Attestation STIR/SHAKEN niveau A : ce qu’il faut pour auto-attester vos appels

Si vous êtes un fournisseur de services vocaux aux États-Unis, les règles entourant l’attestation STIR/SHAKEN ont considérablement changé. Les opérateurs en amont comme Bandwidth ont modifié leurs politiques d’attestation, réduisant le trafic de gros et de revente du niveau A (attestation complète) au niveau C (attestation passerelle). Parallèlement, l’ordonnance de la FCC sur l’authentification par des tiers exige désormais que chaque fournisseur ayant une obligation de mise en œuvre STIR/SHAKEN obtienne son propre certificat et prenne ses propres décisions d’attestation.

Le résultat : les fournisseurs qui s’appuyaient auparavant sur leur opérateur en amont pour signer et attester les appels doivent maintenant développer et gérer cette capacité eux-mêmes. Ce guide explique ce que l’attestation de niveau A exige, comment la mettre en œuvre au niveau du SBC, et les processus opérationnels nécessaires pour la maintenir.

Ce que signifie réellement l’attestation de niveau A

STIR/SHAKEN définit trois niveaux d’attestation : A (complète), B (partielle) et C (passerelle). Le niveau A signifie que le fournisseur a authentifié l’appelant et confirmé son autorisation d’utiliser le numéro. Le niveau B signifie que le fournisseur sait d’où provient l’appel mais n’a pas vérifié l’autorisation du numéro. Le niveau C signifie que l’appel provient d’une source externe non fiable. Pour la ventilation complète de chaque niveau selon les spécifications, la façon dont la déclaration d’attestation circule dans un PASSporT, et des scénarios concrets, consultez Niveaux d’attestation STIR/SHAKEN expliqués.

L’impact pratique est significatif. Les appels portant une attestation de niveau A sont beaucoup moins susceptibles d’être signalés avec des étiquettes « Arnaque probable » ou « Risque de spam » par les moteurs d’analyse côté terminaison. Certains opérateurs ont adopté des politiques bloquant purement et simplement tous les appels arrivant avec une attestation de niveau C. Pour vos clients, la différence entre une attestation A et C peut déterminer si leurs appels aboutissent ou sont silencieusement rejetés. Cette page se concentre sur ce qu’il faut pour obtenir et maintenir le niveau A.

Pourquoi les fournisseurs sont contraints de s’auto-attester

Deux forces convergentes poussent les fournisseurs de services vocaux à prendre le contrôle direct de l’attestation STIR/SHAKEN.

L’ordonnance de la FCC sur l’authentification par des tiers

Adoptée en novembre 2024 et en vigueur depuis le 18 septembre 2025, cette ordonnance exige que chaque fournisseur de services vocaux ayant une obligation de mise en œuvre STIR/SHAKEN obtienne un jeton SPC (Service Provider Code) auprès du STI-PA (administrateur de politique STIR/SHAKEN, actuellement exploité par l’autorité de gouvernance), présente ce jeton à une autorité de certification (CA) pour obtenir son propre certificat numérique, et prenne toutes les décisions de niveau d’attestation lui-même. Les fournisseurs peuvent toujours faire appel à un tiers pour l’acte technique de signature, mais le certificat doit être celui du fournisseur, et la décision d’attestation doit être celle du fournisseur. Vous ne pouvez plus vous appuyer sur le certificat de votre opérateur en amont ni lui déléguer les décisions d’attestation.

Changements de politique des opérateurs

Les opérateurs en amont et les fournisseurs de gros ont ajusté la façon dont ils attestent le trafic provenant de revendeurs et de fournisseurs en aval. Là où un opérateur comme Bandwidth pouvait auparavant signer les appels avec une attestation de niveau A pour le compte de ses clients, beaucoup attribuent désormais une attestation de niveau C (passerelle) au trafic qu’ils ne peuvent pas pleinement authentifier au niveau de l’abonné. C’est une réponse rationnelle à la pression réglementaire : l’opérateur ne peut pas vérifier le KYC pour le client final d’un fournisseur en aval, il ne peut donc pas honnêtement attester au niveau A. La charge se déplace vers le fournisseur qui dispose de cette relation client.

Échéances de conformité RMD

La base de données Robocall Mitigation Database (RMD) exige une recertification annuelle, la fenêtre la plus récente s’étant fermée le 1er mars 2026. La FCC a augmenté les pénalités d’application : 10 000 $ pour le dépôt d’informations fausses ou inexactes dans le RMD, et 1 000 $ pour le défaut de mise à jour de votre déclaration dans les 10 jours ouvrables requis. Les informations CORES liées à votre FRN (FCC Registration Number) doivent également être tenues à jour avec le même délai de mise à jour de 10 jours ouvrables.

Ce n’est pas théorique. Prenons l’exemple d’un fournisseur VoIP utilisant Bandwidth comme opérateur en amont. Lorsque Bandwidth attestait son trafic sortant au niveau A, tout fonctionnait. Lorsque Bandwidth a basculé ce trafic vers une attestation de niveau C, les clients du fournisseur ont commencé à voir leurs appels signalés et bloqués. Le seul chemin de retour vers l’attestation de niveau A est que le fournisseur obtienne son propre certificat, s’intègre à un service de signature et prenne ses propres décisions d’attestation en se fondant sur sa connaissance directe de ses clients.

Les quatre exigences pour l’attestation de niveau A

Atteindre l’attestation de niveau A n’est pas purement un problème technologique. Cela nécessite une combinaison de processus opérationnels et d’infrastructure. Voici les quatre éléments nécessaires.

1. Connaissance du client (KYC)

Vous devez avoir une relation directe et vérifiée avec la partie à l’origine de l’appel. Cela signifie que vous savez qui elle est, que vous avez son identité en dossier et que vous pouvez confirmer qu’elle est un client légitime de votre service. Si vous êtes un fournisseur de gros transmettant du trafic d’une source inconnue, vous ne pouvez pas honnêtement attribuer une attestation de niveau A à ce trafic.

2. Vérification de l’autorisation du numéro

Vous devez vérifier que l’appelant est autorisé à utiliser le numéro de téléphone apparaissant dans l’identification de l’appelant. Cela implique de maintenir des registres précis indiquant quels numéros sont attribués à quels clients. Pour les numéros portés, vous avez besoin de la documentation de portabilité. Pour les numéros attribués à partir de votre propre inventaire, vous avez besoin des registres d’attribution. Pour les numéros sans frais ou d’autres types spéciaux, vous avez besoin de la lettre d’autorisation (LOA) en dossier.

3. Votre propre jeton SPC et certificat numérique

Vous devez obtenir un jeton SPC auprès du STI-PA (administrateur de politique STIR/SHAKEN, actuellement exploité par l’autorité de gouvernance) et utiliser ce jeton pour acquérir votre certificat numérique auprès d’un STI-CA (autorité de certification). Ce certificat est ce que votre service de signature utilise pour créer la signature cryptographique sur les appels sortants. Selon la règle de la FCC, vous ne pouvez pas utiliser le certificat d’un autre fournisseur.

4. Votre propre décision d’attestation

Vous, en tant que fournisseur d’origine, devez déterminer qu’un appel spécifique est admissible à l’attestation de niveau A. Un tiers peut gérer la signature technique, mais la décision concernant le niveau d’attestation à attribuer doit être la vôtre, fondée sur vos registres KYC et vos données d’autorisation de numéros.

Le rôle du SBC dans la signature STIR/SHAKEN

Le contrôleur de session en bordure (SBC) se situe en périphérie d’origine de votre réseau vocal, soit précisément là où la signature STIR/SHAKEN s’effectue. Voici comment fonctionne le flux de signature :

1. Votre client initie un appel qui arrive au SBC.
2. Le SBC envoie une requête de signature à votre STI-AS (service d’authentification) externe, en transmettant les paramètres de l’appel : le numéro d’origine (depuis l’en-tête P-Asserted-Identity ou From), le numéro de destination (depuis l’en-tête To) et un horodatage.
3. Le STI-AS crée un PASSporT (Personal Assertion Token) contenant les champs orig, dest, iat (horodatage d’émission), origid (identifiant d’origine) et attest, le signe avec votre certificat numérique et retourne l’en-tête Identity signé.
4. Le SBC insère l’en-tête Identity dans le SIP INVITE sortant avant de transmettre l’appel au prochain saut.

Le SBC lui-même n’effectue pas la signature cryptographique. Il agit comme point d’intégration entre votre réseau vocal et le service de signature externe. C’est une distinction importante : le service de signature (tel que TransNexus ClearIP ou Neustar) détient votre certificat et effectue les opérations cryptographiques proprement dites. Le rôle du SBC est d’interroger le service de signature au bon moment dans le flux d’appel, de transmettre les paramètres corrects et d’insérer l’en-tête Identity résultant dans le message SIP.

Pour la haute disponibilité, votre intégration de signature doit prendre en charge la redondance. Si votre service de signature principal est injoignable, le SBC doit automatiquement basculer vers le secondaire. Et si les deux sont indisponibles, le SBC poursuit l’appel vers la destination, de sorte que l’appel n’est pas silencieusement rejeté, tout en signalant aux fournisseurs en aval que la signature a été tentée mais était indisponible.

Mise en œuvre de l’attestation de niveau A avec ProSBC

Pour la procédure complète de configuration STIR/SHAKEN sur un SBC, consultez le guide de mise en œuvre STIR/SHAKEN pour SBC.

L’approche de ProSBC en matière de STIR/SHAKEN se distingue de la plupart des fournisseurs SBC sur un point important : elle repose sur un modèle de partenaires ouvert. Là où des fournisseurs comme Ribbon et AudioCodes ont construit des implémentations STIR/SHAKEN propriétaires qui vous lient à un partenaire de service de signature spécifique, le moteur de routage Ruby configurable de ProSBC s’intègre à tout service de signature basé sur HTTP ou SIP. Vous choisissez votre fournisseur STI-AS. Si vous souhaitez changer de service de signature ultérieurement, vous modifiez un paramètre de configuration, pas votre fournisseur SBC.

La mise en œuvre consiste à pointer ProSBC vers votre service de signature :

Configuration du service de signature

Vous configurez un fournisseur de signature principal (SIP NAP dans la configuration ProSBC) et (optionnellement) un fournisseur secondaire pour la redondance. Vous fournissez un jeton d’autorisation pour l’authentification API et définissez une valeur de délai d’expiration pour la requête au service de signature.

Extraction des paramètres d’appel

Lorsqu’un appel arrive, le module de routage STIR/SHAKEN de ProSBC extrait le numéro d’origine depuis l’en-tête P-Asserted-Identity (PAI) ou From, le numéro de destination depuis l’en-tête To, et l’horodatage depuis l’en-tête Date. Ces éléments sont empaquetés dans une requête de signature.

Insertion de l’en-tête Identity

Le service de signature retourne l’en-tête Identity signé, que ProSBC insère dans le SIP INVITE sortant. L’en-tête Identity contient la signature numérique, le niveau d’attestation, les numéros d’origine et de destination, l’horodatage et une référence à votre certificat.

Redondance et repli

Si le fournisseur de signature principal échoue ou expire, ProSBC essaie automatiquement le fournisseur secondaire. Si les deux sont indisponibles, il ajoute un en-tête P-Identity-Bypass à l’appel sortant. Cela garantit que les appels aboutissent même lors d’une panne du service de signature, tout en indiquant de manière transparente aux fournisseurs en aval que la signature a été tentée.

Vérification côté terminaison

ProSBC prend également en charge le rôle de vérification. Lorsqu’il agit comme SBC de terminaison, il peut valider les en-têtes Identity entrants par rapport au certificat de signature, confirmant ainsi que l’attestation de l’appel est légitime.

ProSBC s’intègre avec des partenaires validés de l’Alliance TelcoBridges, notamment TransNexus ClearIP et Neustar pour la signature et la vérification STIR/SHAKEN. Les deux disposent de chemins d’intégration documentés.

Liste de contrôle opérationnelle pour maintenir l’attestation de niveau A

Faire fonctionner l’attestation de niveau A n’est que la moitié du travail. La maintenir exige une discipline opérationnelle continue. Voici ce qu’il faut intégrer dans vos processus :

KYC à l’intégration

Vérifiez l’identité de chaque nouveau client avant de provisionner le service. Ce n’est pas seulement une bonne pratique : c’est le fondement de votre capacité à attribuer l’attestation de niveau A. Si vous ne pouvez pas prouver que vous avez vérifié le client, vous ne pouvez pas défendre votre décision d’attestation.

Gestion de l’inventaire des numéros

Maintenez un registre précis et à jour indiquant quels numéros de téléphone sont attribués à quels clients. Lorsque des numéros sont portés, classez la documentation de portabilité. Lorsque des numéros sont réassignés, mettez à jour vos registres. Votre décision d’attestation dépend de savoir, au moment de chaque appel, que l’appelant est autorisé à utiliser ce numéro.

Gestion du cycle de vie des certificats

Votre certificat numérique a une date d’expiration. Surveillez-la. Renouvelez-le avant qu’il n’expire. Un certificat expiré signifie que votre service de signature ne peut pas signer les appels, ce qui signifie que vos appels sortants partiront soit non signés, soit en repli P-Identity-Bypass. Ni l’un ni l’autre ne vous donne l’attestation de niveau A.

Maintenance du RMD

Gardez votre déclaration dans la base de données Robocall Mitigation Database à jour. Recertifiez annuellement. Mettez à jour dans les 10 jours ouvrables chaque fois que vos informations changent. Les pénalités pour non-conformité sont réelles : 10 000 $ pour des informations fausses, 1 000 $ pour des mises à jour tardives.

Surveillance de l’attestation

Examinez régulièrement vos enregistrements de détails d’appels (CDR) pour confirmer que les appels sortants reçoivent le bon niveau d’attestation. Si vous constatez que des appels partent avec une attestation B ou C alors qu’ils devraient être en A, investiguez. Le problème est généralement une lacune dans vos registres d’autorisation de numéros ou un problème de configuration du service de signature.

Surveillance de la santé du service de signature

Suivez les taux de succès et d’échec de vos requêtes au service de signature. Alertez sur des taux de délai d’expiration élevés ou des erreurs HTTP ou SIP. Un service de signature sain devrait avoir des taux d’échec proches de zéro : des échecs soutenus signifient que vos appels partent non signés.

Erreurs courantes qui vous coûtent l’attestation de niveau A

Voici les défaillances opérationnelles qui entraînent le plus souvent la perte de la capacité des fournisseurs à attribuer l’attestation de niveau A :

Permettre l’utilisation d’un identifiant d’appelant non vérifié

Si vos clients peuvent définir des numéros arbitraires dans leur identifiant d’appelant sans votre vérification, vous ne pouvez pas attester au niveau A. Chaque numéro utilisé dans les appels sortants doit être traçable jusqu’à un client autorisé dans vos registres.

Registres de numéros obsolètes

Les numéros sont portés, réassignés et déconnectés. Si vos registres d’autorisation ne reflètent pas les attributions actuelles, vous risquez d’attester des appels où l’appelant n’est plus autorisé à utiliser ce numéro. Cela vous expose à des mesures réglementaires.

Utiliser le certificat d’un autre fournisseur

La règle de la FCC sur le certificat propre est explicite : vos appels doivent être signés avec votre certificat. Si vous vous appuyez encore sur le certificat de votre opérateur en amont, vous êtes en non-conformité quel que soit le niveau d’attestation.

Ignorer les pannes du service de signature

Si votre service de signature tombe en panne et que vous ne le remarquez pas, vos appels partent avec des en-têtes P-Identity-Bypass au lieu d’une attestation valide. Les fournisseurs en aval et les moteurs d’analyse traitent ces cas très différemment des appels correctement signés.

Manquer les échéances RMD

La fenêtre de recertification est annuelle. La manquer, ou ne pas mettre à jour votre déclaration après des changements significatifs, déclenche des pénalités de la FCC et peut entraîner que vos appels soient traités comme non conformes par d’autres fournisseurs.

Ce qui se passe quand vous réussissez

Le retour sur investissement de la construction et du maintien de la capacité d’attestation de niveau A est concret :

Taux d’aboutissement des appels plus élevés

Les appels sortants de vos clients atteignent leurs destinataires prévus au lieu d’être bloqués ou filtrés. Pour les centres de contact, les équipes de vente et les fournisseurs de services, cela a un impact direct sur le chiffre d’affaires.

Meilleure réputation de l’identifiant d’appelant

Les moteurs d’analyse (les systèmes qui étiquettent les appels comme « Arnaque probable » ou « Risque de spam ») intègrent le niveau d’attestation dans leur scoring. L’attestation de niveau A est l’un des signaux positifs les plus forts que vous puissiez envoyer.

Conformité réglementaire

Vous respectez les exigences de la FCC en matière de mise en œuvre STIR/SHAKEN, de propriété du certificat et de prise de décision d’attestation. Ce n’est pas optionnel pour les fournisseurs ayant une obligation de mise en œuvre.

Différenciation concurrentielle

Lorsque les appels de vos clients aboutissent proprement et que ceux de vos concurrents sont signalés, cette différence se traduit dans les taux de résiliation. Les fournisseurs capables de garantir l’attestation de niveau A pour les appels légitimement autorisés disposent d’un véritable argument de vente.

Questions fréquentes