Qu'en est-il des espaces clients des nombreux fournisseurs de services, espaces largement marketés ?



Les usages du web et la création de compte deviennent la norme... au risque de perdre toute confiance avec son client.

J'ai lu récemment un billet sur la promotion des commandes en ligne sans création de compte client... grand bonheur de l'acheteur soucieux de ne pas être une cible marketting ou publicitaire de plus.

Les stratégies sont difficiles pour ces utilisateurs, car ce sont plutôt les usages du web commercial qui s'imposent même dans la vie physique et pour la plupart des actes de la vie réelle... Aujourd'hui, on vous demande souvent de créer, de temps en temps à votre insu, un compte client pour pouvoir vous atteindre, vous segmenter...

Là encore, SEPAmail permet facilement le paiement sans création de compte avec les applications RUBIS et GEMME, tout simplement car SEPAmail met en avant un adressage mondial des entités économiques protégé par le réseau des banques des utilisateurs.

Avec des coûts annoncés très faibles et un spam difficile sans se griller définitivement sur le réseau, SEPAmail est sûrement un moyen efficace de communiquer avec son client en toute confiance et authentification avec un ré-équilibrage de la relation par la possibilité pour chaque client de décider de ce qu'il reçoit, et de qui il le reçoit.

L'important pour la confiance numérique de demain, c'est de pouvoir informer et vendre le meilleur produit pour son client... en toute responsabilité et toute transparence.

Pour aller plus loin

Je suis intéressé par vos remarques sur ce sujet et les développements d'usages que permet la notion de messagerie sécurisée, comme SEPAmail.

Communauté SEPAmail : Syrtal

Nous continuons notre tour des entreprises de la communauté SEPAmail avec le groupe Syrtals.

J'ai rencontré et interrogé Laurent Rouillac, pdg de Syrtals System integration.

Quand a été créé Syrtals, dans quel contexte ?

SYRTALS a été créé en 1997 par des experts Cash Management et Moyens de paiement Bancaire et Corporate sur la base de la difficulté récurrente des métiers de faire évoluer les processus et les offres notamment Informatiques dans le sens de leurs besoins et de ceux de leurs clientèles.

Le métier de SYRTALS au travers ses 60 consultants est de conduire le changement dans ces domaines du Cash and Payment, du conseil à la mise en marché en mobilisant des profils de différents niveaux de séniorité qui vont du Directeur d'activité au chef de projet junior.
Tous les livrables qui vont de l'étude stratégique, étude d'opportunité, cahiers des charges, expression de besoins spécifications fonctionnelles stratégies de recette, organisation, formation (nous sommes organisme agrée) etc.. sont produits par nos soins auprès de la quasi-totalité des banques en France et des grands Corporates avec un certain nombre d'incursions auprès de banques dans d'autres pays de la zone.

Quelles sont vos spécificités ?

Une des particularités de SYRTALS est d'intervenir auprès de tous les acteurs des processus Cash et payment et de disposer au travers de ses offres d'une couverture totale de ces métiers : Les activités sont structurées suivies et animées en terme de formation interne et externe, marketing, en domaines :

• Gestion de trésorerie
• Moyens de Paiement (Cartes, MDP électronique, NSP etc.)
• Trade Finance(Credoc garantie cautions )
• Dématérialisation (Web Banking - canaux - Factures - relevés - contrats - signature etc.)

 

Quelle est votre implication dans la communauté SEPAmail ? Quelle évolution pour la suite ?

Nous sommes très impliqués dans Sepamail sur tous les plans marketing technique et expérimentation, c'est un des sujets d'avenir pour le domaine des Moyens de paiements et nous disposons d'un volume d'expertise en consultant très important sur ce sujet.

Références webographiques de Syrtals sur le sujet SEPAmail

• Les enjeux des nouveaux moyens de paiement, Laurent Rouillac
• Les évolutions des marchés de paiement, Bruno Jonaides
• Les enjeux de SEPAmail
• Qu'est-ce que SEPAmail ?
• SEPAmail, un travail collaboratif

Communauté SEPAmail : ASTEK

J'ai interrogé Lionel Chemla, de la société ASTEK, qui accompagne depuis 2011 la moa BPCE dans son expérimentation, le suivi de l'éditeur et l'intégration de SEPAmail dans le système d'information de la Banque.

Fort de cette expérience, ASTEK a constitué une équipe SEPAmail et assiste aujourd'hui d'autres banques.

Quand a été créé ASTEK, dans quel contexte ?

Créé en 1988, Astek est un groupe français indépendant, devenu un acteur majeur du service informatique. Réunissant plus de 2900 collaborateurs, Astek réalise un chiffre d'affaires de 205 MEuros. Les expertises techniques et fonctionnelles du groupe s'articulent autour de quatre grands métiers :

• Conseil
• Systèmes d?information
• Ingénierie scientifique et technique
• Infogérance

Positionné sur l'innovation technologique, Astek a gagné la confiance de ses clients en intégrant avec succès, sur le long terme, leurs enjeux business et les technologies

Quelles sont vos spécificités ?

Depuis sa création en 1988, Astek a toujours bousculé les référentiels avec comme objectifs : servir les clients, trouver les meilleures solutions, grandir et prendre du plaisir au challenge. Cette culture a déterminé trois des cinq valeurs fondatrices du groupe : l’audace, la satisfaction client et l’engagement. Deux autres valeurs fondamentales viennent compléter notre ADN : technologie et capital humain.

Technologie parce qu’innover aujourd’hui est essentiel aux entreprises dans leur recherche de compétitivité. Celles-ci font davantage confiance aux technologies pour innover et leurs consacrent une grande part de leurs investissements. Elles ont besoin de prestataires de service innovants et agiles pour les aider à tirer parti des progrès technologiques.

Capital humain, car pour servir les entreprises en créant de la valeur, il faut disposer des meilleures compétences. Astek sait attirer en permanence de nouveaux talents et les guider vers l’excellence.

Nos enjeux d’aujourd’hui sont triples : conjuguer service et industrialisation, accompagner nos clients là où ils sont, conquérir des marchés émergents ou fortement concurrentiels, notamment par la réussite de projets réalisés en méthodologie agile avec un retour sur investissement rapide.

Nous atteignons ces objectifs tout en maintenant la relation personnelle avec nos clients. C’est indispensable pour leur apporter la compétence, l’expérience, la créativité et une organisation adaptée : dispositif de proximité (20 implantations en France), capacité de production élargie en offshore (6 implantations) et un développement international sur 11 pays (UK, Pologne, Suisse, Espagne, Tunisie, Chine, Brésil, Mexique, Vietnam, Maurice, Brésil).

Quel est le profil de vos clients, quelles sont vos références ? 

Nous intervenons dans les secteurs d’activité suivants suivant les proportions indiquées entre parenthèses :

• Transports (29%),
• Télécom (20%),
• Défense, Aéronautique & Spatial (15%),
• Industries & Services (15%),
• Banque & Assurance (10%),
• Energie (6%),
• Secteur Public (5%).

Nos domaines d’expertise sont schématisés par notre pyramide des offres ci-dessous :

Quelle est votre implication dans la communauté SEPAmail ? Quelle évolution pour la suite ?

Astek a conçu une proposition de valeur autour de SEPAmail, que l'on retrouve sur le schéma ci-dessous :

Communauté SEPAmail : AriadNext

Nous continuons notre tour d'horizon de membres de la communauté SEPAmail avec la société AriadNext, contribuant depuis 2009 notamment pour des applications entre l'adhérent et son client, l'utilisateur.

Marc, Guillaume et Tristan ont répondu à nos questions.

Quand a été créé AriadNEXT et dans quel contexte ?

AriadNEXT est avant tout issue de la rencontre au sein de SFR entre deux personnes : Guillaume DESPAGNE et Marc NORLAIN. Alors que le premier, spécialiste de l’organisation de la distribution, cherchait des moyens de simplifier le processus d’enrôlement en point de vente, le deuxième, expert en lutte contre la fraude, voulait sécuriser ce même processus d’enrôlement. En dépit de l’apparente contradiction entre leurs problématiques, Guillaume et Marc ont décidé de travailler conjointement sur ces sujets et ont finalement mis au point une solution originale et efficace permettant d’optimiser l’enrôlement en point de vente.

Lauréate de plusieurs concours d’innovation, cette solution a rencontré un réel succès qui a incité SFR à externaliser le projet. En 2010, AriadNEXT est ainsi créée dans le but de développer et commercialiser la solution d’optimisation de l’enrôlement.

Combien de collaborateurs, quels sont leurs profils et leurs fonctions ?

AriadNEXT compte aujourd’hui 22 collaborateurs, essentiellement des ingénieurs et docteurs en informatique. De par la nature des produits développées par AriadNEXT, nous avons la spécificité de compter parmi nous à la fois des profils spécialisés en conception matérielle (mécanique et électronique), des experts en système d’exploitation et des ingénieurs en développement logiciel (sécurité, systèmes d’information, analyse d’image, applications mobiles).

Nous attachons une grande importance au fait que chaque collaborateur soit affecté à la fois à des tâches de R&D avancée et de déploiement ou de maintenance des solutions AriadNEXT.

Quels sont les principaux produits ou services développés et vendus ?

Le produit phare d’AriadNEXT est le S<CUBE. Il s’agit de la réponse concrète aux deux problématiques initiales : la simplification du processus d'enrôlement couplée à la lutte contre la fraude.

Ce terminal, déployé dans un millier de points de vente, permet de scanner des pièces justificatives (carte d’identité, chèque, …) tout en vérifiant leur authenticité. Cela sécurise et facilite le processus de souscription puisque les informations extraites des pièces justificatives sont utilisées pour pré-remplir le contrat du client. Le terminal est également utilisé pour effectuer une signature électronique qualifiée du contrat et ainsi donc dématérialiser totalement la souscription tout en conservant une valeur légale similaire à un processus manuel.

En outre, AriadNEXT offre plusieurs services pour répondre efficacement aux problématiques de dématérialisation et de lutte contre la fraude comme: 2D-Doc, S<MARTSTAMP, S<MARTCAM, ICheckItAU… avec une attention particulière portée aux applications mobiles de dématérialisation, de contrôle de pièces et de signature électronique.

Quel est le profil de vos clients, quelles sont vos références ?

Nous travaillons essentiellement aujourd’hui avec des opérateurs en téléphonie mobile, mais notre solution en point de vente est applicable à un grand nombre de situation d'enrôlement client et de signature de contrat.

Pour nos solutions d’apposition de code sécurisés 2D-Doc, nous sommes également amenés à travailler avec différents émetteurs de factures, RIB ou autres documents à sécuriser.

Nous travaillons aujourd’hui notamment avec SFR qui a déployé notre S<CUBE dans plus de 900 points de vente et appose aujourd’hui plus de 5 millions de 2D-Doc mensuellement. Virgin Mobile et Auchan commencent également à équiper leurs boutiques de S<CUBEs

Nous fournissons également des applications mobiles à destination du grand public pour le contrôle de pièces d'identité ou la dématérialisation des pièces justificatives lors de souscriptions en ligne.

Quelles sont vos spécificités ?

La spécificité d’AriadNEXT est d’avoir fait de la gestion de l’enrôlement une thématique à part entière pouvant tirer partie de nombreuses technologies : acquisition et contrôle de pièces justificatives, dématérialisation, archivage, signature électronique, ... 

De plus, AriadNEXT développe ses solutions avec une approche orientée service : les briques technologiques listées ci-dessus sont implémentées comme des services indépendants et sont combinées pour s’adapter à des besoins et contextes spécifiques.

Quel est votre lien à SEPAmail ?

Dans le cadre de la dématérialisation de la souscription de contrats en point de vente, la question de la prise en charge des autorisations de prélèvement s’est rapidement posée. En effet, s’il n’y a plus de contrat papier, comment demander à un client de transmettre une autorisation de prélèvement à sa banque ? Dès 2008, Guillaume DESPAGNE a discuté de ce sujet avec Cyril VIGNET et a contribué à la définition des besoins de SEPAmail.  Par la suite, AriadNEXT a développé un connecteur permettant à un créancier d’émettre et recevoir des missives SEPAmail.

SFR, via le connecteur AriadNEXT, a donc été le premier utilisateur de l’application GEMME et, aujourd’hui, c’est plus de 40 000 autorisations de prélèvement qui ont été dématérialisées avec SEPAmail.

Suite à ce succès, AriadNEXT s’est imposé comme un partenaire naturel du projet SEPAmail et a développé plusieurs logiciels, notamment un client SEPAmail pour Android et un serveur SEPAmail utilisé dans le cadre de la démonstration e-commerce menée par SEPAmail.eu.

Quel est votre implication dans la communauté SEPAmail ?

Nous avons un double rôle au sein de la communauté : d’une part nous sommes éditeurs de logiciels SEPAmail à part entière, comme expliqué précédemment. D’autre part, nous communiquons auprès de nos clients (grands créanciers et services publics) sur les opportunités offertes par SEPAmail.

A ce propos, nous préparons une matinale autour de ce sujet le 27 mars prochain. L’objectif de cette matinale est double : montrer les opportunités que représentent SEPAmail pour les créanciers et les e-commerçants puis détailler l’offre SEPAmail d’AriadNEXT. Les personnes qui le souhaitent peuvent demander une invitation en envoyant un email à sepamail _at_ ariadnext.com.

Quelle évolution pour la suite ?

L’année 2013 devrait permettre à AriadNEXT de s’affirmer en tant qu’éditeur de logiciels SEPAmail. Cela va passer par le renforcement de l’offre pour les créanciers (connecteur SEPAmail en mode hébergé) mais également par l’ouverture d’un service à destination des banques. Ce projet en cours de finalisation permettra aux banques non encore rattachées au réseau SEPAmail de se connecter simplement, sans faire d’évolutions lourdes dans leur infrastructure.

A plus long terme, le but d’AriadNEXT est de contribuer au développement durable de SEPAmail pour pouvoir ensuite construire par dessus des services liés au coeur de métier d’AriadNEXT : vérification de coordonnées bancaires, dématérialisation de mandats SEPA, ...

Comment participer à la communauté SEPAmail ?

La question de comment contribuer m'est souvent posée.

Je vais tenter d'y répondre en quelques lignes et j'invite tous ceux qui dynamisent cette coopération à faire leur commentaire éventuel en réaction.

Les points d'entrée de la communauté SEPAmail sont multiples :

• pour proposer une nouvelle idée, le principe est de soumettre une demande de commentaire interne nommée SMIRK (SepaMail Internal Request for Komment) au scheme sur l'adresse scheme _at_ sepamail.eu. Tout est résumé ici.
• pour signaler une anomalie, poser une question, interagir avec les membres des comités SEPAmail, le mieux est de poser sa question directement sur la documentation en ligne, à l'onglet "discussion" de l'article qui vous pose question; il y a des personnes en lien avec la plupart des pages qui suivent les modifications de celles-ci et répondent aux questions posées
• pour participer à un comité, le plus simple est de s'adresser à la structure sepamail.eu via ce formulaire. Une adhésion est aussi possible pour les entreprises, les futurs adhérents et tous ceux qui sont intéressés. Toutes les contributions sont les bienvenues.
• pour participer à la traduction dans votre langue natale, vous pouvez également proposer votre assistance via ce formulaire pour obtenir les accès nécessaires à la traduction en ligne de la documentation

Pour les autres contributions, n'hésitez pas à commenter largement ces pages et poser vos questions; nous sommes quelques uns à pouvoir répondre à vos questions.

Communauté SEPAmail : DenyAll

Nous continuons notre tour des entreprises de la communauté SEPAmail avec DenyAll.

Jacques Sebag, directeur général et Renaud Bidou, directeur technique, se sont très tôt intéressés au standard SEPAmail et ont apporté durant l'année 2012 une contribution importante au groupe sécurité.

Stéphane de Saint Albin, directeur marketing, répond à nos questions.

Quand a été créé DenyAll, dans quel contexte ?

DenyAll est un éditeur français de logiciel, leader sur le marché de la sécurité applicative. Spin-off de la Société Générale, fondée en 2001, la société fut l’un des pionniers du Web Application Firewall au niveau mondial. Afin de sécuriser ses applications bancaires, la Société Générale avait en effet mis au point l’un des premiers reverse proxy filtrant, une technologie qui n’existait pas encore sous forme commerciale à la fin des années 90. DenyAll n’a cessé d’innover depuis pour répondre aux défis liés à la sécurisation et à l’accélération des applications et services Web de ses clients.

Combien de collaborateurs, quels profils, quelles fonctions ?

DenyAll emploie une quarantaine de personnes, dont plus de la moitié sont des ingénieurs logiciels, qui innovent pour lutter contre les attaques connues et inconnues. Les ingénieurs avant-vente sont des experts en sécurité réseau et applicative. La direction est composée de vétérans de l’industrie du logiciels et d’experts en sécurité :

• Jacques Sebag, Directeur Général, a plus de 25 années d'expérience en France, en Europe et aux Etats-Unis. Il a contribué au développement d’Oracle, Remedy, Veritas, Symantec et Ever Team.
• Renaud Bidou, Directeur Technique, est un expert de la sécurité reconnu. Il a fondé la société Intexxia, premier SOC français en 2000, et travaillé pendant 5 ans chez Radware.
• Stéphane de Saint Albin, Directeur Marketing, a exercé diverses fonctions au sein d’éditeurs comme Microsoft, 4D, Symantec et Neowave, en France, en Europe et aux Etats-Unis.

Quels sont les principaux produits ou services développés et vendus ?

L’offre de DenyAll s’articule autour des thèmes Protect, Detect et Manage :

• Protect : les produits historiques de DenyAll sont des pare-feux pour applications et services Web. rWeb, sProxy et rXML s’appuient sur une technologie reverse proxy éprouvée et une architecture modulaire qui permet à la société d’ajouter régulièrement de nouveaux modules de sécurité, comme ce fut le cas pour Sepamail.
• Detect : suite à l’acquisition de la société VulnIT en juillet 2012, DenyAll propose une gamme de scanneurs conçus pour aider auditeurs et équipes en charge de la sécurité informatique à gérer les vulnérabilités de leur infrastructure et de leurs applications, y compris en mode SaaS/Cloud, pour tester les défenses depuis l’extérieur.
• Manage : la console de management (DAMC) permet de réduire le TCO, de centraliser l’allocation des tâches entre administrateurs en charge de la sécurité, de l’infrastructure informatique et des applications.

Quel est le profil de vos clients, quelles sont vos références ?

DenyAll a vendu initialement aux grandes institutions financières Françaises. La société s’est développée sur d’autres secteurs verticaux en Europe, aidant les entreprises leaders des secteurs de l’énergie, des transports, des télécoms, de la défense, des médias, de la distribution, des services et du secteur public à protéger leurs applications Web. Aujourd’hui, DenyAll compte plus de 300 clients actifs, dont un tiers sont membres du CAC40. Une part grandissante des nouveaux clients de DenyAll sont des entreprises de tailles moyennes en Europe, Afrique du Nord, au Moyen-Orient et en Asie.

Quelles sont vos spécificités ?

DenyAll est un expert de la sécurité applicative. Avec plus de 10 ans d'expérience dans la sécurisation et l’accélération des applications Web, XML et FTP, DenyAll répond aux besoins de la plupart des organisations, grands comptes comme PME. Les pare-feux applicatifs de DenyAll protègent plus de 30 000 sites transactionnels, frontaux web, applications à base de Web Services (SOA) et outils de collaboration, en environnement traditionnel comme dans le Cloud. Les innovations DenyAll incluent la Scoring List, l’analyse comportementale, l’architecture Multi-DMZ et son mode Pooling, le module Client Shield qui contrôle l’exécution sécurisée du navigateur, des nouveaux moteurs de sécurité pour les langages modernes tels que JSON, le Mode Transparent Sécurisé, pour un déploiement facilité sans compromis de sécurité et le virtual patching, fruit de l’intégration entre les produits Protect et Detect.

Quel est votre lien à SEPAmail ?

Nous fournissons des solutions de sécurité des couches de transport. Concrètement, cela signifie que nous sécurisons les flux HTTP ainsi que les données XML utilisés pour échanger les missives. En effet les protocoles utilisés sont connus pour servir de vecteur d’attaque des couches applicatives. De telles attaques pourraient compromettre l’intégrité des données, interférer sur les processus de traitement, altérer les transactions, voire permettre un accès illégitime aux terminaux des administrateurs ou des utilisateurs du service.

Ainsi nous vérifions qu’aucune attaque n’est insérée dans les données en comparant les flux avec différentes bases de signatures. Nous nous assurons également que les formats de données sont conformes aux spécifications afin de prévenir d’erreurs de traitement volontaires ou non. Enfin les fichiers sont extraits et transmis à un anti-virus afin d’identifier toute menace de cette nature avant leur traitement.

Quel est votre implication dans la communauté SEPAmail ? Quelle évolution pour la suite ?

A l’issue de la première expérimentation, nous avons remis une étude de la sécurité des couches de transport au groupe de travail sécurité. Cette étude avait pour but de mettre en avant les failles techniques et structurelles que nous avons identifiées lors des tests. Cela a permis de renforcer la sécurité de certains composants de la chaine applicative, tels que les modèles de données par exemple, et de définir les contours fonctionnels des besoins de sécurisation de la couche de transport.

Dans l’avenir nous continuons à travailler avec certains membres de la communauté pour la mise en production de nos solutions de sécurité. Nous restons également disponible pour assister le groupe de travail sécurité dans ses travaux touchant à nos domaines d’expertise.

Communauté SEPAmail : SpeedInfo

Nous continuons notre tour d'horizon des entreprises sachantes et contributrices de SEPAmail avec SpeedInfo.

Samuel Anzalone, son fondateur, répond à nos questions.

Quand a été créée Speedinfo, dans quel contexte ?

La société Speedinfo a été créée en 2003.
Après la phase de spéculation à outrance de l’explosion de la bulle Internet, nous nous sommes aperçus que les e-commerçants souhaitaient être plus vigilants pour ne pas revivre une nouvelle dérive d’Internet. Ils avaient besoin de sécuriser et de fiabiliser leur activité. Et cela passait par la mise en place d’outils pérennes qui n’existaient pas à l’époque.

C’est dans ce contexte que Speedinfo s’est positionnée sur ce marché, l’objectif étant de développer des solutions de gestion commerciale, de gestion financière, véritablement dédiées à l’e-commerce.

Pour ce faire, nous avons travaillé de concert avec de nombreux e-commerçants pour bien adapter nos solutions de gestion à leurs besoins quotidiens. Toujours à l’écoute des nos clients e-commerce, nous continuons aujourd’hui à développer nos solutions dans cette logique de travail collaboratif.

Combien de collaborateurs, quels profils, quelles fonctions ?

Speedinfo est composée d’une dizaine de collaborateurs, tous experts dans leur domaine de compétences : l’e-commerce, la gestion et la sécurité informatique. Bien évidemment, nos spécialistes de l’e-commerce maitrisent les technologies standards leaders du marché que sont Magento et Prestashop.

Sur des projets plus pointus, Speedinfo peut solliciter des intervenants externes pour apporter des réponses fiables et durables.

Quels sont les principaux produits ou services développés et vendus ?

Speedinfo est l’éditeur d’OpenSi, le 1^er ERP dédié à l’e-commerce. La société est spécialisée dans le développement d’applicatifs de gestion de site e-commerce, autrement dit des applicatifs en gestion de stock, gestion des paiements, lettrage comptable, rapprochement bancaire…

Ces solutions logicielles se connectent à la plate-forme e-commerce des vendeurs en ligne pour leur faire bénéficier d’outils de gestion pointus par rapport à leurs besoins. Grâce à une synchronisation des données entre le module de gestion commerciale et le site e-commerce, il n’y a plus aucune ressaisie entre les deux solutions. Cette connexion évite ainsi tout risque d’erreur et de perte de temps, aspects primordiaux quand on sait que la réactivité est un leitmotiv dans l’e-commerce.

En complément de ces logiciels de gestion e-commerce, nos experts e-commerce ont bien évidemment la capacité de développer des sites marchands sous différentes technologies, notamment Magento et Prestashop.

Quel est le profil de vos clients, quelles sont vos références ?

 

Nos clients sont essentiellement des e-commerçants qui ont une ou plusieurs boutiques e-commerce pour commercialiser des articles en ligne. Nos clients e-commerçants sont de toutes tailles, générant de moins d’un million d’euros jusqu’à plusieurs dizaines de millions d’euros de chiffres d’affaires.

Nos solutions sont adaptées à tous les secteurs d’activité e-commerce. Nous pouvons citer des clients comme le groupe VDI (1001piles.com, all-batteries.fr), Made In Design.com, spécialiste du mobilier sur Internet, E-Network.fr, spécialisé dans l’informatique, Label Habitation.com, spécialiste des produits liés à la maison (alarmes, chauffages, radiateurs…).

Nous avons deux typologies de clients e-commerçants :
Nos clients sont soit en création d’entreprise. Ils souhaitent obtenir en amont des outils optimisés pour sécuriser leur activité au quotidien et ainsi pouvoir se développer.
Soit des e-commerçants qui ont déjà une activité conséquence mais se sont laissés déborder par le côté gestion. Ils éprouvent des difficultés au quotidien dans leur suivi de trésorerie, dans le suivi des achats. Ils ont des besoins très forts en gestion pour pérenniser leur activité.

Quelles sont vos spécificités ?

 

Speedinfo se positionne au croisement des cultures du e-commerce et de la gestion d’entreprise. Nous n’avons pas vocation à développer des solutions généralistes comme d’autres éditeurs connus. Notre force est véritablement d’être orientée gestion e-commerce pour proposer un produit le plus proche possible des besoins de nos clients. C’est la raison pour laquelle des acteurs comme Prestashop, spécialiste en création de boutiques e-commerce en France et en Europe, a fait appel à nous pour intégrer la solution OpenSi à l’application Prestashop. Avec OpenSi, véritable module Prestashop, Speedinfo est aujourd’hui le partenaire exclusif de Prestashop en matière de gestion commerciale et comptabilité.

Quel est votre lien à SEPAmail ?

 

Speedinfo est l’éditeur de SEPAmail Ecommerce, la 1ere offre permettant de relier une boutique e-commerce au service SEPAmail. Le module permet à des clients de souscrire à SEPAmail pour régler leurs achats sur Internet. Nous avons développé ce module avec la société deciBI, dirigée par Manfred Sherlock OLM - l’un des auteurs de la norme SEPAmail - et Cyril Vignet de la BPCE.

Nous travaillons également avec AriadNext, une société qui développe des applications pour SEPAmail.

Quel est votre implication dans la communauté SEPAmail ? Quelle évolution pour la suite ?

Speedinfo apporte toute son expertise en matière de e-commerce pour le module SEPAmail Ecommerce. Plus précisément, nous avons utilisé notre retour d’expérience et la connaissance du marché de l’e-commerce pour que le module soit le plus conforme possible aux exigences des e-commerçants et de leurs clients.

En plus de ces aspects fonctionnels, l’objectif de ce module est de pouvoir s’adapter en terme technique à des sites e-commerce. Nos connaissances pointues dans le fonctionnement d’un site et des pièges à éviter (lenteur, charge des flux…), nous ont permis de développer un module le plus avancé possible et le plus transparent en terme technique.

Pour la suite, nous envisageons de pouvoir utiliser la puissance de la technologie SEPAmail pour apporter des services complémentaires à très forte valeur ajoutée. Nous souhaitons pouvoir intégrer aux flux SEPAmail d’autres types d’informations comme des écritures comptables, des factures… Autant de données et de documents nécessaires pour l’e-commerçant mais aussi pour ses clients.

Communauté SEPAmail : SMOC

SMOC, c'est quoi ?

SMOC est l'acronyme de SepaMail Output Cryptographic, ce qui pourrait signifier Sortie chiffrée d'un SEPAmail.

C'est un composant open source en licence GPLv3 développé par Bishan Kumar Madhoo, société idSoft, selon une spécification réalisée par moi pour le compte du cabinet deciBI.

Qu'est-ce que cela fait ?

SMOC est un composant :

• qui prend en entrée une missive SEPAmail et un fichier de configuration
• qui génère une enveloppe SEPAmail, l'envoie en mode canonique (SMTP) et se synchronise avec une répertoire d'un compte imap corresponsdant au compte de l'expéditeur

C'est une librairie java que l'on peut inclure dans un projet java ou utiliser en ligne de commande.

Où peut-on le trouver ?

SMOC a été publié sur la plateforme de code google, sous le nom de code sepamail-smoc.
La page du projet se trouve ici
Le code source du projet est ici.

A-t-on le droit de l'utiliser ?

Le logiciel a été développé en langage java sous une licence d'utilisation open source (GPLv3).
Il utilise des composants et des bibliothèques qui sont toutes sous une licence open source.

Tout le monde peut donc utiliser tout ou partie de SMOC sous les conditions des licences d'utilisation, notamment en respectant le droit des auteurs.

Ce composant fait-il partie du standard de SEPAmail ?

Le standard n'a pas vocation à inclure des implémentations logicielles.
Donc ce composant ne fait pas partie du standard.

Existent-t-ils d'autres composants comme SMOC ?

Oui.

• SMURF est un composant permettant de publiposter des missives SEPAmail depuis un système d'information d'entreprise.
• SMIC est un composant de conversion croisée entre les deux formats missive (xml) et pdf (guide du créancier).
• SMAC est un composant croisé entre le mode canonique et les modes flash
• SMACK est un composant d'acquittement automatique de missive nominale
• SMETH est une extension du client de messagerie thunderbird pour recevoir et envoyer des SEPAmail RUBIS. SMETH est utile pour concevoir de nouvelles applications, tester des applications existantes et, d'une manière générale, comme visionneuse d'un SEPAmail sur un environnement local

Communauté SEPAmail : Solago

Nous continuons notre petit tour des entreprises de la communauté SEPAmail par SOLAGO, actuellement basée à Nantes et travaillant avec des entreprises de toute l'Europe. Olivier Jousselin répond à nos questions.

Quand a été créé Solago et dans quel contexte ?

Solago a été créée en 2003 pour assister des entreprises dans la conception et la mise en place de leur système d'information

Combien de collaborateurs, quels profils, quelles fonctions ?

Nous privilégions la qualité à la quantité. Actuellement, nous sommes deux, et nous travaillons également avec plusieurs consultants indépendants, notamment dans le domaine du logiciel libre.

Quels sont les principaux produits ou services développés et vendus ?

Nous ne faisons, ni développement, ni formation. Nous réalisons des études, définissons des architectures, et de façon générale assistons nos clients, de la conception à la mise en place de leurs projets.

Quel est le profil de vos clients, quelles sont vos références ?

Nos clients sont principalement des moyennes à grandes sociétés, même s'il nous arrive, sur des projets complexes, de travailler pour des PME, voire des TPE, ainsi que des acteurs publics.
Nous avons notamment travaillé pour Swisscom, l'OTAN, la Caisse Nationale d'Assurance Vieillesse, Orange, l'AFNIC ... mais aussi pour Nantes Métropole Développement et la mairie d'Ancenis -- et bien sûr pour SEPAmail.eu !

Quelles sont vos spécificités ?

Nous essayons de privilégier avant tout l'écoute du client, et la recherche d'une solution en termes de système d'information et non en termes purement techniques. Les projets complexes, que nous privilégions, nécessitent une solution complexe également, souvent multi-forme, qui ne peut jamais se ramener à un simple développement logiciel. La solution doit en outre être complétée par une prise en compte humaine et organisationnelle, que nous intégrons dans nos services..

Quel est votre lien à SEPAmail ?

Nous avons réalisé une étude de cadrage de ce système dès 2009. Très rapidement après cette étude, Cyril Vignet nous a demandé d'assurer une fonction d'expertise technique sur le projet, qui nous a amené à rédiger une grande partie de la documentation et à formaliser beaucoup de schémas XML. Nous jouons le rôle de committer de la norme depuis début 2011, et nous avons donc participé de très près, d'une part à la définition de RUBIS et de DIAMOND, d'autre part à la publication des versions 1202 et 1206.

Quel est votre implication dans la communauté SEPAmail ? Quelle évolution pour la suite ?

Depuis quelques mois, nous présentons SEPAmail à tous nos clients et partenaires, afin de leur montrer la richesse et la puissance de ce système. Nous écrivons (un peu occasionnellement il est vrai) sur ce blog, et surtout nous essayons d'imaginer et de définir de nouveaux usages pour SEPAmail, avec les applications existantes ou avec de nouvelles applications.

Nous jouons donc un rôle d'évangéliste, avec quelques autres personnes.

Communauté SEPAmail : deciBI

DeciBI faisant partie des entreprises de la communauté SEPAmail, je me suis prété au jeu proposé à chacun des dirigeants et j'ai répondu à mes propres questions ;-)

Quand a été créé deciBI, dans quel contexte ?

L'entreprise deciBI est une sarl créée en 2007. Fondée par moi-même, deciBI est un cabinet de conseil en ingénierie de la donnée et en systèmes décisionnels.

L'ingénierie de la donnée, ce sont des compétences pour :

• modéliser des objets métiers
• optimiser des méthodes de calcul
• évaluer la qualité d'informations
• réaliser des traitements complexes autour de données
• organiser le transport, l'archivage, l'accès à des données

Combien de collaborateurs, quels profils, quelles fonctions ?

Soucieux de la qualité des interventions de deciBI, j'ai regroupé autour de mon entreprise quelques spécialistes des systèmes d'information, pour la plupart indépendants.

 

Quels sont les principaux produits ou services développés et vendus ?

DeciBI ne développe pas de logiciels ou de produits. Elle participe à quelques projets libres, comme la traduction de l'interface de Pentaho Data Integration et elle suit les évolutions d'un produit innovant de modélisation de chaînes rédactionnelles : scenarii platform.

DeciBI répond à des besoins exprimés par des clients ou des prospects, généralement par de courtes missions d'analyse et de réalisation au forfait, avec le souci constant que ses clients soient satisfaits des livrables de la mission et ne soient pas dépendants de deciBI pour "l'après-mission".

Quels est le profil de vos clients, quelles sont vos références ?

Nous travaillons essentiellement avec des petites et moyennes entreprises ayant une forte croissance interne.
La plupart font de l'intermédiation entre des producteurs et des consommateurs et ont des usines de services web.

Nous cherchons à travailler au plus proche des hommes et de leurs projets.

Nous avons travaillé notamment pour eat on line (alloresto), royal first travel, le cneh, le guide des sensations, speedinfo (logiciel opensi), interpneu, spectaculaire, sipeo, l'acoms, solago, ...

Sur SEPAmail, deciBI accompagne les grandes banques du marché: BPCE, BNP Paribas, Crédit agricole et notamment les coordinateurs SEPAmail de chacune de ces banques.

Quelles sont vos spécificités ?

Nos intervenants travaillent à distance la plupart du temps.
Nous nous déplaçons dès que nécessaire mais nous ne croyons pas à la consultance en régie
DeciBI ne cherche, ni la croissance, ni les dividendes et, s'il y avait des salariés, deciBI serait certainement une coopérative.

Quel est votre lien à SEPAmail ?

Cyril Vignet a fait appel dès le début de l'idée SEPAmail au cabinet deciBI (avril 2008) pour travailler sur l'architecture fonctionnelle du standard et produire les premiers modèle de données.

DeciBI a mis en relation la CNCE avec Olivier Jousselin, société SOLAGO, pour assurer la fonction de commiter.

BPCE a demandé en juillet 2011 à deciBI de mettre en place un wiki pour la documentation puis assurer un contrôle de cohérence des diverses expérimentations et démonstrateurs qui avaient été réalisés.

DeciBI a proposé à l'automne 2011 l'idée d'un standard et une organisation autour de demandes de commentaires pour alimenter le groupe fonctionnel. C'était le début des SMIRKs qui permettent à tout un chacun de faire une proposition d'évolution du standard, notamment une nouvelle application ou une évolution de l'organisation.

SEPAmail.eu a demandé à deciBI d'animer deux groupes de travail :

• un groupe sur l'application RUBIS en eCommerce
• un groupe sur le mode canonique en relation avec la Banque de France

Quel est votre implication dans la communauté SEPAmail ?

Au printemps 2012, j'ai fait le tour de mes clients et de quelques uns de leurs fournisseurs pour présenter SEPAmail et apprécier leur intérêt pour ce type de fonctionnalité.

J'ai constaté qu'il manquait une formation et quelques petits composants pour que les chaînes SEPAmail se mettent en place rapidement et permettent à chacun de gagner en productivité.

J'ai donc monté quelques formations plutôt orientées fonctionnels (initiation à SEPAmail, exploration de SEPAmail, revue détaillée de SEPAmail) qui rencontrent pour le moment un très bon accueil.

J'ai aussi, en accord avec SEPAmail.eu, proposé ce blog et de développer quelques intergiciels sous licence opensource :

• SMETH, une extension pour thunderbird permettant de lire et d'écrire des messages sepamail
• SMURF, une publi-posteuse SEPAmail avec une prise canonique, ebics et fichier
• SMIC, une prise croisée entre les formats SEPAmail pdf et xml
• SMOC, une librairie permettant de construire une enveloppe SEPAmail, l'envoyer et se synchroniser avec un compte IMAP

Je fais ainsi partie des quelques évangélistes SEPAmail.

Quelle évolution pour la suite ?

D'autres composants sont en préparation : SMACK (un composant d'acquittement automatique), SMAC (une prise croisée falsh/canonique)

DeciBI souhaite continuer d'aider les entreprises qui souhaitent monter en puissance sur SEPAmail ou implémenter une solution.

Communauté SEPAmail : SMIC

SMIC est l'acronyme de Sepa Mail Interface Cross.

A quoi cela sert ?

Le standard SEPAmail propose un format appelé missive, contenant un signifiant pour les automates au format (APU ou Automate Programmable doué d'Ubiquité, selon Michel Volle), lui-même contenant un document lisible par un être humain au format pdf (EHO ou Être Humain Organisé, selon Michel Volle).

Pour permettre à des logiciels d'entreprises de produire un document contenant la missive, donc, en quelque sorte, le contraire du format précédent, le standard SEPAmail définité dans le guide de l'éditeur de logiciel un format pdf contenant une missive xml.

SMIC est un composant de conversion croisée entre les deux formats missive (xml) et pdf (guide du créancier).

Où le trouver ?

SMIC a été publié sur la plateforme de code google, sous le nom de code sepamail-smic.
La page du projet se trouve ici.

Les spécifications fonctionnelles sont ici.
Le code source du projet est ici.

A-t-on le droit de l'utiliser ?

Le logiciel a été développé en langage java sous une licence d'utilisation open source (GPLv3).
Il utilise des composants et des bibliothèques qui sont toutes sous une licence open source.

Tout le monde peut donc utiliser tout ou partie de SMIC sous les conditions des licences d'utilisation, notamment en respectant le droit des auteurs.

Ce composant fait-il partie du standard de SEPAmail ?

Le standard n'a pas vocation à inclure des implémentations logicielles.
Donc ce composant ne fait pas partie du standard.

Existent-t-ils d'autres composants comme SMIC ?

Oui.

• SMURF est un composant permettant de publiposter des missives SEPAmail depuis un système d'information d'entreprise.
• SMOC est un composant qui constitue une enveloppe SEPAmail, l'envoie et se synchronise avec un compte IMAP

SEPAmail: onze principes

Voici quelques principes qui, à mon sens, fondent l'approche SEPAmail et structurent le standard:

• SEPAmail est une messagerie au minimum 4 coins, 2 utilisateurs, 2 adhérents, couverts par au moins trois contrats
• SEPAmail permet des échanges de dialogues structurés formalisés au sein d'applications, qui, lorsqu'elles sont éditées par la norme, ont une portée globale (à tous les adhérents)
  
• SEPAmail met en œuvre un procédé d’accusé de réception systématique (l'acquittement) qui est garanti par les adhérents. Cet accusé de réception induit l'authentification des adhérents et l'intégrité des messages échangés
  
• SEPAmail permet de garantir l'authentification des personnes physiques liés à un identifiant (le qxban). Le transcodage entre un IBAN et un QXBAN est toujours assuré par l'adhérent émetteur du QXBAN. L'IBAN est ainsi protégé dans le dialogue entre les utilisateurs, même lorsque un message articule un paiement
• SEPAmail permet, par la vertu du modèle 4 coins et de la chaîne contractuelle, à un adhérent de proposer à son client, l'utilisateur SEPAmail, des services autour du flux quand ce flux est vu par l’adhérent : enrichissement du flux, vérification, articulation d'un paiement (le rôle des établissements de paiement est un plus pour l'utilisateur)
  
• SEPAmail garantit à l'utilisateur que l'adhérent doit respecter des règles et qu'il y a un juge arbitre de ces règles quand le protocole ne permet pas d'exclure intrinsèquement les tricheurs. Le juge arbitre est la Banque de France quand on parle de la loi française et c'est le scheme quand on parle de la charte des adhérents SEPAmail.
• tous les messages constitutifs d'une application sont autoporteurs de l'information pour qu'une partie du dialogue permette de réaliser l'action suivante
• SEPAmail ne présume pas le canal d'échange de l'information entre un adhérent et son client, l'utilisateur et notamment le moyen de l'authentification de l'utilisateur par l'adhérent
  
• l'extension de norme à la relation "pair à pair" doit être possible
• le modèle 4 coins peut devenir un modèle 5,6 coins ou plus mais pas un modèle 2 ou 3 coins dans le cadre communautaire, car c'est lui qui garantit beaucoup des principes ci-dessus et ces modèles qui rendent la confiance à l'utilisateur (les avocats, les médecins, les notaires) et oblige à un juge arbitre clair protégeant les utilisateurs
• sepamail doit pouvoir fonctionner nativement en mode canonique avec les infrastructures et les protocoles de messageries électroniques standards

Communauté SEPAmail : SMURF

SMURF est l'acronyme de Sepa Mail Universal Resource Formater.

A quoi cela sert ?

Supposons qu'un utilisateur SEPAmail, client créancier, dispose d'un logiciel ERP qui lui permet de consulter la fiche de chacun de ses clients. Pour utiliser le service RUBIS, il a besoin de pouvoir envoyer ses demandes de règlement au format RUBIS sur la prise SMILE de sa banque.

Le composant SMURF va lui permettre de générer automatiquement le document pdf au format SEPAmail qu'il peut ensuite envoyer sur la prise bancaire SEPAmail SMILE, soit directement (canal web service), soit via un client de messagerie S/Mime (canal messagerie).

Où le trouver ?

Smurf a été publié sur la plate-forme google code sous le nom de code sepamail-smurf.
La page du projet se trouve ici.

Comment le tester ?

Pour tester SMURF, le plus simple est de télécharger la dernière version exécutable ici puis de décompresser l'archive quelque part sur votre système puis de lancer Smurf.sh (pour MacOs ou GNU/Linux) ou Smurf.exe (pour WinOS).

Pour le tester depuis les sources, il faut récupérer le projet sur le gestionnaire de version de la plate-forme google, puis exécuter avec ant (par exemple) le fichier build à la racine du projet. Un environnement java 1.7+ est requis.
Remarque : la visualisation des pdf dans SMURF ne fonctionne qu'avec un environnement d'exécution sun/oracle 1.7 (incompatibilité de la visionneuse jpeg dans le projet icedtea avec openjdk, en cours d'analyse pour résolution)

A-t-on le droit de l'utiliser ?

Le logiciel a été développé dans le cadre d'une mission autour de SEPAmail en langage java sous une licence d'utilisation open source (GPLv3).
Il utilise des composants et des bibliothèques qui sont toutes sous une licence open source comme décrit dans ce fichier.
Les créanciers peuvent donc utiliser tout ou partie de SMURF sous les conditions des licences d'utilisation, notamment en respectant le droit des auteurs

Où peut-on trouver de la documentation ?

Plusieurs documents se trouvent dans l'espace google code :

• une documentation orientée intégrateur
• une documentation orientée développeur
• les spécifications des différentes versions du composant

Ce composant fait-il partie du standard de SEPAmail ?

Le standard n'a pas vocation à inclure des implémentations logicielles.
Donc ce composant ne fait pas partie du standard.
Cependant, c'est une implémentation au code source ouvert et ré-utilisable, faisant référence pour la communauté des adhérents et utilisateurs de SEPAmail.

Existent-t-ils d'autres composants comme SMURF ?

Oui.

• SMIC est un composant de conversion croisée entre les deux formats missive (xml) et pdf (guide du créancier)
• SMOC est un composant qui constitue une enveloppe SEPAmail, l'envoie et se synchronise avec un compte IMAP

SAPPhire

SAPPhire n'est pas une application SEPAmail malgré son nom de pierre précieuse.
SAPPhire est une proposition fonctionnelle simplifiée autour de l'authentification.
SAPPhire dépasse donc largement le projet SEPAmail même si :

• SAPPhire utilise dans son échange d'information des messages SEPAmail,
• SEPAmail peut utiliser SAPPhire (plutôt en extension de norme) pour permettre l'authentification à distance d'un utilisateur sur une interface, par exemple depuis son smartphone.

SAPPhire concrètement, ce sont des niveaux pour simplifier la compréhension

SAPPhire propose trois niveaux différents :

• SAPPhire 1 est une authentification simple à un facteur SAPPhire
• SAPPhire 2 est une authentification forte à deux facteurs SAPPhire
• SAPPhire 3 permet les conditions de la signature numérique présumée fiable

Ainsi :

• SAPPhire 1 permet la consultation de messages
• SAPPhire 2 permet des actions qui engage le client (par exemple un virement ou l'envoi d'un courriel)
• SAPPhire 3 permet de signer un document

Les facteurs SAPPhire ne sont pas nombreux  mais pourront dans le futur augmenter en nombre :

• un certificat logiciel installé sur l'environnement local de confiance protégé par un PIN
• un certificat matériel en présence de l'environnement local de confiance
• un certificat matériel protégé par un PIN

Bref, l'idée derrière SAPPhire, c'est qu'au delà de la complexité portée par la cryptographie et l'authentification, une ergonomie utilisateur est possible tout en respectant l'état de l'art, les directives nationales et européennes.
Il devient possible, en adoptant SAPPhire massivement, de dire le niveau SAPPhire de chacune des fonctions demandées par un service métier.
L'infrastructure, la sécurité et, plus généralement, les services informatiques des entités économiques pourraient alors proposer le support des niveaux SAPPhire plutôt que de devoir inventer à chaque nouveau projet le cadre d'intervention de l'authentification.

La petite histoire

Voici la petite histoire, celle qui explique la confusion pour certains autour de SAPPhire.
SAPPhire a été décrit au début comme l'application SEPAmail permettant d'échanger des éléments de sécurité, notamment des clés publiques.
L'eco-système secure a été inventé et associé à SAPPhire puisqu'il contient les messages d'échange d’éléments de sécurité.

Le premier démonstrateur

Dans le cadre de SEPAmail, un premier démonstrateur smartphone a été mis en œuvre par le groupe BPCE et les sociétés AriadNext et StreamMind démontrant qu'un utilisateur de smartphone pouvait s'authentifier à un service bancaire sans à avoir à passer par l'agence et sans forcément devoir recevoir un certificat matériel personnalisé.
Ce démonstrateur repose sur une application Android téléchargeable depuis son dépôt certifié. L'application :

1. s'installe
2. génère un biclé logiciel,
3. génère un code PIN protégeant l'accès et le stockage de ce certificat
4. envoie la clé publique à un serveur bancaire à l'aide d'un message SEPAmail sur le réseau IP (non sécurisé)
5. cette clé n'est activée que lorsque l'utilisateur demande cette action sur un DAB/GAB avec une authentification forte grace à sa carte de retrait ou sa carte bancaire et elle ne l'est que pour le téléphone enregistré
6. le biclé peut alors être utilisé dans le cadre d'une authentification à distance

SAPPhire 1 était ainsi né et une idée assez originale et élégante est venu de la rencontre entre les différents métiers de la banque (juridique, flux, authentification, moyens de paiement : utiliser le DAB et son authentification pour valider, par rebond et sur un autre canal, le niveau d'authentification de la carte bancaire.

Le deuxième démonstrateur

Les possibilités de trouver sur le marché des jetons cryptographiques matériels se connectant facilement à un smartphone et peu cher ont donné l'idée du deuxième démonstrateur, réalisé par le groupe BPCE et la société AriadNext : connecter l'application déjà développée avec un certificat matériel pour augmenter le niveau de sécurité et permettre deux nouveaux niveaux : SAPPhire 2 et SAPPhire 3.
Le démonstrateur a été réalisé avec des cartes NFC dont une de paiement et à démontré l'ergonomie possible pour l'utilisateur final des niveaux SAPPhire.
Les trois premières étapes du démonstrateur précédent ont donc été adaptées à un biclé matériel.

SAPPhire : quel avenir ?

SAPPhire est une simplification réelle d'un domaine devenu trop technique et trop complexe pour être réellement utilisé correctement par les éditeurs, les développeurs et les concepteurs de solutions logicielles utilisant largement de l'authentification à distance.
Si SAPPhire est compris et adopté comme un standard fonctionnel de spécification de l'authentification, alors les discussions vont aussi devenir plus simples autour de tous les standards utilisant l'authentification.
Gageons qu'un des géants du web ou une communauté amenée à s'imposer internationalement comme SEPAmail comprendra et utilisera SAPPhire.

Foire aux question n°1

Voici quelques unes des questions qui reviennent souvent dans un premier billet sur ce sujet.

Est-ce SEPAmail est un nouveau moyen de paiement?

Je n'envisage pas SEPAmail comme un nouveau moyen de paiement, mais comme une organisation qui permet peut-être à de nouveaux moyens de paiement d'exister.
Par organisation, j'entends :

• rédaction d'un standard, 
• animation d'une communauté,
• création d'un canal de messagerie au sein de l'espace de confiance entre les banques

SEPAmail permet de s'échanger de l'information autour (avant et après) le paiement.
Par exemple:

• j'envoie des factures (IOLITE) puis une demande de règlement en fin de mois (RUBIS),
• j'envoie un avis de remboursement (JADE) qui enclenche directement un virement,
• j'envoie un contrat à signer (JASPE) puis les demandes de règlements (RUBIS)
• je vérifie les identifiants bancaires de mon client (DIAMOND) puis lui envoie une demande d'autorisation de mandat de prélèvement (GEMME) et des notifications de prélèvement (GEMME)

SEPAmail traite donc plus particulièrement de dématérialisation et d'automatisation autour du paiement documentaire.

Est-ce le service RUBIS initie forcément un virement?

Non.

L'application SEPAmail RUBIS permet d'envoyer une demande de règlement à sa contrepartie qui peut l'accepter, le refuser ou ne rien faire. Selon le service contracté par la contrepartie avec sa banque, l'acceptation peut enclencher un paiement par virement, par carte ou autre.

En quoi ma banque est-elle en capacité de sécuriser mes messages?

Le réseau inter-bancaire présente des avantages :

• il s'est doté depuis longtemps d'un espace de confiance entre la plupart des banques dans le monde entier
• il possède un plan d'adressage européen (de fait mondial) des entités économiques ayant un compte, à savoir le couple IBAN@BIC
• voir les flux d'information autour des paiements permet d'offrir le service d'automatisation de l'enclenchement du paiement ainsi que des services de vérification, validation des coordonnées de la contrepartie
• le réseau interbancaire est en mesure de proposer un alias de l'IBAN qui ne puisse pas passer en compensation et donc permettre de doter les entités économiques d'un numéro de compte pour la seule transmission d'information. Dans SEPAmail, l'alias de l'IBAN est le QXBAN

SEPAmail propose même avec l'application AGATE de pouvoir échanger des flux qui ne seront pas regardé par les banques. Elles ne feront alors fonction que de relais d'acheminement sécurisé.

Pourquoi un adressage lié à mes coordonnées bancaires?

L'adressage pour s'envoyer des messages SEPAmail est lié à un IBAN et un BIC, c'est à dire un identifiant de compte et un identifiant de banque.
C'est assez pratique et assez universel.
SEPAmail propose un alias de l'IBAN, le QXBAN afin d'éviter de passer son IBAN à tout le monde. Le QXBAN ne peut pas passer en compensation dans les circuits autres que SEPAmail (il faudra garantir cette propriété dans le temps, car il y aura toujours à un moment une envie d'utiliser cet identifiant pour une autre portée que le réseau SEPAmail).
Le QXBAN est généré selon un algorithme qui garantit :

• que le BIC est contenu dans le QXBAN
• que l'on ne peut pas déduire l'IBAN du QXBAN

Enfin, le modèle 4 coins utilisé dans tous les cas par SEPAmail garantit que la conversion QXBAN->IBAN est toujours réalisée par la banque émettant l'IBAN et le QXBAN.