Foire aux questions n°2

Voici quelques unes des questions posées fréquemment lors de cette rentrée.

Que signifie la mention 1206 concernant le standard SEPAmail ?

Quand vous consultez la documentation de SEPAmail, vous trouvez une mention 1206 ou 1202 pour le standard/norme.
Sans m'étendre sur les différences d'interprétation possibles entre les termes standard et norme, la mention 1206, elle, est un numéro de version de la forme YYMM où YY est l'année et MM le mois.
Le standard 1206 est donc la version publiée en juin 2012 et le standard 1202 celui publié en février 2012.
La version 1202 était le premier standard officiel émis par le groupe de travail études et norme de l'organisation SEPAmail.
Il est publié depuis février 2012 sous licence creatives commons paternité, partage des conditions initiales à l'identique et on retrouve l'ensemble des auteurs et contributeurs sur cette page.

Quelles sont les changements entre la version 1202 et la version 1206 du standard SEPAmail ?

La version 1206 décrit les changements ci-dessous:

• ajout d'une carte de visite SEPAmail au format retravaillé et unifié, la qxCard
• ajout d'un message dans RUBIS pour l'inscription au service, ne dépendant plus de l'écosystème secure (message activation.enroll)
•  ré-écriture de la demande de commentaire SMIRK autour de la missive (SMIRK MIS1202)
• écriture d'une SMIRK autour de l'identifiant des grands créanciers SEPAmail, l'ICQX (SMIRK REF1201)
• des règles précisant l'horodatage des systèmes et son importance dans le standard

 et cette version a permis d'apporter une contribution applicative:

• DIAMOND, la vérification d'identité bancaire (en cours de validation)

Quelles sont les implémentations logicielles de SEPAmail ?

Selon mon niveau d'information, le standard SEPAmail est implémenté (en partie) :

• dans la suite logicielle éditée par la société StreamMind, autour du composant SEPAplug
• dans l'application mobile sepamail pour Android éditée par la société AriadNext, en client d'un serveur SEPAplug
• dans le composant opensource SMURF, sorte de publiposteur de missive contenant une demande de réglement RUBIS
• dans le composant opensource SMIC, convertisseur entre les deux formats xml et pdf du guide créancier
• dans un composant en cours de développement par la société Lyra Networks

Est-il possible d'utiliser le standard SEPAmail en dehors du réseau SEPAmail ?

On entend par réseau SEPAmail la communauté des adhérents SEPAmail se conformant à la charte de l'adhérent.
Ces adhérents permettent à leur client d'utiliser SEPAmail pour échanger des messages standardisés.

Ces adhérents jouent le rôle de :

• relai d'acheminement du message en émission et en réception
• relai d'authentification de leur client
• articulation vers un paiement si le client le demande et le message permet l'initiation

Il est tout à fait possible d'utiliser le standard SEPAmail en dehors du réseau SEPAmail pour un adhérent ou un non adhérent, c'est à dire les règles de structuration de l'information et d'organisation des échanges.

Cependant, c'est au sein d'une communauté organisée avec un juge arbitre et des intérêts à ne pas tricher sur l'acheminement et l'authentification que SEPAmail prend tout son sens.

Pourquoi utiliser le standard SEPAmail dans les échanges d'information ?

Le standard SEPAmail permet de valoriser l'échange d'information de plusieurs manières :

• il assure une chaîne d'authentification mutuelle qui assure une authentification distante de bout en bout par relai
• il permet la confidentialité de l'échange sur le réseau Internet (confidentialité du contenu mais aussi de l'adressage)
• il permet l'articulation avec un paiement
• il permet l'automatisation (et dématérialisation), par la structuration de tous les flux
• il permet aussi l'articulation avec des êtres humains organisés , par l'adjonction d'une pièce jointe lisible par l'homme (principe du HUman ReadAble HURA)
• il s'adosse à des relations commerciales existantes entre des adhérents et des utilisateurs et ajoute un accord entre les adhérents avec l'adhésion au réseau et à la charte de l'adhérent

Est-ce que SAPPhire est une application SEPAmail ?

Les applications SEPAmail ont, pour le moment, toutes un nom de pierre précieuse.
Cependant, toutes les pierres précieuses ne sont pas des applications SEPAmail.
SAPPhire n'est pas une application SEPAmail mais un travail autour de l'authentification et notamment une proposition fonctionnelle de simplification du paradigme pour pouvoir le partager à plusieurs adhérents.
On trouve une présentation sur ce billet.

Qui rédige le standard SEPAmail ?

Le standard SEPAmail est validé par un comité de pilotage sur proposition du groupe de travail études et norme.
Ce groupe de travail relit les propositions émanant de la communauté sous la forme de demandes de commentaires, appelées au sein de la communauté SMIRK (SepaMail Internal Request for Komment).

Le standard est donc une œuvre collective, coopérative sur l'organisation permettant une messagerie articulée.

Qui utilise aujourd'hui SEPAmail ?

SEPAmail est utilisé actuellement par des banques françaises pour expérimenter le concept avec des collaborateurs, des clients professionnels et particuliers sur l'application RUBIS.
Il est prévu d'expérimenter GEMME et DIAMOND rapidement.

Vocabulaire SEPAmail : le QXBAN

Le qxBAN est l'identifiant de l'utilisateur SEPAmail.
Cet identifiant répond à la norme des IBANs (iso 13616) avec un code pays "QX", code pays que l'iso 3166-2 a assigné pour des usages privés.

Sa génération est décrite dans la documentation de SEPAmail. Elle est réalisée par l'adhérent SEPAmail pour le compte de son client. C'est l'adhérent qui conserve le transcodage QXBAN<->IBAN.

Le standard SEPAmail propose donc nativement de protéger l'IBAN ou les autres identifiants bancaires (PAN) en généralisant l'utilisation d'un alias qui n'est pas utilisable directement dans les circuits monétiques.

un exemple de RIS2D
image issue de la documentation
sous licence CC-BY-SA

Le qxBAN est repris dans une forme graphique, un code barre 2D de type datamatrix qui s'appelle le RIS2D (Relevé d'Identité SEPAmail 2D).

Ce RIS2D évolue pour se conformer à la norme 2D-DOC, une norme d'authentification statique des documents.

Les avantages du qxBAN

Le qxBAN présente les avantages suivants :

• le qxBAN peut être échangé entre tous les acteurs sans risque de fraude monétique puisque le transcodage qxBAN/iBAN est toujours réalisé par le producteur du qxBAN avec une source authentifiée pour son propre usage de l'iBAN
• il n'est pas possible de déduire un iBAN depuis un qxBAN, par construction aléatoire du qxBAN
• le BIC est inclus dans le qxBAN, le qxBAN est donc autoporteur de toute l'information de routage.
• le qxBAN est un identifiant international, puisqu'il n'inclut pas le pays dans sa définition
• le qxBAN peut être lié à plusieurs comptes bancaires, voire à aucun compte si l'adhérent n'est pas une banque

Les ambiguïtés autour du qxBAN

Le qxBAN est une notion importante de SEPAmail car il permet la protection de l'IBAN qui s'expose de plus en plus avec la généralisation de SEPA.
Cependant, le qxBAN ne lève pas les ambiguïtés suivantes :

• il ne faut pas confondre l'identifiant de l'utilisateur SEPAmail au sein du réseau SEPAmail avec la personne physique (authentifiée par les adhérents SEPAmail comme l'utilisateur SEPAmail)
• pourra-t-il y avoir plusieurs personnes physiques ayant le droit d'utiliser un même qxBAN ?
• pourra-t-il y avoir un qxban sans compte IBAN ou sans carte PAN associés ?
• il ne faut surtout pas que le qxBAN, qui sera largement diffusé, soit utilisable dans un réseau de paiement tel quel ou en compensation. C'est son principe qui serait remis en question. Or, la tentation est forte pour certains qui ne veulent pas du modèle 4 coins
• le qxBAN n'est pas un identifiant unique que l'on conserve quand on change d'adhérent SEPAmail
• le qxBAN, dans sa forme actuelle, présente une limite d'utilisation par le nombre de qxBAN possibles par BIC. Il y a, pour chacun des BIC, 3,4x10²⁹ possibilités pour le moment, ce qui laisse venir mais il ne faut pas que l'adhérent en profite pour générer autre chose que de l'aléatoire. Certains adhérents  ont déjà pensé générer le qxBAN par une fonction de hachage à sens unique de l'IBAN ou encore segmenter leur clientèle en réservant quelques caractères parmi ces 19 positions. Toutes ces idées vont à l'encontre du principe premier du QXBAN. C'est un identifiant ne portant aucun sens autre que le BIC.

Pour finir ce billet, citons Michel Volle qui dans son livre "de l'informatique" parle de l'identifiant en ces termes :

"Il importe [...] de définir correctement la population dont il s'agit d'identifier les individus: il ne faut pas confondre le client avec le service qui lui est rendu, avec le produit qui lui est fourni ni avec le contrat que l'on a passé avec lui. Il faut aussi construire des identifiants pérennes, qui resteront affectés à l'individu pendant tout son cycle de vie, et s'interdire de ré-utiliser un identifiant après la fin du cycle de vie. Mieux vaut enfin ne pas confondre le rôle des identifiants et le rôle des attributs: l'identifiant ne doit être porteur d'aucune information."

 Michel Volle, de l'informatique, chapitre 7, page 268.

Le logo SEPAmail

Le logotype SEPAmail a été inventé par:

• Cyril Vignet, l'inventeur du concept SEPAmail
• Gaelle YOLLANT, graphiste créatrice

On le voit sur cet espace : http://sepamail.eu/.

Il comporte plusieurs parties :

• une enveloppe (couleur taupe) en train d'être insérée dans une boîte
• 12 étoiles (couleur jaune) disposées en ellipse autour de l'enveloppe
• la mention SEPA en majuscule (couleur rouge)
• suivi de la mention mail en minuscule (couleur taupe)

Interprétation

L'enveloppe symbolise le courrier, cœur de métier de SEPAmail.
Les étoiles représentent la vocation européenne de SEPAmail.
La disposition des étoiles autour de la messagerie rappelle ces logos internet des navigateurs.
L'ensemble "étoiles et enveloppe" constitue la partie graphique reprise dans les icônes, notamment l’icône favorite pour les navigateurs.

SEPA étant un acronyme, il est normal de le conserver en majuscule.
SEPAmail traitant de messages autour du paiement, il est logique de mettre en valeur le SEPA qui devient le quotidien européen du paiement.
Conformément à la nétiquette, la mention au mail (le nom anglais du courriel électronique mais aussi du courrier physique) reste en minuscule puisqu'il s'agit d'un mot commun.

On trouve ci-dessous les couleurs primaires et secondaires de SEPAmail proposées par Gaëlle YOLLANT. Les couleurs sont acidulées/pastels afin de suggérer la sérénité qu'apporte la solution SEPAmail à ses utilisateurs.

Couleurs primaires :

• rvb(177,17,22) ou #b11116, rouge
• rvb(141,125,116) ou #8d7d74, gris
• rvb(88,29,116) ou #581d74, violet
• rvb(211,203,197) ou #d3cbc5, taupe
• rvb(244,121,32) ou #f47920, orange
• rvb(189,207,65) ou #bdcf41, vert

Couleurs secondaires :

• rvb(230,225,222) ou #e6e1de
• rvb(0,178,203) ou #00b2cb
• rvb(167,120,174) ou #a778ae
• rvb(176,0,108) ou #b0006c

Le logotype est déposé, ainsi que la marque (référence inpi).