API Smart-ID : guide du développeur pour la RP API v3

Dernière révision : 5 octobre 2026 · Ne constitue pas un conseil juridique

Ce guide technique de l'API Smart-ID couvre les points de terminaison, les sessions, les contrôles des réponses, les tests en environnement de démonstration et la valeur juridique. Pour les contrats et les règles LCB-FT par pays, consultez notre guide d'intégration Smart-ID.

Smart-ID en un coup d'œil

Smart-ID est une application mobile de SK ID Solutions AS. Via l'API de partie utilisatrice de SK, un service l'utilise pour connecter un utilisateur ou recueillir une signature.^[13] Une partie de chaque clé est stockée sur le serveur de SK, ce que l'Autorité des systèmes d'information d'Estonie (RIA) appelle le « service de serveur de gestion des clés Smart-ID ».^[4]

Adoption : utilisateurs et transactions

La Lituanie est le premier marché de Smart-ID avec 1,857,471 utilisateurs, devant la Lettonie avec 1,198,463 et l'Estonie avec 797,395, selon le compteur en temps réel de smart-id.com au 5 octobre 2026.^[1] SK indique « près de 100 millions de transactions par mois ».^[2]

En Estonie, Smart-ID détient « une part de marché de près de 60 pour cent » des authentifications, selon ERR News. Le compteur ne donne que des totaux. Aucune source primaire n'indique la part des adultes de chaque pays qui utilisent Smart-ID (5 octobre 2026).

Ce que voit l'utilisateur

L'API RP v3 atteint l'application de trois façons : un code QR dynamique d'un appareil à l'autre, un lien Web2App ou App2App sur le même téléphone, ou une notification push.^[12] SK commercialise l'expérience par code QR et d'application à application sous le nom Smart-ID+, qui « ne nécessite plus de saisir votre code d'identification personnel sur un site web ».^[8]

Fonctionnement de l'API Smart-ID v3

L'API est une API REST sur HTTPS avec du JSON en UTF-8.^[19] Quatre familles d'endpoints POST ouvrent une session et renvoient un sessionID ; un seul GET renvoie le résultat.^[13]

Les familles d'endpoints de la RP API v3, d'après la présentation de SK.^[13]

Connexion multi-appareils simplifiée avec un lien d'appareil.^[12][18]

Pièges :

• Chaque requête initiale v3 contient un rpChallenge aléatoire que vous générez. Il a remplacé le nonce de la v2 contre les attaques par rejeu.^[20]
• Le sessionSecret ne doit jamais atteindre votre frontend, et un flux correspond à une seule requête de session, même lorsque vous affichez le QR code et le lien ensemble.^[18]
• Dans les flux par notification, vous calculez le code à quatre chiffres à partir du SHA-256 du rpChallenge.^[17]
• SK vous authentifie par l'adresse IP source et le relyingPartyUUID, et exige l'épinglage de clé HTTPS.^[19]
• Selon la documentation de SK, un utilisateur sans compte reçoit une erreur HTTP 404. SK demande d'afficher un message unique pour tous les cas d'erreur, contre l'énumération.^[19]

Ce qu'une entreprise reçoit de l'API Smart-ID

Une session terminée renvoie state, result.endResult, le certificat de l'utilisateur dans cert et un objet signature. Le serialNumber du sujet contient le code d'identité, par exemple PNOEE-30001010004. Le préfixe indique le pays.^[15]

La vérification de la réponse selon SK vous impose de :^[15]

• Vérifier que state vaut COMPLETE, que endResult vaut OK, et que le protocole est ACSP_V2 (connexion) ou RAW_DIGEST_SIGNATURE.
• Valider la chaîne uniquement par rapport aux autorités de certification de SK, avec OCSP ou CRL.
• Exiger chaque identifiant de politique Smart-ID, afin que les autres certificats SK échouent.
• Comparer certificateLevel avec le niveau que vous exigez.
• Reconstruire la charge utile signée et vérifier la signature.
• Vérifier les valeurs de l'URL de rappel dans les parcours sur le même appareil.

Niveau de garantie et valeur juridique

Smart-ID ne figure pas sur la liste européenne des schémas d'identification électronique notifiés ; le schéma notifié de l'Estonie (élevé, 7 novembre 2018) couvre la carte d'identité et Mobile-ID.^[6]

Réserve : les e-résidents « ne se distinguent pas des résidents ».^[5]

Mesures de vigilance LCB-FT à l'égard de la clientèle en Estonie

La loi estonienne relative à la prévention du blanchiment de capitaux et du financement du terrorisme (RahaPTS) fixe les voies à distance au § 31(3).^[23]

§ 31(3)RahaPTS (Estonie)

"1) e-identimise süsteemi, millest on teatatud ... (EL) nr 910/2014 ... artikli 9 kohaselt ja mis vastab ... artikli 8 lõike 2 punktis b või c sätestatud usaldusväärsuse tasemele" ou "2) kvalifitseeritud usaldusteenust"

Source : Riigi Teataja, RahaPTS^[23]

En français : un schéma d'identification électronique notifié de niveau substantiel ou élevé, ou un service de confiance qualifié. La voie 1 ne convient pas. Au 5 octobre 2026, aucune position officielle n'indique si les certificats qualifiés de Smart-ID relèvent de la voie 2. Interrogez donc la Finantsinspektsioon ou un conseil. La loi LCB-FT lituanienne (article 11) et le règlement du Conseil des ministres letton n° 392 (point 7.1) citent une signature électronique qualifiée ou sécurisée parmi plusieurs voies à distance.^[28][29]

À partir de 2027 : article 22(6) de l'AMLR

Le règlement relatif à la lutte contre le blanchiment de capitaux (AMLR) s'applique à partir du 10 juillet 2027. Son article 22(6)(b) accepte « les moyens d'identification électronique qui satisfont aux exigences du règlement (UE) n° 910/2014 en ce qui concerne les niveaux de garantie "substantiel" ou "élevé" et les services de confiance qualifiés pertinents ».^[30] Les projets finaux de normes de l'Autorité de lutte contre le blanchiment de capitaux (AMLA) du 30 septembre 2026, qui n'ont pas encore force de loi, acceptent l'identification électronique de niveau substantiel ou élevé « qu'ils aient été notifiés ou non au titre de l'article 9 ».^[31] Notre page sur le portefeuille européen d'identité numérique (EUDI Wallet) présente le calendrier d'eIDAS 2.

Comment une entreprise se connecte : contrat direct de partie utilisatrice (RP) ou courtier

La procédure de SK : tester gratuitement sans accord, choisir les mesures de sécurité, envoyer vos adresses IP et le nom du service, signer, recevoir votre RP UUID, passer en production « dans les jours qui suivent votre première demande ».^[21] Des courtiers certifiés revendent aussi Smart-ID, et les organismes publics estoniens peuvent utiliser la passerelle TARA de la RIA.^[5]

Trois moyens d'accéder à Smart-ID.^[21][5]

La grille tarifaire de SK (à compter du 1 juin 2026) facture chaque « demande d'authentification ou de signature Smart-ID » : €0.109 avec un minimum mensuel de €60, jusqu'à €0.0106 sur le forfait 3 millions, et un accord personnalisé au-delà de 5 millions.^[11] SK indique que Smart-ID+ est fourni « sans coût supplémentaire » pour les parties utilisatrices existantes.^[7]

Tests sur l'environnement de démo

Démo : https://sid.demo.sk.ee/smart-id-rp/v3/, relyingPartyUUID 00000000-0000-4000-8000-000000000000, nom DEMO. Production : https://rp-api.smart-id.com/v3/.^[14] Comptes de test par résultat :^[16]

Cas d'usage et règles sectorielles

• Entrée en relation KYC et AML. Nom et code personnel signés. L'adéquation aux exigences AML varie selon le pays.^[23][28][29]
• Jeux d'argent et âge. La loi estonienne sur les jeux d'argent (Gambling Act) interdit les jeux de hasard aux moins de 21 ans (§ 34(2)) et impose aux opérateurs à distance de vérifier chaque joueur et d'enregistrer le code personnel (§ 53(1)).^[24] Nous n'avons trouvé dans l'API aucun attribut portant uniquement sur l'âge.
• Signature. Les comptes qualifiés signent via v3/signature. « 4 Lituaniens sur 10 ont utilisé une signature électronique qualifiée en 2025 ».^[13][33]
• Télécoms. Aucune règle balte ne désigne Smart-ID pour l'enregistrement des cartes SIM (5 octobre 2026).

Limites et solutions de repli

« En Estonie et en Lettonie, Smart-ID est actuellement réservé aux personnes disposant d'un numéro d'identification national estonien ou letton ». Les non-résidents en Lituanie peuvent obtenir Smart-ID Basic auprès de deux banques.^[22] Smart-ID n'a pas de limite d'âge, mais les parcours d'enregistrement en ont une (carte d'identité lettone dès 14 ans), et les comptes des moins de 18 ans nécessitent une autorisation parentale.^[32]

Nous n'avons trouvé aucune panne documentée au 5 octobre 2026. Le risque principal est l'hameçonnage. Selon ERR News, près de €23 millions ont été dérobés sur des comptes bancaires estoniens en 2025 par des escroqueries au code PIN. Depuis le 29 avril 2026, l'enregistrement en Estonie lit la carte d'identité par NFC au lieu d'un lecteur de cartes.^[34]

eID d'abord, document en repli. Consignez la raison de chaque repli.^[31]

Liste de contrôle pour l'intégration de l'API Smart-ID

Développez d'abord sur la démo gratuite de SK. Le contrat peut attendre que votre code fonctionne.^[21] La vérification des réponses est le cœur du travail.^[15]

• Développez sur l'URL de démo et avec les comptes de test publiés.^[14][16]
• Privilégiez les parcours par lien d'appareil (device link). N'autorisez la notification que sur des appareils connus.^[13]
• Générez un nouveau rpChallenge aléatoire pour chaque connexion.^[20]
• Épinglez la clé HTTPS de SK et conservez sessionSecret côté serveur.^[19][18]
• Exécutez chaque étape de la vérification des réponses définie par SK.^[15]
• Envoyez à SK vos adresses IP et le nom de votre service, puis signez.^[21]
• Consignez votre base juridique pour l'usage AML dans chaque pays.^[23]
• Prévoyez un parcours par document pour les utilisateurs sans Smart-ID.

Comment Didit vous aide avec Smart-ID

Smart-ID est disponible sur Didit pour la vérification eID en Estonie, en Lettonie, en Lituanie et en Belgique. Didit détient la connexion SK. Vous n'avez donc ni contrat RP, ni liste blanche d'adresses IP, ni code de certificat à gérer.

Dans la console, allez dans Workflows, l'étape ID Verification, Countries, choisissez le pays et cochez Smart-ID sous "Wallets accepted". Par API, définissez methods.EST.wallet, créez une session, puis lisez GET /v3/session/{id}/decision/ ou le webhook : verification_method vaut "wallet" avec un objet wallet_verification, selon la documentation sur les portefeuilles d'identité numérique.^[35] L'utilisateur valide un code de contrôle dans l'application Smart-ID. Didit ne demande jamais le PIN.

Vous obtenez le nom complet, la date de naissance, le code personnel balte, le niveau de garantie (indiqué High) et une vérification de signature. Pas d'adresse, pas de photo. Les utilisateurs sans Smart-ID basculent vers la vérification de document avec lecture de la puce NFC ($0.15), la détection du vivant et la comparaison faciale. Le KYC complet coûte $0.33 et le filtrage AML $0.20. Seules les connexions eID abouties sont facturées. Une vérification Smart-ID aboutie coûte $0.20 (page des tarifs). Tous les eID figurent sur la page des portefeuilles d'identité numérique.

Questions fréquentes

Sources

1. Page d'accueil Smart-ID, compteur d'utilisateurs en direct, SK ID Solutions, consulté le 5 octobre 2026.
2. 2025 : faire progresser la confiance numérique au-delà des frontières, SK ID Solutions, 19 janvier 2026.
3. Confiance et concurrence dans l'identité numérique en Europe, e-Estonia, 2026.
4. Identité électronique (eID), Autorité des systèmes d'information (RIA).
5. Spécification technique TARA, RIA.
6. Aperçu des schémas eID prénotifiés et notifiés au titre d'eIDAS, Commission européenne, consulté le 5 octobre 2026.
7. Smart-ID+, SK ID Solutions.
8. Comment le nouveau Smart-ID me protège-t-il contre la fraude, FAQ Smart-ID.
9. Le gouvernement estonien adopte Smart-ID+ pour renforcer la sécurité, SK ID Solutions, 28 janvier 2026.
10. Pourquoi je vois parfois un code de confirmation et parfois trois, FAQ Smart-ID.
11. Grille tarifaire, SK ID Solutions, en vigueur à partir du 1er juin 2026.
12. Relying Party API : introduction, SK ID Solutions, version 3.2.3.
13. Relying Party API : vue d'ensemble des points de terminaison de l'API, SK ID Solutions.
14. Paramètres techniques des environnements, SK ID Solutions.
15. Relying Party API : vérification des réponses, SK ID Solutions.
16. Comptes de test pour les tests automatisés, SK ID Solutions.
17. Relying Party API : parcours fondés sur les notifications, SK ID Solutions.
18. Relying Party API : parcours par lien vers l'appareil, SK ID Solutions.
19. Relying Party API : description technique de l'API, SK ID Solutions.
20. Relying Party API : journal des modifications, SK ID Solutions.
21. Processus d'intégration pour les fournisseurs de services en ligne, Smart-ID.
22. Les étrangers et les non-résidents peuvent-ils utiliser Smart-ID, FAQ Smart-ID.
23. Rahapesu ja terrorismi rahastamise tõkestamise seadus (RahaPTS), § 31, Riigi Teataja.
24. Hasartmänguseadus (loi sur les jeux d'argent), Riigi Teataja.
25. Elektroniskā identifikācija, ministère de la Défense de Lettonie.
26. Smart-ID a obtenu le statut qualifié local pour l'authentification en Lettonie, SK ID Solutions, 29 mai 2023.
27. Smart-ID et Mobile-ID reconnus comme outils approuvés par l'État en Lituanie, SK ID Solutions, 19 décembre 2024.
28. Loi sur la prévention du blanchiment de capitaux et du financement du terrorisme, art. 11, Lituanie, texte consolidé INFOLEX.
29. Règlement du Cabinet des ministres n° 392, Lettonie, likumi.lv.
30. Règlement (UE) 2024/1624 (AMLR), EUR-Lex, Journal officiel du 19 juin 2024.
31. Rapport final, projet de RTS au titre de l'article 28(1) de l'AMLR, AMLA, 30 septembre 2026.
32. Limites d'âge pour utiliser Smart-ID, FAQ Smart-ID.
33. SK ID Solutions a émis près de trois millions de certificats en Lituanie en 2025, SK ID Solutions, 7 mai 2026.
34. L'enregistrement Smart-ID avec la carte d'identité estonienne est désormais disponible via NFC, Smart-ID, 29 avril 2026.
35. Portefeuilles d'identité numérique, documentation Didit.
36. Relying Party API : interactions, SK ID Solutions.

Smart-ID est l'une des cinq eID disponibles dans la vérification eID de Didit. Voir aussi ce qu'est la vérification eID et le guide de l'API BankID Suède.