FAQ des industriels

Deux enjeux majeurs sont associés à la mise en œuvre de l’IGC-Santé :  

• assurer la sécurité des clés privées et des certificats émis par l’ANS : il faut veiller à limiter l’accès à ces clés privées et qu’elles ne puissent pas être dupliquées ni installées sur plusieurs équipements ;
• assurer la continuité de service : de nombreuses applications de santé utilisaient les certificats émis par les deux anciennes IGC-CPS, qui ne sont plus actives depuis Janvier 2021. Elles doivent prendre en compte les nouveaux certificats émis par l’IGC-Santé.

En plus, les certificats émis par l’IGC-Santé respectent les règles habituelles de sécurité (analyse de risque, politique de sécurité), les "Politiques de Certification", et ils sont conformes aux référentiels de la PGSSI-S.

L'Infrastructure de Gestion des Clés cryptographiques (IGC) opérée par l'ANS (IGC-Santé) délivre des certificats conformes au référentiel d'identification à la Politique Générale de Sécurité des Systèmes d’Information de Santé (PGSSI-S) pour l’accès aux services du numérique en santé (article L1470-1 et suivants du Code de la Santé Publique).

Les certificats émis par l'ANS permettent d'identifier les acteurs du secteur, personnes physiques et organisations. Ils attestent aussi de la qualité des pratiques de gestion des clés publiques mises en œuvre par ces autorités. Ils peuvent être révoqués en cas de défaillance.

L’ANS propose 4 offres de certificats logiciels : 

• certificat de personne morale Organisation ;
• certificat de personne morale Serveur ;
• certificat de personne physique Professionnel ;
• certificat de personne physique Professionnel de Santé .

Les engagements de service sont exposés sur la page dédiée.

La liste des services raccordés est sur notre site.

Retrouvez les dernières informations sur l'authentification mTLS et le planning prévisionnel de sa mise en œuvre sur notre documentation technique.

Vous pouvez commander un certificat mTLS via la PFCNG. La procédure est détaillée au chapitre Authentification mTLS de la documentation technique. Le processus de commande détaillé est en train d’être mise à jour sur la page Certificats.

Pour Pro Santé Connect il faut que le certificat contienne le client_id dans le champ "CN" du certificat. Sur la plateforme de commande de certificats logiciels, le client_id doit être renseigné dans le champ "service applicatif". C'est ce dernier qui alimentera le champ "CN" du certificat. Il faut donc un certificat spécifique à Pro Santé Connect.

Pas de documentation ANS, l'implémentation d'un serveur intermédiaire est du ressort du fournisseur de service, il peut donc l'implémenter de la manière qu'il le souhaite.

Si le raccordement à Pro Santé Connect a déjà été réalisé en flux CIBA dans un service, il fonctionnera en e-CPS par défaut. 

Pour ajouter la possibilité à l'utilisateur de s'authentifier à l'aide de sa CPx, il faut ajouter un paramètre optionnel « channel » (documenté dans la documentation technique) pour spécifier le type de MIE à utiliser.

Le client_secret ne doit jamais être présent sur le poste client, il doit impérativement être stocké sur le serveur intermédiaire. Nous recommandons, dans la mesure du possible, de conserver également le client_id et les jetons d’accès (access_token, id_token, et refresh_token) sur le serveur intermédiaire.

Non pas forcément, il est possible d'utiliser CPS-Gestion et la carte CPx sur un poste Windows, ou macOS (à venir). Mais en usage full mobile, l’utilisateur aura accès uniquement à sa e-CPS.

L'équipe Pro Santé Connect étudie la possibilité de mettre cela en place, aucune date de mise à disposition ni de langage utilisé ne peut être annoncée à ce stade.

Dans une approche inclusive, tous les services numériques à destination des citoyens, utiles à la prise en charge de sa santé, peuvent candidater au référencement. Les services numériques éligibles doivent s’adresser aux usagers (patients/citoyens) et être édités par des acteurs publics ou privés, dans les secteurs sanitaires (santé et bien-être), médico-social et social. Ils doivent entrer dans le périmètre défini par l’article L. 1111-13-1 précité.  

Les services numériques éligibles :

• doivent obligatoirement s’adresser aux usagers (patients/citoyens) ;
• et être édités par des acteurs publics ou privés ;
• dans les secteurs sanitaires (santé et bien-être), médico-social et social.

Les services numériques éligibles sont les suivants :  

• applications mobiles ;
• sites web.

Ils peuvent être :  

• reliés ou non à un ou plusieurs objets connectés ;
• gratuits ou payants ;
• des dispositifs médicaux ou non.

Au moment du dépôt de la demande de référencement, les services doivent être utilisables par des usagers finaux (patient/citoyen).

Les services relevant du règlement européen 2017/745 relatif aux dispositifs médicaux doivent être conformes aux exigences de sécurité et de performances qui leurs sont applicables. La conformité à cette règlementation est matérialisée par l’apposition du marquage CE dispositif médical.

Le respect du présent programme ne dispense pas le service candidat au référencement de satisfaire à toutes les dispositions en vigueur, légales et règlementaires, nationales et communautaires 

Afin que mon service soit référencé, dans le Catalogue de services référencés, il doit être conforme à la doctrine du numérique en santé.

Cette doctrine est publiée tous les ans et définit les règles communes de sécurité, d’interopérabilité, d’éthique qui s’appliquent aux services numériques en santé.

Les données qui figurent dans Mon espace de santé sont les suivantes :

• les données du profil médical saisies librement par le patient, dans un format non structuré (antécédents, allergies) ;
• les mesures de santé (poids, taille, IMC, nombre de pas pendant la journée, température, tour de taille, fréquence cardiaque, tension artérielle diastolique et systolique, niveau de la douleur, glycémie) au format FHIR (voir spécification interopérabilité FrObservation) ;
• des documents de santé (ex : compte-rendu d'acte diagnostic, compte-rendu d'acte thérapeutique, compte-rendu d'admission…).

Vous avez la possibilité de commander une carte CPA de production sur la page dédiée.

Le Fournisseur de Service doit être une personne morale (entreprise, association, groupement d’intérêt économique, etc.) de droit privé ou public, immatriculée dans l’Union Européenne. Le service doit proposer à des utilisateurs professionnels intervenant dans les secteurs sanitaire, médico-social et social, des fonctionnalités qui nécessitent leur identification électronique.