PSD2 — Payment Services Directive 2 et certificats...

Vue d'ensemble

La PSD2 (directive 2015/2366) a révolutionné les paiements européens en imposant aux banques d'ouvrir leurs API aux prestataires tiers (TPP) agréés. Cette directive a fait naître l'écosystème de l'open banking, permettant à des tiers de proposer des services d'information sur les comptes, d'initiation de paiement et d'instruments de paiement par carte.

Les standards techniques de réglementation (RTS) relatifs à l'authentification forte du client imposent l'utilisation de QWAC selon eIDAS pour l'identification des TPP. L'article 34 des RTS exige que chaque appel d'API entre banques et TPP soit authentifié à l'aide de certificats qualifiés, créant ainsi une demande massive de PKI dans tout le secteur financier européen.

Avec des milliers de TPP opérant dans l'UE, chacun nécessitant des QWAC et des certificats de cachet électronique qualifié (QSealC), la PSD2 est devenue l'un des plus importants moteurs d'émission et de gestion du cycle de vie des certificats qualifiés sur le marché européen. Les futures PSD3 et PSR devraient s'appuyer sur ces fondations.

Exigences clés

QWAC pour l'identification des TPP (RTS art. 34)

Les prestataires tiers doivent utiliser des Qualified Website Authentication Certificates pour s'identifier lorsqu'ils accèdent aux API bancaires, garantissant des communications d'open banking authentifiées et de confiance.

Cachets électroniques qualifiés (QSealC)

Les prestataires de services de paiement doivent utiliser des certificats de cachet électronique qualifié pour signer les messages d'API, garantissant l'origine et l'intégrité des données échangées entre institutions financières.

Authentification forte du client (SCA)

Les transactions de paiement exigent une authentification multifacteur reposant sur au moins deux des trois éléments suivants : connaissance, possession et inhérence, soutenue par une infrastructure sécurisée fondée sur les certificats.

Canaux de communication sécurisés

Toutes les communications entre banques et prestataires tiers doivent emprunter des canaux sécurisés et chiffrés avec authentification mutuelle pour protéger les données de paiement en transit.

Enregistrement des TPP et certificats

Les prestataires tiers doivent s'enregistrer auprès des autorités nationales et obtenir des certificats qualifiés contenant leur numéro d'agrément, leurs rôles et les coordonnées de leur autorité compétente nationale (NCA) pour l'accès aux API.

Révocation des certificats et validation en temps réel

Les banques doivent valider les certificats des TPP en temps réel pour chaque appel d'API, en vérifiant le statut de révocation via OCSP ou CRL pour s'assurer que seuls les prestataires autorisés accèdent aux données des comptes.

Jalons clés

2015

Adoption

La directive révisée sur les services de paiement (PSD2) est adoptée en novembre 2015, imposant les API d'open banking et l'authentification forte du client.

2018

Transposition

Les États membres transposent la PSD2 en droit national d'ici janvier 2018. Les banques doivent commencer à préparer leurs API pour l'accès des prestataires tiers.

2019

Application des RTS sur la SCA

Les standards techniques de réglementation sur l'authentification forte du client entrent en vigueur en septembre 2019, imposant les QWAC pour l'identification des TPP.

2023 Actuel

Proposition de la PSD3

La Commission européenne propose la PSD3 et le règlement sur les services de paiement (PSR) en juin 2023 pour harmoniser et renforcer davantage les règles applicables aux services de paiement.

2025 Application

Adoption attendue de la PSD3/PSR

La nouvelle directive PSD3 et le règlement PSR devraient être finalisés, en s'appuyant sur les fondations de la PSD2 avec des protections renforcées pour les paiements numériques.

Impact sur la PKI et les certificats

La PSD2 a créé l'un des environnements réglementaires les plus intensifs en certificats de l'UE. Voici les implications PKI critiques :

Émission massive de QWAC à grande échelle

Avec des milliers de TPP dans toute l'UE nécessitant chacun des QWAC, la PSD2 entraîne une émission de certificats qualifiés à grande échelle, exigeant une infrastructure robuste de la part des prestataires de services de confiance.

QSealC pour la signature des messages d'API

Chaque message d'API échangé entre banques et TPP doit être signé avec un certificat de cachet électronique qualifié, garantissant l'intégrité des données et la non-répudiation des transactions de paiement.

Validation des certificats en temps réel

Les banques doivent valider les certificats des TPP en temps réel pour chaque appel d'API via OCSP ou CRL, ce qui exige une infrastructure de validation à haute disponibilité capable de traiter des millions de vérifications quotidiennes.

Rotation des certificats à grande échelle

La gestion des renouvellements et rotations de certificats sur des milliers de relations avec des TPP exige une gestion automatisée du cycle de vie pour éviter les échecs d'authentification d'API et les interruptions de service.

Evertrust & PSD2

Émission de QWAC et de QSealC — Stream fournit l'infrastructure PKI souveraine permettant d'émettre des QWAC et QSealC en tant qu'outil de prestataire de services de confiance qualifié, avec protection des clés par HSM et sécurité certifiée par l'ANSSI.

Gestion du cycle de vie à l'échelle bancaire — Horizon gère le cycle de vie de milliers de certificats bancaires, offrant une vue centralisée de tous les QWAC et QSealC à travers votre écosystème de TPP.

Renouvellement automatisé pour éviter les échecs d'API — Le renouvellement et la rotation automatisés des certificats préviennent les échecs d'authentification d'API susceptibles de perturber les services de paiement et l'expérience client.

OCSP/CRL pour la validation en temps réel — Stream propose des services OCSP et CRL à haute disponibilité pour la validation en temps réel des certificats, prenant en charge les millions d'appels d'API quotidiens de l'écosystème PSD2.

PKI

CLM

Cas d'usage

Secteurs

Conformité

Apprendre

Outils & Analyses

Événements & Communauté

PSD2 Directive

En bref