EBICS – en passe de devenir un standard européen

Axel Weiß, Chairman of Board of Directors EBICS

Depuis 1995, les entreprises allemandes sont en mesure d’effectuer leurs opérations de paiement en toute sécurité à l’aide d’un produit standard assorti d’une signature électronique, et ce, auprès de l’ensemble des instituts financiers.

L’ajout d’une variante internet à l’accord relatif aux transferts de données a été initié dès 2003. Cette variante da la procédure de transfert de données devait être baptisée «Electronic Banking Internet Communication Standard» ou EBICS. Grâce à elle, le secteur bancaire allemand fut à même de répondre tant aux exigences des clients que des institutions financières en matière de solutions de banque électronique basées sur l’Internet.


L’objectif était d’étendre le standard commun multibanque «DFÜ mit Kunden» aux canaux de transfert via l’Internet et ainsi d’élargir les possibilités de mise en œuvre inhérentes. Pour ce faire et conformément aux exigences actuelles en matière de sécurité, l’on utilise des mécanismes de sécurisation tels que HTTPS ainsi qu’un dispositif supplémentaire d’authentification forte.
Les caractéristiques spécifiques d’EBICS sont les suivantes:
  • il s’agit d’un standard s’adressant à toutes les banques et entreprises, c.-à-d. que ces dernières sont en mesure d’effectuer des transferts avec toutes les institutions financières proposant EBICS à l’aide d’un seul et même logiciel
  • il s’agit d’un standard ouvert, c.-à-d. que les entreprises peuvent utiliser des produits standards ou leurs propres logiciels pour le mettre en œuvre
  • il utilise une technologie moderne et des standards internationaux libres de droits comme XML, HTTPS, TLS, ZIP
  • il garantit les standards de sécurité les plus élevés, p. ex. par le biais d’un cryptage de bout en bout à l’échelon du transport
  • il s’agit d’un procédé de transport applicable à l’ensemble des processus commerciaux (prélèvements, virements, extraits de compte, gestion de trésorerie, ordres sur titre, etc.)
  • il permet l’intégration de prestataires de services par le biais d’un concept de signatures à plusieurs niveaux
  • il permet la validation d’ordres indépendamment de la localisation
  • il s’agit d’un standard où le rapport prix/performance, et non l’aspect technique, prévaut (absence d’ajustements en cas de changement de la relation bancaire)
Outre pour la communication entre le client et la banque, EBICS est de plus en plus utilisé – en Allemagne comme dans un nombre croissant de pays de l’UE – pour l’échange sécurisé et très bon marché de transactions de paiement entre les banques. La mise à disposition d’un canal dédié aux transactions via EBICS par EBA Clearing a ainsi entraîné une augmentation significative du nombre d’opérations interbancaires effectuées à l’aide de ce standard, de sorte que quelque 5% des transactions SEPA traitées aujourd’hui par EBA Clearing concernent des transmissions via EBICS.

En plus d’être mis en œuvre dans le clearing bilatéral de paiements, EBICS est également de plus en plus utilisé en tant que solution de secours aux canaux de communication existants (comme SWIFT).
La désignation anglaise «EBICS» choisie en 2003 avait pour vocation de souligner l’ambition du standard de dépasser le cadre national et de s’imposer à l’échelon européen en proposant une alternative intéressante aux procédés existants, tant pour les banques que pour leurs clients.
En Allemagne, les banques ont obligation de supporter EBICS depuis le 1er janvier 2008. L’ancien standard FTAM a depuis lors été intégralement remplacé par EBICS.

L’année 2008 a également vu la signature d’un accord de coopération entre l’Allemagne et la France en matière d’EBICS. Suite à une étude exhaustive placée sous le signe du «make or buy», l’industrie bancaire française avait déterminé qu’EBICS apportait la meilleure réponse aux exigences des banques du pays et de leurs clients, et présentait donc le meilleur potentiel pour succéder au standard de communication ETEBAC. Pour les banques et et les associations impliquées, il est vite devenu évident qu’une utilisation juridiquement sûre d’EBICS par l’ensemble de ses utilisateurs passait par la création d’une société EBICS commune. Le but de cette société devait notamment être de développer et de maintenir le standard EBICS ainsi que de détenir les droits de marque relatifs.

À l’issue d’intenses négociations entre les industries bancaires française et allemande, la société EBICS a été fondée en juin 2010. Lors de la constitution d’EBICS SCRL, société de droit belge, les fondateurs ont scrupuleusement veillé à ce que l’entité conserve un but non lucratif et une structure la plus épurée possible, permettant de limiter les frais courants au strict minimum. Un soin particulier a en outre été apporté au fait que la société soit ouverte à l’adhésion d’autres acteurs bancaires intéressés.

La fondation de la société EBICS a créé les bases pour une mise en œuvre à l’échelle européenne et donc pour l’évolution d’EBICS vers un standard de marché européen. En avril de cette année, un pas important supplémentaire sur la voie d’un déploiement européen d’EBICS a été fait, avec la déclaration d’adhésion de SIX Interbank Clearing en tant que représentant de l’industrie bancaire helvétique.

L’objectif affiché est désormais de convaincre d’autres secteurs bancaires en Europe des avantages que recèlent une utilisation d’EBICS et une participation à la société éponyme – dont les portes sont grandes ouvertes.

Axel Weiß

EBICS et les paiements sur mobile en France

Dans la série «EBICS-standard européen pour les paiements mobiles», examinons le cas de la France.

Une solution sur mobile permettant à tout utilisateur de signer les transactions à distance -conformément au protocole EBICS TS - répondrait aux besoins des signataires «nomades» toujours plus nombreux à espérer que le mobile-banking avec EBICS devienne enfin une réalité.


A condition toutefois que cette solution soit suffisamment souple, autrement dit qu’elle fonctionne sur la plus grande variété de téléphones mobiles et tablettes, quels que soient leur système d’exploitation (à minima iOS, Android, Windows Mobile) et avec le même niveau de sécurité que celui fourni par les logiciels de signature EBICS TS sur PC utilisés quotidiennement par plusieurs milliers de signataires.

Des applications sur mobile ont certes vu le jour à l’initiative de tel ou tel éditeur, mais elles demeurent insatisfaisantes et donc peu utilisées car elles ne présentent pas la souplesse et la facilité d’utilisation requise. Rappelons en effet que pour être conforme aux spécifications décrites par le CFONB dans le guide d’implémentation, chaque signature doit disposer d’un certificat de signature personnelle sur support physique, délivré par une AC reconnue par la banque. Et c’est là que le bât blesse car autant il est possible de connecter un token USB sur certaines tablettes, autant il est impossible à ce jour de le faire sur tous les appareils mobiles, quelle que soit leur marque. Ou alors à grand frais d’adaptateurs et de connectique divers et variés, fonctionnant plus ou moins bien et surtout obligeant leurs utilisateurs à transformer leur appareil en de véritables usines à gaz, aptes à dissuader les meilleures volontés d’en faire un usage systématique.

Et il ne paraît ni raisonnable ni opportun d’obliger les signataires à s’équiper d’un smartphone ou d’une tablette supplémentaires auxquels la connexion d’un token est suffisamment commode pour être exploitée dès que c’est nécessaire.

Une solution serait de remplacer l’utilisation d’un support physique pour le stockage du certificat par un certificat à la volée, à usage unique. Mais, outre le fait que cela exigerait l’assentiment indispensable du CFONB, il faudrait refaire systématiquement l’enregistrement du certificat auprès d’une AC à chaque usage, ce qui enlèverait toute souplesse et ce faisant, tout intérêt.

Reste la problématique de l’absence de standardisation du processus de signature distribuée dont bénéficient nos voisins outre-Rhin au moyen de la Signature Electronique Distribuée (VEU). Bien que regrettable, la non concrétisation à ce jour d’EBICS DS n’empêche pas de proposer un service de couverture fonctionnelle équivalente : permettre aux signataires itinérants de confirmer des ordres avant exécution. Cette gestion des collèges de signataires et parapheurs est faite en amont sur une plateforme exploitée par l’entreprise ou par les prestataires et opérateurs de confiance. Une fois que le nombre nécessaires de signatures est atteint, impérativement au format EBICS (A005 ou A006), l’ordre et les signatures retenues sont acheminés vers l’établissement serveur via un envoi EBICS profil TS. A noter que cette solution permet de gérer des droits à signer plus riches que ceux proposés par le standard EBICS (1+1 ou 2) et donc potentiellement plus proches des attentes de l’utilisateur.

Marc Dutech