Les niveaux d’attestation STIR/SHAKEN expliqués : A, B et C

Le cadre STIR/SHAKEN attribue l’un des trois niveaux d’attestation à chaque appel signé : A (complète), B (partielle) ou C (passerelle). Ces trois lettres font l’objet de débats dans les forums de l’industrie, sont mal interprétées par les ingénieurs d’exploitation, et sont discrètement mal assignées par des fournisseurs qui n’avaient jamais eu à y réfléchir jusqu’à ce qu’un opérateur en amont fasse passer leur trafic de A à C. Les lettres semblent simples. Les critères, les conséquences et la manière dont elles se propagent à travers les réseaux en aval ne le sont pas.

Cet article est un document de référence. Il explique ce que chaque niveau signifie réellement selon la norme ATIS-1000074, où le niveau se trouve dans le flux réseau, qui attribue quoi dans quel scénario, comment une attestation reçue se comporte en aval, et les erreurs d’attestation courantes qui nuisent silencieusement à l’aboutissement des appels. Si vous avez besoin du guide opérationnel pour faire passer votre trafic au niveau A, le guide d’attestation de niveau A couvre ce sujet. Si vous avez besoin de la procédure de configuration du SBC, le guide d’implémentation couvre ce sujet. Cet article répond à la question qui sous-tend les deux : que signifie chaque niveau, et qu’est-ce qu’un fournisseur d’origine déclare réellement lorsqu’il signe à A, B ou C?

Ce qu’est réellement l’attestation (et trois choses qu’elle n’est pas)

Avant de parcourir les trois niveaux, il est utile de clarifier ce que l’attestation représente réellement. Le terme est utilisé de manière approximative, et cette imprécision est à l’origine de la plupart des confusions.

L’attestation est une auto-déclaration du fournisseur d’origine. Lorsque votre SBC signe un appel sortant, c’est le certificat de votre fournisseur qui crée la signature, et c’est votre fournisseur qui choisit la lettre inscrite dans la déclaration attest. Personne d’autre ne vérifie que vous avez choisi correctement au moment de la signature. Le niveau que vous apposez est votre déclaration sur votre connaissance de l’appel.

L’attestation n’est pas une vérification. Un appel de niveau A a été signé par le fournisseur d’origine, pas validé par un tiers indépendant. La vérification intervient plus tard, du côté de la terminaison, et elle confirme uniquement que la signature est cryptographiquement valide et que la chaîne de certificats est de confiance. Elle ne remet pas en question la décision d’attestation du fournisseur d’origine. Si un fournisseur signe un appel au niveau A alors qu’il n’aurait pas dû le faire, la vérification passera quand même. La responsabilité incombe au fournisseur d’origine, appliquée par la surveillance de la FCC plutôt que par la validation cryptographique.

L’attestation n’est pas un score anti-spam. Les moteurs d’analyse (les systèmes qui affichent « Scam Likely » ou « Spam Risk » sur le téléphone du destinataire) consomment l’attestation comme une entrée parmi d’autres, mais ils la combinent avec des données de schémas d’appels, l’historique de réputation, l’ancienneté du bloc de numéros et des dizaines d’autres signaux. Un appel signé au niveau A peut quand même être signalé par un moteur d’analyse si le numéro d’origine a une mauvaise réputation. Un appel signé au niveau C peut aboutir sans problème si la politique de l’opérateur de réception est permissive. Le niveau est un signal parmi d’autres dans une décision multi-signaux.

L’attestation ne se trouve pas dans l’en-tête SIP From ni dans le PAI. Le niveau est transporté à l’intérieur d’un jeton JSON signé (le PASSporT) dans l’en-tête SIP Identity. Les en-têtes From et P-Asserted-Identity contiennent toujours le numéro appelant, mais ils ne sont pas signés et sont facilement falsifiables. L’objectif même de STIR/SHAKEN est de lier cryptographiquement le numéro appelant et le niveau d’attestation afin qu’ils ne puissent pas être modifiés en transit. Si votre équipe technique débogue un problème d’attestation en examinant l’en-tête From, elle cherche au mauvais endroit.

Où se trouve le niveau : la déclaration attest dans le PASSporT

Le niveau d’attestation est un champ à l’intérieur du PASSporT, le jeton signé au cœur de chaque appel signé STIR/SHAKEN. Le PASSporT est un JSON Web Token (JWT) qui contient cinq déclarations principales définies par ATIS-1000074 :

La charge utile décodée d’un vrai PASSporT ressemble approximativement à ceci :

{
  "attest": "A",
  "dest": { "tn": ["14165550100"] },
  "iat": 1748964123,
  "orig": { "tn": "14165550199" },
  "origid": "ab37e29c-4c84-4f6e-bb50-1f9f8e2dc4ad"
}

Le jeton complet est signé avec la clé privée du fournisseur d’origine, encodé en JWT, et placé dans l’en-tête SIP Identity sur l’INVITE sortant. Les réseaux en aval lisent l’en-tête Identity, décodent le PASSporT et agissent en fonction du champ attest. Quel que soit le caractère unique que le fournisseur y a inscrit, c’est l’attestation que l’ensemble de la chaîne en aval voit.

Les trois niveaux d’attestation selon ATIS-1000074

La norme publiée définit trois niveaux distincts. Chacun répond à deux questions : le fournisseur sait-il qui est la partie appelante, et le fournisseur sait-il que la partie appelante est autorisée à utiliser le numéro appelant? La combinaison des réponses détermine le niveau.

A (attestation complète)

Les critères sont stricts. Le niveau A s’applique lorsque le fournisseur d’origine a authentifié la partie appelante, entretient une relation directe avec cette partie, et a vérifié que la partie est autorisée à utiliser le numéro présenté dans l’identifiant de l’appelant. Les trois conditions doivent être remplies. Une relation client directe sans autorisation du numéro ne suffit pas pour le niveau A. Une autorisation du numéro sans identité authentifiée ne suffit pas non plus.

En pratique, le niveau A est la barre qu’un fournisseur vocal de détail peut atteindre pour ses propres abonnés, qu’un fournisseur de PBX IP peut atteindre pour les DID qu’il a assignés, et qu’un fournisseur de services gérés (MSP) peut atteindre pour les numéros vérifiés de ses clients gérés. C’est la barre qu’un opérateur de gros acheminant du trafic en transit ne peut pas atteindre pour du trafic qui n’a pas pris naissance sur son réseau.

B (attestation partielle)

Les critères sont plus souples. Le niveau B s’applique lorsque le fournisseur sait d’où l’appel est entré dans son réseau (il provient d’une jonction ou d’un pair connu et authentifié) mais n’a pas vérifié de manière indépendante que la partie appelante spécifique est autorisée à utiliser le numéro appelant spécifique. Le fournisseur se porte garant de la jonction, pas de la liaison numéro-appelant.

C’est le niveau qu’un opérateur de gros attribue au trafic provenant d’un revendeur connu dont les dossiers d’autorisation des clients finaux ne sont pas accessibles au grossiste. Le grossiste connaît le revendeur. Le grossiste ne peut pas confirmer de manière indépendante que le revendeur a effectué les vérifications KYC et d’autorisation des numéros pour chaque appel. Le niveau B est la réponse honnête pour ce scénario.

C (attestation de passerelle)

Les critères sont minimaux. Le niveau C s’applique lorsque le fournisseur agit comme passerelle pour du trafic provenant de l’extérieur de son domaine de confiance. Le fournisseur peut identifier le point d’entrée de l’appel dans son réseau mais ne peut authentifier la partie appelante d’origine ni vérifier l’autorisation pour le numéro appelant.

C’est le niveau qui s’applique aux passerelles RTC-vers-IP, aux interconnexions internationales où le fournisseur en amont n’authentifie pas ses utilisateurs, et dans certains cas aux fournisseurs de détail recevant du trafic d’un locataire dont ils ne gèrent pas les dossiers clients. Le niveau C représente le niveau exact pour une source non fiable honnêtement décrite, et le considérer comme un mode d’échec est une mauvaise lecture de l’intention de la norme.

Les trois niveaux côte à côte

Réduit aux deux questions auxquelles chaque niveau répond :

L’écart délibéré entre A et B est la vérification de l’autorisation du numéro. L’écart entre B et C est la vérification de la jonction ou du pair lui-même. Deux obstacles distincts, trois niveaux distincts.

Scénarios détaillés : qui devrait attribuer quel niveau

Le niveau honnête pour un appel donné dépend de la relation du fournisseur avec l’expéditeur. Les scénarios suivants sont représentatifs des types d’appels qui arrivent sur un contrôleur de session en bordure (SBC) typique en production.

Scénario 1 : un fournisseur VoIP de détail signant le trafic d’abonnés

Un fournisseur VoIP résidentiel reçoit un appel sortant d’un abonné dont l’identité a été vérifiée lors de l’inscription, sur un DID assigné à partir de son propre inventaire. Il sait qui est l’appelant. Il sait que le numéro est le sien à assigner. Le niveau A est l’attestation exacte.

Scénario 2 : un MSP fournissant Microsoft Teams Direct Routing

Un fournisseur de services gérés héberge Microsoft Teams Direct Routing pour un client dont il gère le locataire, sur des numéros portés avec des LOA documentées. Le MSP authentifie le client au niveau de la jonction SBC et maintient les dossiers de portage. Le niveau A est l’attestation exacte pour ces numéros. Si le même MSP termine des appels à partir d’une plage de numéros que le client a apportée sans documentation de portage, ces appels passent au niveau B jusqu’à ce que l’autorisation soit confirmée.

Scénario 3 : un opérateur de gros acheminant du trafic de revendeurs

Un opérateur de gros reçoit du trafic d’un revendeur en aval qui a ses propres relations avec les clients finaux. Le grossiste a authentifié la jonction du revendeur et connaît le revendeur, mais le grossiste ne détient pas les dossiers KYC des clients finaux du revendeur et ne peut pas confirmer les autorisations individuelles de numéros. Le niveau B est la réponse honnête. Le revendeur, s’il signe le même appel en amont du grossiste avec son propre certificat, peut légitimement l’estampiller A.

Scénario 4 : une passerelle IP recevant du trafic international

Un fournisseur de passerelle termine du trafic arrivant par une interconnexion internationale depuis un opérateur étranger qui n’implémente pas STIR/SHAKEN et n’authentifie pas ses utilisateurs en aval. Le fournisseur de passerelle peut confirmer que la jonction provient de l’opérateur étranger, mais rien de plus. Le niveau C est l’attestation exacte pour le trafic arrivant sur cette interconnexion.

Scénario 5 : un BPO de centre de contact émettant des campagnes sortantes

Un BPO de centre de contact émet des appels sortants pour le compte de plusieurs clients finaux, en utilisant des DID assignés par un fournisseur vocal en amont. Le BPO authentifie ses agents et sait à quelle campagne et à quel client chaque appel appartient. La question d’attestation est de savoir si le fournisseur vocal en amont (celui dont le certificat signe les appels) considère le BPO comme un client authentifié avec une autorisation de numéro vérifiée. Si oui, le fournisseur en amont signe le trafic sortant au niveau A. Si le fournisseur en amont ne peut pas confirmer l’autorisation du BPO pour le numéro spécifique présenté, le niveau descend à B.

Scénario 6 : un PBX d’entreprise appelant via une jonction opérateur

Un client entreprise avec son propre PBX passe des appels sortants via une jonction SIP fournie par un opérateur. L’opérateur a authentifié la jonction vers l’entreprise et dispose de la documentation de portage pour les numéros de l’entreprise. Le niveau A est approprié pour les appels passés à partir de numéros autorisés dans la plage assignée. Les appels passés avec un identifiant d’appelant en dehors de la plage assignée passent au niveau B ou échouent à l’autorisation et ne devraient pas être signés au niveau A.

Comment une attestation signée atteint les réseaux en aval

Le niveau d’attestation est défini une seule fois, au moment de la signature, par le fournisseur d’origine. À partir de ce moment, il traverse chaque saut en aval à l’intérieur du PASSporT signé. Le PASSporT est signé à l’aide du certificat STIR/SHAKEN du fournisseur d’origine, de sorte que toute altération du champ attest invalide la signature.

Le parcours en aval se présente ainsi :

1. Le SBC d’origine demande la signature au STI-AS, qui crée le PASSporT avec la valeur attest choisie, le signe avec le certificat du fournisseur et renvoie l’en-tête Identity.
2. Le SBC d’origine injecte l’en-tête Identity dans l’INVITE SIP sortant et transfère l’appel au saut suivant.
3. Chaque opérateur intermédiaire transmet l’INVITE SIP en conservant l’en-tête Identity. Ils ne peuvent pas légitimement modifier le champ attest sans casser la signature.
4. Le SBC de terminaison reçoit l’INVITE, extrait l’en-tête Identity et le transmet au service de vérification (STI-VS).
5. Le STI-VS valide la signature par rapport au certificat public du fournisseur d’origine, vérifie la chaîne de certificats jusqu’à l’autorité de certification STIR/SHAKEN, et confirme que le jeton est récent et non modifié. Il renvoie le résultat de la vérification accompagné de la valeur attest d’origine (généralement via le paramètre verstat dans l’en-tête P-Asserted-Identity).
6. Le moteur de politique du fournisseur de terminaison lit le verstat et l’attestation vérifiée, puis applique les décisions de routage : acheminer normalement, signaler, soumettre à un contrôle supplémentaire ou rejeter.
7. Si un moteur d’analyse est placé devant le terminal du destinataire (une configuration courante chez les opérateurs mobiles américains), il consomme l’attestation vérifiée comme une entrée dans son score « Scam Likely » ou « Spam Risk ».

L’en-tête Identity est le seul artefact réseau qui transporte l’attestation. S’il est absent, les réseaux en aval traitent l’appel comme non signé, ce qui est fonctionnellement similaire au niveau C pour les moteurs d’analyse. S’il est présent mais que la vérification échoue, les réseaux en aval savent que l’appel a été altéré ou signé par un certificat non fiable, ce qui est généralement pire que l’absence de signature.

Lire une attestation reçue : ce qu’un A vous dit réellement

Lorsque votre SBC vérifie un appel entrant et lit attest=A, ce caractère unique formule une déclaration précise. Traduit en langage clair : le fournisseur d’origine déclare avoir authentifié la partie appelante et vérifié que la partie appelante est autorisée à utiliser le numéro appelant.

Voilà la déclaration. La vérification confirme deux choses uniquement : la signature est valide, et la chaîne de certificats remonte à une autorité de certification de confiance. Elle ne confirme pas que les procédures KYC du fournisseur d’origine sont rigoureuses. Elle ne confirme pas que le fournisseur d’origine a correctement vérifié l’autorisation du numéro. Elle ne confirme pas que la partie appelante est réellement celle qu’elle prétend être. Ce sont toutes des promesses du fournisseur d’origine, soutenues par la responsabilité réglementaire de la FCC plutôt que par une preuve cryptographique.

La conséquence pratique est qu’un A provenant d’un opérateur de détail américain réputé est un signal bien plus fort qu’un A provenant d’un fournisseur dont vous n’avez jamais entendu parler. Le contenu cryptographique est identique. La crédibilité qui le soutient ne l’est pas. C’est pourquoi certains opérateurs de terminaison maintiennent leurs propres listes de réputation de fournisseurs en parallèle des niveaux d’attestation, et pourquoi les moteurs d’analyse pondèrent l’attestation comme une entrée parmi d’autres.

La même logique s’applique aux niveaux B et C. Un appel reçu au niveau B porte une reconnaissance explicite du fournisseur d’origine qu’il pouvait se porter garant de la jonction mais pas de l’autorisation spécifique du numéro. Un appel reçu au niveau C porte une reconnaissance explicite que le fournisseur est une passerelle sans connaissance directe de l’appelant. La valeur de signal de l’attestation provient de l’honnêteté sur la relation avec l’appel, et c’est cette honnêteté que les réseaux en aval récompensent ou pénalisent par leurs politiques de routage.

Erreurs d’attestation courantes et ce qu’elles révèlent

Les erreurs d’attestation se produisent dans les deux sens : la sur-attestation (revendiquer un niveau supérieur à ce que les critères justifient) et la sous-attestation (revendiquer un niveau inférieur à ce que les critères justifient). Chacune vous apprend quelque chose d’utile sur le fournisseur d’origine.

Sur-attester du trafic C comme A

Un fournisseur qui signe du trafic de passerelle au niveau A formule une déclaration qu’il ne peut pas défendre. La FCC a renforcé ses actions contre les attestations inexactes, et les moteurs d’analyse en aval qui détectent un schéma d’appels de niveau A provenant d’un fournisseur qui se comporte systématiquement comme une passerelle réduiront la pondération des attestations futures de ce fournisseur. La sur-attestation tend à être une stratégie de courte durée. Elle attire soit l’attention des régulateurs, soit elle est neutralisée par les systèmes de réputation.

Sous-attester du trafic A comme C

C’est le schéma qui a déclenché la vague d’auto-attestation en 2024 et 2025. Un grossiste en amont dont les dossiers KYC et d’autorisation de numéros sur les revendeurs en aval sont incomplets peut décider que B ou C est le seul niveau honnête pour tout le trafic de revendeurs, indépendamment du niveau de KYC que le revendeur lui-même a effectué. Les clients du revendeur voient alors leurs appels signalés ou bloqués même si les appels auraient pu bénéficier du niveau A s’ils avaient été signés directement par le revendeur. La solution, couverte dans le guide d’attestation de niveau A, est que le revendeur obtienne son propre certificat et signe son propre trafic au niveau qu’il peut défendre.

Mélanger les niveaux sur la même jonction

Un même SBC gère souvent du trafic mixte : du trafic d’abonnés de détail qui se qualifie pour A, du trafic de gros qui se qualifie pour B, et du trafic de passerelle qui se qualifie pour C. La décision d’attestation est par appel, pas par jonction. Un SBC qui attribue un niveau global à tout le trafic d’une jonction va soit sur-attester le trafic de passerelle, soit sous-attester le trafic de détail. Les deux sont incorrects. La capacité d’attestation par appel d’un SBC programmable est ce qui permet à la même instance de traiter les trois niveaux honnêtement.

Signer avec le certificat d’un tiers

Il ne s’agit plus d’un choix d’attestation, c’est une violation de conformité. La règle de certificat propre de la FCC exige que chaque fournisseur soumis à une obligation STIR/SHAKEN signe avec son propre certificat. Un appel signé au niveau A avec le certificat d’un fournisseur en amont est non conforme, indépendamment de l’exactitude de l’attestation elle-même. Les réseaux en aval qui détectent ce schéma le traitent de plus en plus comme l’absence totale de signature.

Comment le traitement en aval varie selon le niveau

Le traitement en aval relève de la politique, pas du protocole. Les fournisseurs de terminaison et les moteurs d’analyse décident quoi faire d’une attestation vérifiée, et ces décisions varient selon l’opérateur, le terminal du destinataire et le schéma d’appels. Les schémas ci-dessous sont représentatifs de ce que les opérateurs mobiles américains et les principaux fournisseurs de terminaison font aujourd’hui, pas une garantie.

Traitement du niveau A

Les appels signés au niveau A provenant d’un fournisseur d’origine réputé atteignent généralement le destinataire sans étiquette du moteur d’analyse et avec un identifiant d’appelant propre. Si le numéro d’origine a une mauvaise réputation (historique de plaintes, recyclage récent du numéro, schémas d’appels en masse), l’appel peut quand même être étiqueté. L’attestation est un signal positif, pas un droit de passage automatique.

Traitement du niveau B

Les appels de niveau B atteignent généralement le destinataire, mais peuvent recevoir une étiquette neutre (« Caller Verified » plutôt que le négatif « Scam Likely ») selon les conventions d’interface de l’opérateur de terminaison. Certains opérateurs ne différencient pas B et A dans leur affichage utilisateur. D’autres traitent B comme inéligible à toute étiquette positive.

Traitement du niveau C

Les appels de niveau C reçoivent le traitement le moins favorable. Ils sont les plus susceptibles d’être étiquetés « Scam Likely » ou « Spam Risk », et un nombre croissant d’opérateurs de terminaison acheminent le trafic de niveau C vers des pipelines de filtrage plus agressifs. Certains opérateurs rejettent purement et simplement les appels de niveau C dans des conditions spécifiques, en particulier pour les schémas de trafic qui ressemblent à des appels automatisés.

Appels non signés ou en échec de vérification

Les appels arrivant sans en-tête Identity (non signés) ou avec un en-tête Identity invalide (échec de vérification) sont généralement traités de manière plus sévère que le trafic signé au niveau C. Le niveau C représente au moins une déclaration honnête de passerelle; un trafic non signé ou invalide représente soit un fournisseur non conforme, soit une altération active, et les réseaux en aval acheminent de plus en plus les deux vers le même compartiment de filtrage agressif.

Référence rapide : quel niveau attribuer dans les scénarios courants

Le tableau ci-dessous résume l’attestation honnête pour chaque rôle de fournisseur et type de trafic courant. C’est un point de départ, pas un substitut au jugement au cas par cas.

La logique de décision est cohérente sur toutes les lignes : la vérification d’identité produit oui ou non, la vérification d’autorisation produit oui ou non, et la combinaison détermine le niveau. Deux oui donnent A, un oui donne B, zéro oui donne C.

Le rôle du SBC dans l’attribution du bon niveau

La décision d’attestation appartient au fournisseur, mais le SBC est l’endroit où la décision est mise en œuvre. Chaque appel sortant signé passe par le flux de signature du SBC, où les métadonnées de l’appel sont regroupées dans une requête de signature, envoyées au service de signature STIR/SHAKEN, et renvoyées sous forme d’en-tête Identity. Le niveau qui est apposé dépend de ce que le SBC dit au service de signature de déclarer.

Un paramètre d’attestation statique par jonction ne peut pas fonctionner correctement lorsque la même jonction transporte du trafic mixte. La logique d’attestation par appel dans le moteur de routage du SBC est ce qui permet à la même instance de signer le trafic d’abonnés de détail au niveau A, le transit de gros au niveau B et le trafic de passerelle au niveau C, appel par appel, en utilisant le même certificat. ProSBC implémente cela via son moteur de routage Ruby configurable, où la décision d’attestation peut intégrer toute donnée accessible au script de routage : le dossier du numéro appelant dans la base de données d’autorisation des numéros, la jonction d’arrivée, le statut KYC du client, l’heure de la journée, ou toute autre entrée que le fournisseur choisit de prendre en compte.

Les détails de configuration pour l’intégration SIP de ProSBC avec TransNexus ClearIP et Neustar (le schéma déployé en production pour la base de clients de l’entreprise) sont couverts dans le guide d’implémentation. Le point pertinent pour l’attestation spécifiquement est que le niveau est une décision par appel que le moteur de routage prend, pas un paramètre global défini une seule fois sur le SBC.

Questions fréquemment posées