Ouverture et analyse des offres : vérification de la signature électronique

Transcription

1 Note à l attention des acheteurs 06/12/20126 décembre 2012 Ouverture et analyse des offres : vérification de la signature électronique Objet du document Version Cette note à l attention des acheteurs publics utilisant la salle des marchés e- mégalis a pour objectif de les guider dans les actions de vérification des signatures électroniques apposées par les entreprises dans le cadre des réponses dématérialisées. V.1.1 Rédacteur Pôle Services et Mutualisation

2 Sommaire 1. La sécurisation des échanges entre l entreprise et l acheteur public La phase d ouverture et d analyse des offres Etape 1 - Ouverture des plis par le RPA Etape 2 - Vérification de l intégrité de l offre Etape 3 Vérification de la valeur juridique des documents contractuels Détails de la vérification de la validité du certificat électronique (réponse «express») Détails de la vérification de la validité du certificat électronique (réponse «pas à pas») Vérification manuelle de la signature électronique

3 1. La sécurisation des échanges entre l entreprise et l acheteur public La mise en œuvre de la dématérialisation des marchés publics doit apporter des garanties et assurances aux entreprises et aux acheteurs, en termes de confidentialité, d intégrité et de valeur juridique des échanges. Objectif Action réalisée Moyen utilisé Garantir la confidentialité des offres = Seul le RPA (représentant du pouvoir adjudicateur) pourra ouvrir les offres. - obligatoire pour les appels d offres - optionnel pour les autres procédures, à cocher au moment de la publication de la consultation, Chiffrement électronique de l offre Réalisée automatiquement par la salle des marchés Avec la clé publique du certificat électronique du RPA Garantir l intégrité des offres = Les documents envoyés par l entreprise n ont pas été modifiés entre l envoi et l ouverture par le RPA. = Equivalent à un cachet sur une enveloppe papier Assurer la valeur juridique des documents contractuels = La personne habilitée à engager l entreprise appose une signature sur les documents de marché : lettre de candidature, acte d engagement = tout document indiqué dans le RC comme devant être signé. Signature électronique du pli créée au moment du dépôt Signature électronique des documents Réalisée automatiquement par la salle des marchés Avec la clé privée du certificat électronique du déposant Réalisée manuellement par la personne habilitée à engager l entreprise Avec la clé privée du certificat électronique de la personne habilitée à engager l entreprise. 3

4 2. La phase d ouverture et d analyse des offres La phase d ouverture des offres comprend plusieurs étapes successives qui permettent de vérifier que les mécanismes assurant les garanties attendues ont bien été mises en œuvre. Ces étapes sont les suivantes pour chaque offre (ou candidature) déposée par une entreprise : 1. Ouverture par le RPA, seul habilité à ouvrir les offres, 2. Vérification de l intégrité de l offre, 3. Vérification de la valeur juridique des documents contractuels reçus, L objet de cette note est de guider l acheteur public dans cette phase de vérification via les outils proposés sur la salle des marchés publics e-mégalis. A noter que pour le dépôt des offres par les entreprises, e-mégalis préconise l utilisation du mode de réponse «pas à pas» (cf ). Cette méthode permet aux entreprises de bien vérifier les documents qui ont été signés électroniquement et limite ainsi le risque de rejet et de contentieux pour l entreprise et l acheteur public. 4

5 2.1. Etape 1 - Ouverture des plis par le RPA L objectif à cette étape est de respecter la confidentialité des offres reçues. Dans le registre de dépôt des offres, le RPA découvre un ou plusieurs dossiers.zip correspondant aux offres reçues. L acheteur peut ouvrir les offres selon plusieurs modes : ouverture en ligne : ouverture immédiate nécessitant d être connecté de manière continue à la salle des marchés, ouverture hors ligne (avec l outil d ouverture hors ligne fournit par la plateforme) : en 3 étapes : 1. téléchargement de l offre sur le poste de l acheteur 2. ouverture sur le poste, 3. renseignement du statut de l ouverture de l offre sur la salle des marchés, ouverture à distance : o téléchargement de l offre sur le poste de l acheteur o ouverture sur la salle des marchés, nécessitant d être connecté sur la salle des marchés au moment de l ouverture (en CAO par exemple) (réduit le temps nécessaire au déchiffrement) Afin de sécuriser l ouverture des plis (en particulier pour les plis volumineux), e-mégalis recommande d utiliser le plus possible l ouverture hors ligne. L ouverture pourra se faire en CAO si besoin en toute sécurité et en s affranchissant d éventuels problèmes de connexion internet. L acheteur public a également la possibilité de refuser l offre (en cas de dépôt hors délai par exemple). Dans le cas où l entreprise finit de déposer son pli en retard par rapport à la date et l horaire limite de remise des offres, la date et heure de remise s affiche en rouge : 5

6 L acheteur public a donc la possibilité de «refuser l offre» de cette entreprise dans le menu «Actions». Le RPA étant seul habilité à ouvrir les offres, au moment de l ouverture, la clé privée du RPA est demandée par la salle des marchés e-mégalis afin de réaliser le déchiffrement du pli 1. Au moment de l ouverture des offres, la salle des marchés e-mégalis réalise : le déchiffrement, la vérification de l intégrité de l offre, la vérification des signatures électroniques apposées sur les documents contractuels (si elles existent) Etape 2 - Vérification de l intégrité de l offre La sécurisation du dépôt des offres est assurée par l utilisation d une signature électronique au moment du dépôt. Signature créée grâce au certificat électronique utilisé par l entreprise au moment du dépôt de son offre. Pendant le processus d ouverture, la salle des marchés vérifie automatiquement 4 éléments sur la ou les signatures électroniques apposées : Période de validité du certificat : s'assurer qu'au moment du dépôt du pli, le certificat utilisé était valide. Chaîne de certification : l'autorité de Certification (AC) qui a délivrée le certificat doit être une AC référencée dans les listes suivantes (cf. arrêté du 15 juin 2012) : 1 A noter que dans le cas des MAPA, le chiffrement du pli est une option. Dans le cas où celui-ci n est pas demandé à la création de la consultation, la clé ne sera pas nécessaire lors de l ouverture des plis. 6

7 Liste de confiance RGS (France) EU Trusted Lists of Certification Service Providers (Commission européenne) PRIS V1 (France) (uniquement jusqu'au 18 mai 2013) Adresse internet nature/eu_legislation/trusted_lists/index_en.htm Contrôle d'absence de la CRL (Certificate Revocation List) : le certificat utilisé pour signer le pli ne doit pas apparaître dans la liste des certificats révoqués par leurs propriétaires. Vérification de la signature (rejeu) : permet de s'assurer que le document n a pas été modifié entre la signature et l ouverture. Le tableau récapitulatif du registre des dépôts est mis à jour avec ces premières vérifications et la colonne «statut de l enveloppe» indique à la fois la présence de signature électronique pour l enveloppe et son statut. Le résultat de la vérification est représenté pour chaque dossier ouvert dans le tableau d analyse des offres avec plusieurs symboles : Le symbole indique que le résultat de la vérification est bon. Le symbole indique que la vérification est incomplète. Le symbole X indique que le résultat de la vérification est mauvais (absence de signature ou signature invalide) 2. 2 Une évolution de la salle des marchés est prévue pour rendre ces messages plus explicites et univoques. Il s agit de proposer un message différent suivant que la signature est absente ou que celle-ci est invalide. Il y aura donc 2 messages au lieu d un seul. 7

8 Dans le cas présenté, la vérification du pli «EL1_Enveloppe_Offre.zip» est bonne. Celle du pli «EL2_Enveloppe_Offre.zip» est incomplète. Nous allons voir dans le chapitre suivant les raisons de cet état 8

9 2.3. Etape 3 Vérification de la valeur juridique des documents contractuels Détails de la vérification de la validité du certificat électronique (réponse «express») La réponse express compose une offre ZIP ainsi qu un AE dissocié avec sa propre signature si besoin. L acheteur public accède au détail de la vérification des signatures électroniques présentes dans le pli en cliquant sur l icône Il s agit en 1 er lieu de vérifier que le certificat utilisé pour signer est au nom d une personne habilitée à engager l entreprise : dirigeant ou personne ayant reçu délégation Dans le cas ci-dessus voici le détail du signataire : 9

10 Il s agit également de vérifier l origine du certificat (son AC) et le type de certificat : Où : CN : «Common Name» (CSF : Chambersign France Classe III : Certificat de classe 3 norme PRISV1, Sign and Crypt : permet la signature et le chiffrement) O : Organization : Autorité Consulaire OU : «Organization Unit» : Certification professionnelle C : «Country» La plateforme effectue les vérifications suivantes (cf. 2.2) : Période de validité du certificat : Chaine de certification : Contrôle d'absence de la CRL (Certificate Revocation List) : Dans l exemple d écran de synthèse de vérification de la signature électronique les contrôles d absence de la CRL sont incomplets (? ). Cela veut dire que l application n a pas pu vérifier la liste de révocation. Attention, selon les AC, les mécanismes de contrôle de la CRL sont différents. Pendant la période actuelle de transition où de plus en plus d AC sont intégrées sur la plateforme, il se peut que les mécanismes de vérification des certificats présents sur la plateforme n arrivent pas à accéder à la CRL d un certificat. Cela ne signifie pas que le certificat utilisé a été révoqué. 10

11 Dans ce cas, de manière transitoire, la collectivité pourra s adresser au support de la plateforme pour déterminer le statut de la CRL du certificat (tél : ). Dans le cas d un certificat produit par une AC non référencée par l arrêté du 15 juin 2012, la vérification du certificat sur la plateforme indiquera un certificat inconnu, une chaîne de certification invalide ( X ), une vérification de la CRL impossible (? ). Dans ce dernier cas, selon les recommandations de la DAJ, l acheteur public devra s adresser à l entreprise pour lui demander tous les procédés et informations nécessaires à la vérification du certificat. Un fois la vérification du certificat électronique utilisé effectuée, l acheteur public doit vérifier la signature de chaque document devant être signé dans la cadre de la réponse à la consultation. 11

12 Dans l exemple présenté ci-dessus le pli est composé : du fichier «AE_dissocie.pdf» dont la signature propre est généralement demandée par la collectivité, du dossier «Offre.zip» rassemblant les autres pièces de l offre de l entreprise. Le 1 er cadre présente le statut du pli Le 2 ème cadre le statut de l acte d engagement dissocié Le 3 ème cadre le statut du dossier comportant les éléments de l offre. Le rejeu de la signature électronique doit indiquer un résultat soit positif ( ( X ). ), soit négatif 12

13 Techniquement, l outil en ligne de vérification de la signature électronique vérifie la signature associée à tous les éléments composant le pli. Dans le cas du pli présenté plus haut, celui-ci est constitué des éléments suivants : A noter que la signature générée par l outil de signature de la salle des marchés côté entreprise depuis la mise à jour du 1 er octobre 2012 est au format XAdES et a une extension.xml : Les signatures générées par l outil de signature de la salle des marchés auparavant étaient au format CAdES avec une extension.p7s : NB : la signature d'un dossier.zip ne correspond pas juridiquement à la signature des fichiers contenus dans ce dossier. C est un point qui doit être rappelé aux entreprises dans le Règlement de Consultation. Chaque document devant être signé doit l être indépendamment. Les signatures éventuelles des fichiers présents dans le dossier «Offre.zip» ne sont pas vérifiées automatiquement par la plate-forme. Dans le cas d un fichier «Offre.zip», non signé, la vérification de la signature électronique sera signalé d une croix rouge (X) pour signifier l absence de signature électronique du zip. Cela ne signifie pas pour autant qu il n y a pas de documents signés électroniquement à l intérieur de ce zip. L acheteur doit alors vérifier lui-même les documents à l intérieur du zip. 13

14 Détails de la vérification de la validité du certificat électronique (réponse «pas à pas») La réponse «pas à pas» permet à l entreprise d envoyer plusieurs documents signés et/ou non signés dans le même pli. Dans le cas présenté ci-dessous, le pli est composé de : 1. Un AE dissocié signé, 2. Une offre Lot1.zip non signé, 3. Une offre Lot2.zip signé, 4. Un AE rempli.pdf non signé, 5. Un AE Lot2.pdf signé. L acheteur public accède au détail de la vérification des signatures électroniques présentes dans le pli en cliquant sur l icône 14

15 L utilisation de la réponse «pas à pas» par l entreprise, permet à l acheteur public de vérifier plus rapidement les signatures apposées aux documents demandés. La signature ou la non-signature de chaque élément présent dans le pli est vérifié. Pour cette raison, compte-tenu de la présence de documents non signés (intentionnellement) dans le pli, la signature de celui-ci est indiquée globalement comme invalide. Attention, cela veut dire simplement que certains documents ne sont pas signés dans le pli. L acheteur public ne doit pas se contenter du résultat global de la vérification du pli. Il appartient à celui-ci de vérifier dans le détail si certains éléments non signés dans le pli aurait dû l être compte-tenu du RC Vérification manuelle de la signature électronique La vérification de la signature électronique doit être réalisée pour chaque document devant être signé tel qu indiqué par l acheteur dans le règlement de la consultation. Une fois les fichiers téléchargés sur le poste de l acheteur public, celui-ci peut utiliser à tout moment l outil de vérification de la plateforme. Pour ce faire, il suffira à l acheteur public d aller chercher un à un les fichiers dont la signature devra être vérifiée sur son poste et d utiliser le formulaire de vérification en ligne : 15

16 Outil de vérification de signature électronique de la plateforme Remarque : dans le cas de la vérification de certificats conformes au RGS, le niveau de sécurité sera indiqué sur la ligne CN. En l occurrence il s agit ici d un certificat RGS 2* qui peut être utilisé pour la signature électronique et pour l authentification. Attention, pour l instant le module de vérification en ligne de la plateforme ne peut pas vérifier les signatures électroniques de type PAdES (signature intégrée dans un document.pdf). Par ailleurs, dans le cas où l entreprise aurait utilisé un certificat produit par une AC non référencée par l arrêté du 15 juin 2012, il appartient à l entreprise de proposer à l acheteur public les moyens nécessaires (programme et mode d emploi), afin de vérifier la conformité de son certificat. Ce cas doit être prévu par l acheteur et indiqué dans le règlement de la consultation. Dans le cas d une signature effectuée par l entreprise avec un outil de signature différent de celui de la plate-forme, il se peut que la signature générée corresponde à un autre format (CAdES ou PAdES) qui n est pas supporté par l outil de vérification en ligne de la plateforme. La signature apparaitra alors comme invalide dans l outil de vérification de la plateforme. 16

17 Dans ce cas, l acheteur public devra utiliser d autres outils de vérification, ou ceux proposés par l entreprise. L'acheteur public, peut notamment utiliser l outil COSIGN qui peut être téléchargé sur la plateforme dans le menu «Aide» > «Outils informatiques» > «Autres outils». L utilitaire COSIGN permet : la signature des documents au format XAdES (signature détachée.xml), CAdES (.P7s) et PAdES (signature insérée dans un document.pdf), la vérification des signatures au format XAdES, CAdES, PAdES, la co-signature de documents au format XAdES. 17