Blog
Quelles sont les bonnes pratiques pour une gestion optimale de votre parc de clés ?
CONTEXTE : l'adoption du protocole ebics tS
Suite à l’abandon des protocoles ETEBAC 3 et 5 finalisés en 2012, le Comité Français d’Organisation et de Normalisation Bancaires « CFONB » a dû choisir un nouveau protocole de communication bancaire de référence en France. Le choix s’est porté sur deux protocoles, le standard Allemand EBICS ainsi que le protocole de Swift, SWIFTNet. Ces décisions se sont basées sur plusieurs critères : la sécurité, l’évolution technologique et la standardisation des protocoles au niveau Européen/Mondial.
Le protocole EBICS présente l’avantage d’être gratuit contrairement à son homologue SWIFTNet. Il est aujourd’hui adopté par un grand nombre d’entreprises françaises pour leur communication bancaire et a été adopté par quatre pays Européens : France, Allemagne, Suisse et Autriche.
Son fonctionnement se base sur l’utilisation de clés qui permettent de sécuriser les échanges. Trois clés sont utilisées pour sécuriser les échanges :
- La clé d’authentification, utilisée pour prouver l’identité des parties.
- La clé de chiffrement pour protéger la confidentialité des données.
- La clé de signature pour garantir l’intégrité et l’authenticité des données échangées dans le protocole EBICS.
Ces clés sont générées et détenues par le client ou son prestataire disposant de la connexion EBICS.
De la même manière, les banques utilisent des clés électroniques qu’elles génèrent pour utiliser le protocole EBICS.
Le protocole EBICS T implique une signature de transport des paiements à laquelle s’ajoute une signature de confirmation par Fax ou WebBanking pour confirmer les ordres.
Le protocole EBICS TS ajoute une signature électronique personnelle par le biais d’un token permettant de joindre la signature de confirmation directement aux fichiers de paiements. L’abandon des confirmations par Fax par les banques en 2017 a rendu le protocole EBICS TS indispensable pour les entreprises françaises ayant choisi EBICS.
Cette signature par token nécessite l’utilisation d’un périphérique physique externe contenant un certificat numérique : le token de signature.
Alors que plusieurs fournisseurs de tokens existent tels que Certeurope, Keynectis ou ClicNTrust, le plus utilisé est le token émis par Swift, la clé 3 SKey.
La clé 3 SKEY : la solution privilégiée des entreprises
La clé 3 SKey se présente comme une clé USB que l’utilisateur branche sur le port USB du poste de travail. Elle contient un certificat de signature généré par Swift qui doit être activé sur le site de Swift 3 SKey.
Pour pouvoir être reconnue sur votre poste, elle nécessite l’installation du logiciel Swift Token Client (SafeNet) et du plugin SConnect sur votre navigateur.
Elle peut ensuite être paramétrée dans vos logiciels de communication bancaire pour pouvoir signer directement vos paiements depuis ceux-ci.
L’adoption massive de la clé 3 SKey par les entreprises utilisant le protocole EBICS TS est due à plusieurs facteurs :
- Son acceptation : ce token étant développé et commercialisé par Swift, organisation reconnue dans le domaine de la sécurisation et de la communication bancaire, cela lui a permis de se faire facilement accepter par les institutions financières et les utilisateurs.
- Sa compatibilité avec les logiciels de communication bancaire : les éditeurs de logiciels de communication bancaire tels que Kyriba et E-Finances proposent des modules dédiés à la gestion de ces clés et de leurs certificats pour la signature des paiements directement depuis leur application.
C’est d’ailleurs le seul token physique paramétrable dans Kyriba, leader du marché des logiciels de trésorerie et de communication bancaire en SaaS.
- Sa large adoption qui en a fait la solution la plus connue des entreprises, ce qui participe à la rendre plus répandue.
Les défis de la gestion des clés 3 skey pour les entreprises
Malgré les avantages indéniables à l’utilisation de la clé 3 SKEY en termes de sécurité et d’interfaçage dans vos applications de communication bancaire, la gestion du parc de clés reste un défi pour les entreprises. Sa fonction de signature des paiements étant critique pour l’entreprise, la rigidité des process à suivre pour son installation et son maintien en font un facteur de stress des directions financières.
Les principaux écueils à ce sujet sont les suivants :
- Paramétrage et échanges de certificats : le paramétrage dans les logiciels de trésorerie et les échanges de certificats avec les banques peuvent se révéler être complexes pour les non-initiés.
- Renouvellement et expiration des certificats : les certificats numériques utilisés par les clés 3 SKey expirent au bout de 3 ans maximum et chaque renouvellement de clé nécessite du paramétrage dans vos outils et des échanges de certificats avec les banques. Une mauvaise gestion peut entraîner une interruption du service et des transactions.
- Gestion physique des clés : les délais d’obtention des clés et de distribution aux utilisateurs entraîne des lourdeurs dans la gestion des clés. De plus, lorsqu’un utilisateur bloque sa clé après l’utilisation de 5 mauvais mots de passe ou perd sa clé, l’ensemble de la procédure d’échange de certificats doit être réalisée de nouveau avec l’ensemble des banques.
- Expiration asynchrone des clés EBICS et clés 3 SKey : les clés des banques, les clés EBICS clients utilisées pour l’authentification, le chiffrement et la signature de transport et les clés de signatures personnelles 3 SKey ont des dates d’expiration différentes. Elles sont cependant complémentaires dans les échanges de fichiers via EBICS.
LES bonnes pratiques essentielles pour une gestion efficace du parc de clés 3 skey de votre entreprise
Afin de parer aux problématiques évoquées précédemment, certaines bonnes pratiques peuvent être suivies pour une gestion efficace de son parc de clés au quotidien et une meilleure réactivité en cas d’imprévus.
- Paramétrer au minimum 2 administrateurs sur le site 3 SKey : l’administrateur se révèlera indispensable pour les éventuelles procédures de réinitialisation en cas de blocage de clés 3 SKey.
- Conserver son code de sécurité 3 SKey : celui-ci est généré lors de l’activation du token et comporte 16 caractères. Il est indispensable en cas de réinitialisation du token.
- Optimiser ses renouvellements de clés : les clés EBICS sont valides jusqu’à 5 ans et les clés 3 SKey sont valides jusqu’à 3 ans. Si lors d’un renouvellement des clés 3 SKey, les clés EBICS ont une expiration dans moins de 3 ans, il est envisageable de les renouveler immédiatement pour ne pas multiplier les actions d’échange de certificats avec les banques. Dans Kyriba par exemple, lorsqu’on renouvelle les clés EBICS, l’ensemble des échanges de certificats de clés 3 SKey pour les signataires doivent être réalisés de nouveau.
- Planifier ses renouvellements : les renouvellements peuvent s’effectuer 90 jours avant l’expiration de la clé, une fois ce délai atteint, planifier au plus vite une date de renouvellement avec ses prestataires et ses banques.
Lors du renouvellement, la majorité des banques françaises révoquent dans un premier temps les certificats du signataire actifs de leurs côtés afin de pouvoir y rattacher les certificats de la nouvelle clé. Cela entraîne un délai durant lequel le ou les signataires ne pourront pas signer depuis leur logiciel de communication bancaire. Celui-ci dépend de la réactivité de chaque partie prenante du processus de renouvellement. Il est donc essentiel de planifier la date de renouvellement en amont pour ne pas se retrouver dans l’incapacité de signer des virements urgents. - Garder une clé de secours : pour prévenir d’éventuelles pertes de clés 3 SKey ou simplement un éventuel changement de signataire, nous recommandons également de toujours avoir une clé 3 SKey de secours, non activée, qui pourra être activée si la situation le requiert.
Dans cet article, nous avons identifié la complexité mais aussi les avantages liés à l’utilisation et à la gestion des parcs de clés 3SKey.
Les renouvellements de certificats et de clés demeurent des opérations peu fréquentes, nécessitant une bonne connaissance des procédures associées. C’est pour cette raison que de nombreuses entreprises optent pour l’externalisation de ces taches et ont recours à un prestataire tel qu’OGI.
Ainsi, accompagné par un consultant expert, ayant l’habitude de gérer ces problématiques de tokens et rompus aux procédures des banques, le responsable trésorerie ou le chef comptable va sécuriser le bon déroulement de l’opération. Il garantit la continuité du service et donc des paiements de l’entreprise, ce qui est capital pour un chef d’entreprise.