Fournisseur d'Attestations
Fournisseur d'Attestations est le terme collectif désignant les trois rôles que l'ARF définit pour l'émission d'identifiants d'attributs : un fournisseur QEAA, un fournisseur PuB-EAA et un fournisseur EAA non qualifié. Le rôle d'un émetteur détermine le niveau de confiance qu'une partie utilisatrice peut accorder à ce qu'il émet.
Un fournisseur QEAA est un prestataire de services de confiance qualifié inscrit sur une Trusted List nationale, si bien que ses attestations bénéficient de la présomption légale d'exactitude d'eIDAS 2.0, le même poids juridique qu'une signature électronique qualifiée. Un fournisseur PuB-EAA est un organisme du secteur public, ou une entité agissant en son nom, qui délivre des attestations sans passer par une certification qualifiée, car son propre mandat public établit déjà la confiance dont une partie utilisatrice a besoin. Un fournisseur EAA est toute autre organisation délivrant des attestations au niveau d'assurance qu'elle peut soutenir, ce qui couvre la plupart des cas d'usage du secteur privé, comme un ordre professionnel confirmant une licence ou un employeur confirmant un poste. Les trois s'appuient sur des Authentic Sources pour les attributs qu'ils attestent, et une partie utilisatrice vérifie le Trust Anchor derrière un fournisseur d'attestations pour savoir auquel des trois elle a affaire, car le poids juridique du credential qui en résulte dépend entièrement de cette classification. Un vérificateur acceptant une attestation pour un processus réglementé, l'ouverture d'un compte bancaire dans le cadre de règles KYC par exemple, a généralement besoin d'un QEAA ou d'un PuB-EAA plutôt que d'un simple EAA, tandis qu'un programme de fidélité ou un badge d'entreprise interne peut s'appuyer sur le niveau plus bas qu'offre un fournisseur EAA. L'ARF exige que chaque fournisseur d'attestations s'enregistre lui-même ainsi que les types d'attestations qu'il délivre, si bien que la distinction entre les trois rôles est vérifiable plutôt qu'une simple affirmation du fournisseur.
Termes associés
Un fournisseur EAA peut-il délivrer les mêmes attestations qu'un fournisseur QEAA ?
Non. Un fournisseur EAA délivre des attestations au niveau d'assurance qu'il peut soutenir, sans la certification qualifiée que détient un fournisseur QEAA. Une partie utilisatrice qui a besoin de la présomption légale d'exactitude d'eIDAS 2.0, pour un processus KYC réglementé par exemple, doit s'appuyer sur un fournisseur QEAA ou PuB-EAA plutôt que sur l'attestation d'un simple fournisseur EAA.