FAQ de l'offre : Moyens d'identification électroniques

Pour gérer vos différents environnement d'intégration, il est possible d'enregistrer sur l'environnement bac à sable plusieurs URLs de redirection différentes

• des URLs de redirection incluant un wildcard à la fin, du type : https://nom-de-domaine.fr/redirection-uri/*
• des URLs en localhost
• des URLs en HTTP

En revanche, nous n'enregistrons qu'une seule URL de redirection pour l'environnement de production (en HTTPS et sans wildcard).

Si vous avez plusieurs sites clients à raccorder sur votre service, vous pouvez utiliser le paramètre state (champ libre échangé entre le FS et PSC) pour stocker des informations sur le site client initiant l'authentification, afin que votre serveur central puisse rediriger l'utilisateur authentifié vers son site d'origine.
 

Pro Santé Connect a implémenté la section sur la déconnexion en cours de spécification dans la norme OpenID Connect : https://openid.net/specs/openid-connect-session-1_0.html#RPLogout

Vous pouvez réaliser une déconnexion fonctionnelle en suivant les recommandations standards d'OpenID et notre documentation technique.

 

Pro Santé Connect gère plusieurs types de données "périssables" lors du déroulé d'une authentification par OpenID Connect. Chacune de ces données possède une durée de vie qui lui est propre, au delà de laquelle elle doit être régénérée. 

Le détail de ces durées de vie est fourni dans la Documentation Technique.

Des exemples de jetons sont publiés ici : Exemples de jetons.

Les moyens d'identification électronique de niveau substantiel eIDAS qui peuvent être utilisés pour identifier un usager sont ceux certifiés en France et/ou notifiés au niveau Européen.
En France, l'ANSSI publie la liste des moyens d'identification électronique de niveau substantiel eIDAS sur son site :  Produits et Services Qualifiés par l'ANSSI

Les autres moyens européens d'identification électronique de niveau substantiel notifiés sont listés sur : Overview of pre-notified and notified eID schemes under eIDAS - eID User Community -

Les moyens d'identification électronique français sont utilisables à travers FranceConnect, après contractualisation avec au moins un fournisseur d'identité électronique de niveau substantiel eIDAS et inscription auprès de la DINUM (voir FranceConnect - Devenez partenaires).

Oui, une application mobile sera mise à disposition (date de disponibilité indéterminée) des personnes disposant de cette nouvelle carte pour s'identifier en ligne avec FranceConnect.

La transmission d'un code OTP par SMS présente plusieurs vulnérabilités :
- interception des SMS sur le réseau téléphonique ;
- interception ou copie du SMS par une application malveillante sur le téléphone du destinataire ;
- transfert de la carte SIM destinatrice par un attaquant ("SIM swapping").
Ainsi l'OTP SMS ne constitue pas un facteur d'authentification sûr. Même associé à un mot de passe, il ne permet pas d'obtenir un moyen d'authentification fiable, et c'est pourquoi il a été abandonné dans le domaine bancaire pour les opérations sensibles.
Un argumentaire relatif aux facteurs d'authentification, et détaillant ce point, est mis à disposition par l'ANSSI : https://www.ssi.gouv.fr/guide/recommandations-relatives-a-lauthentifica…

L'identification électronique d'un professionnel de santé avec un login/mot de passe est tolérée pour une connexion locale au SI jusqu'au 1/01/2026 au plus tard, en tant que moyen d'identification électronique de transition. Des mesures complémentaires doivent toutefois être implémentées pour renforcer la sécurité dans ce cas : limitation du nombre de tentatives d'authentification possibles, complexité minimale du mot de passe, etc. La connexion à distance au SI, par exemple en télétravail ou depuis un réseau public ou externe, nécessite une authentification à deux facteurs.
A partir du 1er janvier 2026, le simple login/mot de passe ne sera plus conforme au référentiel, et des moyens délivrés par l'ANS, de niveau substantiel eIDAS ou homologués par la structure de santé devront être employés.

Pro Santé Connect est un fédérateur de fournisseurs d’identité (FI) qui permet à un professionnel de s'authentifier avec une e-CPS ou une carte de la 'famille CPx' (CPS, CPE, etc.). Pro Santé Connect présente une interface au standard OpenID Connect.
Des ressources sont mises à disposition par l'ANS sur son site web :
- https://industriels.esante.gouv.fr/produits-et-services/pro-sante-conne…
- https://gnius.esante.gouv.fr/en/regulations/regulation-profiles/pro-san…
Les éditeurs d'applications ou de services numériques en santé sont par ailleurs incités (référencement, financements, ...) à implémenter le raccordement à Pro Santé Connect afin d'atteindre les objectifs règlementaires fixés aux responsables des services numériques.

Le référentiel impose d'implémenter l'identification électronique des professionnels personnes physiques par Pro Santé Connect sur tous les services numériques sensibles, au plus tard au 1/01/2023.
Même s'il est possible, et conforme au référentiel, de n'autoriser l'identification électronique que par cet unique moyen, ce choix implique des risques en terme de disponibilité (indisponibilité du service central ou des accès réseau) ou d'accessibilité (besoin de terminal mobile et de connectivité réseau 3G/Wifi). La mise en place de moyens d'identification électronique alternatifs permet d'adresser ce type de problématique et aussi de fournir des solutions adaptées en cas d'oubli du téléphone par exemple.