Remplacement des briques de signature électronique

La prestation consiste à remplacer Odisia Desktop et Odisia Broker par une solution moderne assurant la continuité du parapheur électronique ROCKET. Elle couvre le service de signature électronique qualifiée, le scellement et l’horodatage associés, la gestion des certificats et des moyens d’accord, ainsi que l’enrôlement des signataires existants et futurs.

La solution doit prendre en charge environ 20 000 signatures qualifiées par an pour une population actuelle d’environ 80 signataires, avec maintien d’une expérience intégrée dans ROCKET :

• Authentification du signataire dans ROCKET, consultation des documents et déclenchement de l’action « Je signe » sans bascule fonctionnelle vers une plateforme tierce.
• Identification et recueil de l’accord de signature au moyen d’un mécanisme pérenne, utilisable notamment sur terminal mobile, avec compatibilité iOS et Android et prise en charge des usages PC, tablette et smartphone.
• Utilisation d’une bi-clé et d’un certificat hébergés dans un QSCD distant qualifié, avec enrôlement du moyen d’accord et possibilité proposée en option de réutiliser des clés physiques RGS** encore valides lors de l’enrôlement.

Formats et flux de signature

Les documents PDF doivent être signés au format PAdES et validés par les outils usuels, notamment Adobe avec les chaînes de confiance attendues. Les documents XML doivent être signés au format XAdES, certains pouvant atteindre 500 Mo. La solution doit également gérer le mode XAdES enveloppé et les métadonnées nécessaires aux fichiers PES V2 destinés à la DGFIP.

ROCKET doit piloter le cycle de signature par des API REST documentées et sécurisées. Les échanges utilisent HTTPS et des versions maintenues de TLS. Le document signé est récupérable par ROCKET ; un mécanisme PUSH peut aussi être proposé. L’intégration doit limiter les modifications de ROCKET et éviter un couplage fort avec la plateforme du prestataire.

Environnements, déploiement et accompagnement

La prestation comprend :

• Cadrage détaillé et validation de l’architecture cible.
• Mise à disposition et configuration d’environnements distincts de qualification et de production.
• Accompagnement à l’intégration des API avec ROCKET.
• Enrôlement initial des signataires et prise en charge des futurs enrôlements.
• Assistance aux tests, à la recette et à la mise en production.
• Support au démarrage et modalités de support d’exploitation, incluant les délais d’intervention, les corrections de bogues et les niveaux de service.

Les livrables comprennent la documentation technique, d’exploitation et d’administration, la documentation complète des API et de leurs mécanismes d’authentification, erreurs, statuts et exemples d’intégration, ainsi que les schémas de flux et les plannings de mise en place et d’enrôlement.

Sécurité, hébergement et conformité

Les données doivent être hébergées dans l’Union européenne, en Suisse ou en Nouvelle-Calédonie. Aucun transfert de document ou de donnée concernée vers une autre zone géographique ne peut intervenir sans l’accord exprès de la Province Sud. Les flux transportant documents, jetons, secrets ou données d’identité doivent être chiffrés en transit, et la solution doit être adaptée au traitement de données personnelles ou sensibles.

La réponse doit préciser les textes, référentiels, qualifications et certifications applicables, notamment au regard du règlement eIDAS, des textes réglementaires applicables en Nouvelle-Calédonie et des contraintes PES V2 de la DGFIP. La solution doit démontrer la continuité de service, ses dépendances critiques et son dispositif de mise en production.