Comment fonctionne EBICS, en clair

Cette page explique EBICS à quelqu'un qui n'en a jamais entendu parler : ce que c'est, ce que Neoffice échange avec votre banque, pourquoi il faut des clés et une lettre signée, ce qui se passe tout seul chaque matin, et ce qui reste à faire par vous. Aucune connaissance préalable n'est nécessaire. Si vous voulez directement mettre la connexion en place, passez à EBICS : mettre en place la connexion avec votre banque.

En une phrase

EBICS est une liaison sécurisée et chiffrée entre Neoffice et votre banque : Neoffice dépose vos ordres de paiement et va chercher vos relevés de compte lui-même, sans que vous ouvriez votre e-banking pour télécharger ou déposer des fichiers.

C'est une norme des banques, pas un produit de Neoffice. Il vous faut un accès EBICS ouvert par votre banque : c'est elle qui vous donne les valeurs de connexion (voir « Mots utiles »). Ce que votre banque propose, ce qu'elle facture et le temps qu'elle met à activer l'accès dépendent d'elle.

Ce qui circule : deux fichiers, deux sens

Sans EBICS, deux fichiers font la navette entre Neoffice et la banque, et c'est vous qui les portez (voir La banque sans EBICS : envoyer vos paiements et recevoir vos relevés, à la main). Avec EBICS, Neoffice les porte seul.

Sens	Le fichier	Ce que c'est
De la banque vers Neoffice	Le relevé de compte (format camt.053, un fichier XML)	La liste de ce qui s'est passé sur votre compte : chaque encaissement, chaque paiement, chaque frais, avec sa date, son montant, sa référence et le nom de l'autre personne. C'est le relevé que vous voyez dans l'e-banking, sous une forme qu'un logiciel sait lire.
De Neoffice vers la banque	L'ordre de paiement (format pain.001, un fichier XML)	La liste des virements à faire : qui payer, combien, sur quel compte, avec quelle référence. Elle sort de la proposition de paiement (voir Payer les fournisseurs : propositions de paiement). Vous l'envoyez avec le bouton Transmettre par EBICS de la proposition.

Deux choses ne passent pas automatiquement par EBICS : l'avis de crédit des paiements QR (le fichier camt.054, que vous déposez vous-même : voir Importer un relevé CAMT ou PDF) et le compte rendu de la banque sur le traitement d'un ordre : c'est dans votre e-banking que vous voyez si un paiement est parti.

Neoffice ne déplace jamais d'argent. Il transmet l'ordre ; c'est la banque qui l'exécute, et parfois seulement après que vous l'avez libéré dans votre e-banking (voir plus bas).

Ce que Neoffice fait du relevé

À chaque arrivée d'un relevé, Neoffice crée une transaction bancaire par ligne, reconnaît tout seul celles qui correspondent à une écriture qu'il connaît (par exemple une facture payée avec son bulletin QR, ou un paiement déjà saisi), et laisse les autres à votre rapprochement. Voir Le rapprochement bancaire.

Pourquoi il faut des clés

Pour que la banque sache que l'ordre vient bien de vous, et que personne ne puisse le lire ni le modifier en route, Neoffice utilise trois paires de clés. Une paire, c'est deux clés qui vont ensemble : une privée que vous gardez, une publique que vous donnez à la banque.

Clé	À quoi elle sert
Signer	prouver que l'ordre vient de vous
S'authentifier	prouver que c'est bien votre Neoffice qui se présente
Chiffrer	rendre le contenu illisible à quiconque l'intercepterait

Votre banque fait de même de son côté : elle a ses propres clés, et Neoffice garde ses clés publiques.

Les noms que vous croiserez à l'écran : INI désigne l'envoi de votre clé de signature à la banque, HIA l'envoi des deux autres, et HPB le téléchargement des clés publiques de la banque. L'assistant fait les trois pour vous.

Vos clés privées sont rangées dans un fichier privé de votre Neoffice, le trousseau, protégé par le mot de passe de la clé : vous le définissez dans la fiche de la connexion avant de commencer, l'assistant refuse de démarrer sans lui. Lors d'un renouvellement, Neoffice garde d'abord une copie datée de l'ancien trousseau, puis crée de nouvelles clés qui attendent l'activation par la banque.

Pourquoi la lettre d'initialisation

Quand Neoffice envoie vos clés publiques à la banque par Internet, rien ne prouve encore qu'elles sont bien les vôtres. La lettre d'initialisation règle cela : c'est un document PDF que Neoffice fabrique (bouton Lettre (PDF) de l'assistant) et qui porte l'empreinte de chacune des trois clés. Vous la signez et l'envoyez à la banque, comme elle le demande ; la banque compare les empreintes de la lettre avec les clés qu'elle a reçues, puis active votre accès. Demandez à votre banque qui doit signer la lettre.

Une empreinte est un court résumé calculé à partir d'une clé (méthode SHA-256) : deux clés différentes n'ont pas la même empreinte. Elle sert à comparer deux clés sans avoir à les lire en entier.

Pourquoi vous comparez, à votre tour, les empreintes de la banque

La lettre prouve votre identité à la banque. L'inverse est tout aussi important : vous devez être sûr que vous parlez bien à votre banque, et pas à quelqu'un qui se serait glissé entre elle et vous.

Une fois l'accès activé, la dernière étape de l'assistant, Contrôler les clés de la banque et terminer, vous montre les empreintes des clés de la banque (la clé d'authentification X et la clé de chiffrement E). Vous les comparez avec celles que votre banque vous a communiquées, vous cochez Les empreintes sont identiques à celles de ma banque, vous saisissez vos initiales ou le nom de la connexion, puis vous cliquez sur Confirmer et sur Terminer la connexion. L'assistant le dit lui-même : ne confirmez que si les empreintes sont identiques, elles prouvent que vous parlez bien à votre banque.

À la fin de cette étape, Neoffice met les clés en service, active la synchronisation quotidienne et récupère les derniers relevés.

Combien de temps ça prend

De votre côté : quelques clics dans l'assistant pour préparer les clés et les envoyer à la banque, puis une lettre à signer et à envoyer à la banque.
Côté banque : l'assistant indique un Délai habituel de 1 à 3 jours ouvrés, et Observé jusqu'à 17 jours. Ce délai dépend de la banque, pas de Neoffice.

Pendant l'attente, vous n'avez rien à surveiller : Neoffice demande chaque matin à 08:00 à la banque si l'accès est activé et prévient les administrateurs par e-mail une fois que c'est le cas. Il reste alors l'étape de comparaison des empreintes décrite ci-dessus.

Ce qui arrive tout seul chaque matin

Une fois la connexion en service :

Heure	Ce que fait Neoffice
07:00	demande à la banque les relevés des sept derniers jours (une banque peut ajouter un relevé après coup ; ceux que Neoffice a déjà reçus sont ignorés), crée les transactions, rapproche ce qu'il reconnaît. La page Connexion bancaire montre la Dernière synchro réussie et la mention « aucun nouveau relevé » quand il n'y en a pas
08:00	tant qu'une connexion attend l'activation par la banque, lui demande si c'est fait et prévient les administrateurs par e-mail
08:15	envoie un e-mail 30 jours puis 7 jours avant la fin de validité des certificats, et une fois après l'expiration

Ces e-mails vont aux administrateurs et aux responsables de la comptabilité de votre Neoffice. Un jour sans relevé, ou un relevé arrivé en retard, ne pose pas de problème : la fenêtre de sept jours le rattrape à la synchronisation suivante. La date Synchronisé jusqu'au de la fiche de la connexion n'avance que lorsqu'au moins un relevé nouveau est arrivé.

Ce que vous ne faites plus à la main

aller sur l'e-banking pour télécharger le relevé et le déposer dans Neoffice ;
déposer le fichier de paiement dans l'e-banking ;
retrouver à la main, ligne par ligne, ce que le relevé contient : Neoffice reconnaît ce qu'il peut, et ne vous laisse que le reste.

Ce qui reste à faire par vous

EBICS supprime des gestes, pas toutes les tâches. Il reste :

préparer, relire et valider la proposition de paiement, et ne la transmettre qu'une fois validée ;
libérer l'ordre dans votre e-banking si votre banque l'exige (c'est la signature électronique distribuée, que certaines banques demandent pour les paiements ; elle se règle sur la connexion avec la case Utiliser la signature électronique (ES)) : tant que vous ne l'avez pas fait, l'ordre est chez la banque mais pas exécuté ;
comprendre que « transmis » ne veut pas dire « payé » : Neoffice l'écrit en toutes lettres après l'envoi (« Le fichier de paiement a été transmis à la banque. Ce n'est pas encore le paiement : la banque doit encore le signer et l'exécuter. ») ;
traiter les lignes que Neoffice n'a pas reconnues ;
signer et envoyer la lettre, puis comparer les empreintes de la banque ;
regarder de temps en temps la page Connexion bancaire, qui dit où en est la connexion (par exemple Connectée, Interrompue ou Expirée) : aucun e-mail ne vous prévient d'une synchronisation en échec.

Où passent vos données

Vos clés sont conservées dans votre Neoffice. À chaque échange avec la banque, votre Neoffice passe par un service exploité par Neoffice, qui parle à la banque à votre place : il reçoit votre trousseau et son mot de passe le temps de l'échange, puis efface ses fichiers temporaires et n'en garde aucune copie. Les fichiers de relevé et de paiement transitent aussi par ce service.

Ce service peut refuser une banque que Neoffice ne connaît pas encore : la connexion s'arrête alors avant tout envoi, et c'est à Neoffice d'ajouter la banque.

Risques et limites, sans détour

Une transmission réussie ne dit pas que la banque a exécuté.
Un envoi dont la réponse s'est perdue est dit « incertain » (Transmission incertaine sur la proposition de paiement) : Neoffice ne le renvoie jamais tout seul, pour ne pas payer deux fois, et ne laisse rien renvoyer tant que vous n'avez pas regardé votre e-banking et dit si la banque a reçu le fichier.
Les certificats ont une durée de vie : la page Connexion bancaire affiche leur fin (Certificats valables jusqu'au) et Neoffice vous écrit avant. Les nouveaux certificats valent 10 ans.
Renouveler les clés passe par l'assistant et demande à la banque de réinitialiser l'accès : dès qu'elle l'a fait, l'ancien trousseau ne fonctionne plus, et ni relevés ni paiements ne passent par EBICS jusqu'à l'activation des nouvelles clés. Neoffice rattrape ensuite les relevés de la période manquée.
Une banque que Neoffice ne connaît pas encore peut être refusée avant tout envoi (voir plus haut).
Le compte du relevé doit exister dans Neoffice : son IBAN doit être celui d'un compte bancaire de votre société, sinon l'import du relevé s'arrête sur l'erreur « IBAN manquant ».
Neoffice ne promet ni la compatibilité avec toutes les banques, ni un horaire garanti, ni un coût : cela dépend de votre banque.

Un exemple chiffré (données fictives)

La société Griffin SA a un accès EBICS auprès de Banque Démo. Lundi, elle prépare une proposition de paiement qui contient une facture de 864.80 CHF de son imprimeur. Elle la valide, puis la transmet par EBICS. Neoffice affiche que le fichier est transmis, pas encore payé.

Mardi, la banque a exécuté le virement. À 07:00, Neoffice récupère le relevé : une ligne au débit de 864.80 CHF apparaît. Neoffice cherche une écriture de paiement qui lui correspond : la même référence, ou à défaut le même fournisseur, le même montant au centime et une date à cinq jours près. S'il la trouve, il la rattache à la ligne, la transaction bancaire passe à Rapproché et il n'y a rien à faire ; sinon la ligne attend dans la liste des lignes à rapprocher.

Le même relevé contient l'encaissement de 583.75 CHF d'un client qui a payé sa facture avec le bulletin QR : la référence de la ligne désigne une seule facture ouverte et le montant est celui qui reste dû, au centime près. Neoffice crée alors l'écriture de paiement et rapproche seul cette ligne.

Mots utiles

Mot	Ce que ça veut dire
E-banking	le site ou l'application de votre banque
ID de l'hôte, URL, ID du partenaire, ID utilisateur	les quatre valeurs que la banque vous donne : où se connecter, et qui se connecte
Clé	ce qui sert à signer, à s'authentifier ou à chiffrer ; la clé privée reste chez vous, la clé publique est donnée à la banque
Signature électronique distribuée	l'obligation, chez certaines banques, de libérer un ordre dans l'e-banking avant son exécution
INI, HIA, HPB	envoyer la clé de signature, envoyer les deux autres clés, télécharger les clés de la banque
Empreinte	un court résumé d'une clé, pour comparer deux clés sans les lire
Trousseau	le fichier privé qui contient les clés d'une connexion, avec ses copies datées
Rapprochement	mettre en face une ligne de la banque et l'écriture qui lui correspond

À régler une fois

Demandez à votre banque qui doit signer la lettre, et désignez cette personne avant de commencer.
Seuls un administrateur ou un responsable de la comptabilité agissent dans l'assistant ; les autres personnes le lisent seulement.
Notez le mot de passe de la clé dans un endroit sûr : c'est lui qui protège vos clés privées.
Ne cochez « Les empreintes sont identiques à celles de ma banque » qu'après les avoir comparées avec celles que la banque vous a communiquées.
Séparez la préparation du paiement de sa libération dans l'e-banking si votre banque la demande : la personne qui prépare la proposition n'est idéalement pas celle qui libère l'ordre.

Au quotidien

Regardez la page Connexion bancaire de temps en temps, et surveillez les e-mails d'échéance des certificats.
« Transmis » n'est pas « payé » : ne dites pas à un fournisseur que c'est payé avant que la banque n'ait exécuté.
Si Neoffice affiche « Transmission incertaine », ne renvoyez pas : regardez l'e-banking et dites à Neoffice si la banque a reçu le fichier.

Manuel Neoffice