Fourniture et gestion de certificats électroniques RGS et eIDAS

Le marché porte sur l’acquisition, le renouvellement et la révocation de certificats d’authentification et d’identification électronique. Ils permettent notamment l’authentification individuelle, la signature électronique et le chiffrement de données et de courriers. Le contexte indique environ 900 signataires à équiper pour la Ville ; ce chiffre n’est pas présenté comme une quantité totale de certificats commandés.

Les certificats demandés peuvent relever des types RGS*, RGS**, eIDAS et de leurs combinaisons, ainsi que des certificats cachet et serveur RGS*. La fourniture de certificats SSL client/serveur est expressément exclue. La durée de validité de chaque certificat est de 1 à 3 ans, selon la demande. La signature doit fonctionner au minimum avec les formats PDF, XML et Microsoft Word et être compatible avec des outils de télétransmission tels que CDCFAST, S²LOW et iXBUS, ainsi qu’avec Hélios et @ctes.

Les supports prévus selon le certificat sont le support logiciel (téléchargement ou envoi sur mini-CD ou équivalent), la clé USB cryptographique, la carte à puce avec lecteur USB ou le format dématérialisé (mode Cloud). Les certificats RGS** et eIDAS sont délivrés sur support physique ; les autres certificats sont fournis en version dématérialisée. Une version dématérialisée eIDAS pourra également être proposée. Le titulaire indique s’il peut personnaliser les clés ou cartes avec une image graphique et en précise alors les modalités techniques.

Conformité, compatibilité et sécurité

Le titulaire doit être qualifié eIDAS. Les certificats doivent respecter le format X.509 version 3 (RFC 5280) et les référentiels applicables, notamment ceux de l’ANSSI. Les mécanismes cryptographiques doivent employer RSA d’au moins 2048 bits, ou un algorithme de niveau de sécurité équivalent ou supérieur, et des fonctions de hachage SHA-2 ou ultérieures reconnues comme sûres.

Les certificats et supports doivent fonctionner avec les versions prises en charge de Windows, macOS, Android et iOS/iPadOS, les principaux navigateurs (Edge, Chrome, Firefox, Safari) et les environnements de travail virtualisés ou publiés couramment utilisés. Le titulaire maintient cette compatibilité pendant le marché, sans dégradation du service ni surcoût. La chaîne de certification doit être présente dans les magasins de certificats racines et intermédiaires à l’installation ou par mise à jour automatique.

Le titulaire assure la publication et la mise à jour des listes de révocation (CRL) et la vérification des statuts par CRL et OCSP (RFC 6960). Si une autorité de certification racine ou intermédiaire est compromise, il avertit l’administration dans les meilleurs délais et remplace les certificats encore valides concernés par de nouveaux certificats émis par des autorités non compromises. La solution doit assurer une disponibilité annuelle minimale de 99,9 %, protéger l’application contre les accès non autorisés et les attaques de type « brute force », et tracer les accès.

Application, commandes et délivrance

Une application dédiée en mode SaaS, accessible de façon sécurisée depuis le réseau de l’administration, permet les demandes, renouvellements et révocations dématérialisés. Elle présente les caractéristiques et statuts des certificats, l’avancement des dossiers et le suivi du stock ; elle fournit des statistiques ou extractions, notamment les listes de certificats délivrés et de bénéficiaires. Une alerte à l’approche d’une rupture de stock est souhaitée. L’application reste disponible pendant la durée d’exploitation des certificats afin de permettre notamment leur révocation et le suivi des expirations au-delà de la fin du marché.

Les certificats sont commandés par lots constituant un stock que l’administration consomme au gré de ses besoins. Aucun délai maximal n’est prévu entre la commande d’un lot et la création des dossiers individuels. Des agents de l’administration sont mandatés pour effectuer en son nom les opérations de délivrance, renouvellement et révocation, et peuvent remettre les certificats au porteur en face-à-face.

Après validation d’une demande, le certificat sur support logiciel est fourni sous 1 jour ouvré ; le certificat avec son support matériel sous 2 jours ouvrés. La génération et l’installation sur support physique, le cas échéant, incombent au titulaire. La remise peut se faire par téléchargement, disponible pendant toute la validité du certificat, ou par coursier ou courrier recommandé à l’adresse indiquée dans le dossier. Le titulaire peut aussi remettre les certificats au bureau d’enregistrement ou sur le lieu de travail du porteur et assiste, selon les besoins, les techniciens de proximité lors des remises et incidents de déploiement.

Assistance, maintenance et accompagnement

Le support technique est en français, joignable par téléphone (numéro non surtaxé) et par courriel, du lundi au vendredi de 9 h à 18 h les jours ouvrés. Les pannes sont résolues sans coût supplémentaire : sous 1 jour ouvré maximum pour une panne majeure interrompant le service et sous 3 jours ouvrés maximum pour une panne mineure dégradant le service. Un mécanisme d’escalade est prévu lorsque le délai n’est pas tenu ou que la gravité est mal qualifiée. Une documentation du portail est fournie à compter de la notification ; à défaut, des copies d’écran sont fournies pour chaque fonctionnalité.

Le titulaire organise et anime une formation à l’application et fournit la documentation associée. Il apporte, à la demande, du conseil et une veille sur les niveaux de sécurité des certificats et la signature électronique, ainsi que des sessions de formation ou séminaires adaptés aux applications de la Ville. Une réunion d’initialisation est organisée dans les locaux de l’administration ; une réunion de suivi y est tenue une fois par an, avec possibilité d’augmenter la fréquence en cas de crise. Le candidat précise ses procédures d’audit internes et externes relatives à la qualité de service.