6 questions sur l’idée de Google pour stocker le pass sanitaire dans Android

Qu’est-ce que « Passes API » ?

Passes API, ou API for Passes, est un outil développé par Google pour enregistrer et utiliser, dans un portefeuille numérique, des cartes de fidélité ou bien des cartes d’embarquement. Ce peut-être la carte de votre supermarché ou de votre magasin de sport, ou bien un billet d’avion. L’outil, qui propose aussi de gérer les programmes de fidélité, s’adresse aux clubs, commerces, compagnies aériennes, et banques.

Avec la pandémie de coronavirus, le Passes API évolue vers des fonctionnalités ayant trait au domaine médical. En effet, il est question d’ouvrir le Passes API de façon à pouvoir y stocker le pass sanitaire, qu’il s’agisse d’une attestation de vaccination contre le Covid-19 ou bien d’un résultat négatif à test. C’est ce que la société indique dans un billet de blog publié le 30 juin 2021.

Source : Google

Quelles informations sont stockées ?

Puisqu’il s’agit d’enregistrer des informations relatives à la vaccination d’un individu (ou du résultat d’un test d’infection au coronavirus), la rubrique doit accueillir non seulement des données nominatives, mais aussi des informations médicales : Prénom et nom du patient, date de naissance et date des injections, s’il s’agit d’une vaccination. Le type de traitement sera aussi renseigné.

Des informations plus techniques et administratives sont aussi incluses : l’identité du fabricant du traitement (par exemple Pfizer-BioNtech), l’autorité émettrice du certificat ou encore le code du lot, utile en cas d’une hypothétique complication. Ces informations sont présentées à la fois dans un format lisible par une personne, mais aussi encodé dans un code QR qui peut être lu avec un lecteur adapté.

Un certificat européen de vaccination

Source : Numerama

Quelles sont ses caractéristiques ?

Selon Google, l’emploi du Passes API comme réceptacle du pass sanitaire permet d’abord de mobiliser une solution technique existante, ne nécessitant que quelques ajustements. La rubrique inclut des fonctionnalités de stockage et de partage du pass sanitaire, et se sert d’un raccourci sur l’écran d’accueil du smartphone. Enfin, des mesures existent pour sécuriser l’accès à ce pass sanitaire.

« Un écran de verrouillage est nécessaire pour stocker un certificat Covid sur un mobile. Ceci pour plus de sécurité et pour protéger les informations personnelles de l’utilisateur. Lorsqu’un utilisateur souhaite accéder à son certificat Covid, il lui sera demandé de saisir le mot de passe, le code PIN ou la méthode biométrique configurée pour son mobile Android », écrit la société américaine.

L’outil n’a pas besoin d’une connexion. Il est précisé que « les informations contenues dans le certificat Covid de l’utilisateur ne sont pas partagées par Google avec ses différents services ou des tiers et ne sont pas utilisées pour le ciblage des publicités ». Le stockage est local, ce qui veut dire qu’il faudra dupliquer soi-même, le cas échéant, le certificat sur ses autres appareils. Google déclare n’en faire aucune copie.

Quels atouts pour le Passes API ?

Sur le papier, l’adaptation du Passes API au pass sanitaire présente deux gros avantages :

• D’abord, il s’appuie sur une solution native dans Android, qui ne nécessite pas d’installer une application tierce quelconque. Les informations peuvent être intégrées directement dans Android, à condition d’avoir au moins la version 5 du système d’exploitation, qui est disponible depuis 2014, et d’avoir un appareil certifié Play Protect.
• L’autre avantage est que cette solution propose une approche uniformisée à une échelle mondiale. Compte tenu de la taille du parc de l’écosystème Android, on parle de trois milliards d’appareils en circulation, selon les dernières statistiques communiquées par Google lors d’une conférence organisée mi-mai. Pour certains pays, cela peut épargner la nécessité de développer une application dédiée.

Ce procédé vous rappelle peut-être quelque chose : c’est exactement ce qui s’est passé en 2020 lorsque le traçage des contacts par Bluetooth a émergé. Plusieurs pays dans le monde ont opté pour l’outil conçu conjointement par Google et Apple, y compris en Europe avec l’Allemagne, l’Italie, le Royaume-Uni, les Pays-Bas, la Suisse, l’Irlande ou le Pays-Bas. La France, elle, avait opté pour un protocole national.

Quid de la France ?

L’outil de Google est facultatif. Chaque pays fera comme il l’entend, mais les outils sont là : « les développeurs des organismes de santé, des agences gouvernementales et des organisations autorisées par les autorités de santé publique à distribuer les vaccins et/ou les tests Covid auront accès à ces API pour créer une version numérique des informations relatives aux vaccins ou aux tests Covid ».

La France s’intéressera-t-elle au Passes API pour le pass sanitaire ?

Rien n’est moins sûr : d’abord, parce que cette solution n’est pas encore disponible dans l’Hexagone, ni nulle part. Elle doit d’abord être prochainement déployée aux États-Unis, puis dans d’autres pays, non nommés. Ensuite, car les raisons de souveraineté numériques qui ont tenu Paris à l’écart de l’outil conçu par Google et Apple concernant le traçage des contacts par Bluetooth devraient jouer à nouveau.

Dans TousAntiCovid.

Source : Capture d'écran Numerama

En outre, l’outil imaginé par Google ne serait pas vraiment utile, car la France met déjà à disposition son propre « portefeuille numérique vaccinal » via l’application TousAntiCovid. Celle-ci inclut une rubrique intitulée « Mon carnet » dans laquelle on peut enregistrer ses certificats de test et de vaccination, avec ses informations personnelles et médicales, et le code QR correspondant.

Il est à noter qu’il n’est pas non plus obligatoire de se servir de TousAntiCovid pour gérer ses certificats de test et de vaccination. Ceux-ci sont disponibles sous format PDF sur le site de l’Assurance Maladie, dans le compte personnel de chaque individu. Ils peuvent être alors imprimés pour les avoir sur papier ou bien conservés sur le smartphone, soit toujours en PDF soit via une capture d’écran.

Pour aller plus loin

Ne publiez pas votre pass sanitaire sur les réseaux sociaux

Et chez Apple ?

Si la démarche de Google permet de couvrir 80 % des smartphones en circulation dans le monde — c’est la part de marché qu’a Android dans le mobile –, quid des 20 % restants avec Apple et iOS ? La firme de Cupertino est elle aussi engagée sur ce terrain, selon des documents consultés par Patently Apple et SecureIDNews. Rien n’est pour l’instant lancé, mais Apple peut tout à fait stocker techniquement des pass sanitaires localement et de manière sécurisée, via la Secure Enclave et Wallet.