Ce qu’il faut pour émettre un justificatif qu’une banque acceptera

N’importe quel système sait imprimer un code QR sur un certificat. La question que pose le responsable conformité d’une banque est autre : qui a émis ceci, en avait-il le droit, le justificatif a-t-il été révoqué depuis, et puis-je prouver à mon régulateur que j’ai vérifié ?

Trois choses nécessaires à une partie utilisatrice

Un émetteur qu’elle peut résoudre. Le justificatif doit nommer son émetteur de façon à résoudre vers une clé vérifiable, sans accord bilatéral entre les deux institutions. C’est la fonction d’un registre de confiance : une liste publiée et signée de qui peut émettre quoi. Sans lui, chaque nouvelle partie utilisatrice devient un projet d’intégration à part entière.

Une réponse de révocation qui ne fuit pas. C’est là que la confidentialité cède discrètement. Une conception naïve fait demander au vérificateur : « le justificatif 4471 est-il encore valide ? », ce qui révèle à l’émetteur qui vérifie quoi, sur qui et quand. Les listes de statut résolvent le problème : l’émetteur publie une chaîne de bits compressée, le vérificateur la télécharge et lit un bit. L’émetteur n’apprend rien.

Une divulgation sélective qui résiste à un juriste. Une banque qui ouvre un compte a besoin de savoir que le titulaire est majeur et réside à une adresse donnée. Elle n’a pas besoin d’une copie intégrale d’un acte de naissance. Les justificatifs à divulgation sélective permettent au titulaire de prouver le prédicat plutôt que de livrer le document — et, surtout, permettent à la banque de conserver la trace auditable de ce qu’elle a vérifié plutôt qu’une copie de ce qu’on lui a montré.

Où les mises en œuvre échouent d’ordinaire

L’erreur courante consiste à traiter le portefeuille comme le produit. Le portefeuille est le composant le moins intéressant : c’est une vue sur des clés. Les parties difficiles sont la chaîne d’émission qui lie un justificatif à une identité vérifiée, le registre qui indique au monde quels émetteurs comptent, et la question opérationnelle de ce qui se passe à trois heures du matin lorsqu’une clé de signature est compromise.

La seconde erreur est de ne concevoir que pour le cas en ligne. Dans une grande partie du monde, la vérification a lieu là où la connectivité n’est pas. Cela impose des décisions précoces : signatures vérifiables hors ligne, listes de statut mises en cache avec un âge maximal déclaré, et une règle explicite sur la conduite du vérificateur lorsque le cache est périmé — refuser, ou accepter en signalant. Cette règle relève de la politique, écrite, et non du jugement d’un agent au guichet.

Ce que cela signifie pour un programme national

Un dispositif de justificatifs est une affaire de gouvernance assortie d’une annexe technique. Les spécifications sont largement stabilisées et interopérables ; ce qui ne l’est pas, dans un pays donné, c’est qui peut émettre, qui peut vérifier, ce qu’un vérificateur peut conserver, et qui répond lorsqu’un justificatif est erroné. Ces questions prennent plus de temps que le logiciel et ne peuvent être déléguées au fournisseur. Ce qu’un partenaire technologique peut utilement faire, c’est rendre les réponses configurables plutôt que codées en dur, et livrer la configuration avec le code source.