fonctionnalités marchés publics

Les plateformes de marchés publics développées par SOGESTI (souvent sous le nom e-Marchés Publics) sont conçues pour couvrir l’intégralité du cycle de vie d’un marché, de la publication à l’attribution.

Voici les principales fonctionnalités généralement présentes dans leurs solutions :

1. Gestion des Publications (Côté Acheteur)

Rédaction assistée : Création des avis de publicité (AAPC) avec des formulaires structurés respectant les standards réglementaires.
Publication multi-supports : Diffusion automatique sur le profil d’acheteur et, selon les besoins, vers des journaux d’annonces légales (JAL) ou le BOAMP.
Gestion du DCE : Mise en ligne sécurisée du Dossier de Consultation des Entreprises (DCE) avec suivi des téléchargements. [1, 2, 3]

2. Espace Entreprise (Côté Candidat)

Recherche multicritères : Moteur de recherche par mots-clés, codes CPV, zone géographique et date de clôture.
Alertes mail personnalisées : Système de veille permettant aux entreprises de recevoir des notifications dès qu’un marché correspond à leur profil.
Dépôt électronique sécurisé : Possibilité de soumettre une offre dématérialisée avec horodatage garanti (valeur probante). [4, 5, 6, 7, 8]

3. Analyse et Attribution

Ouverture des plis : Procédure sécurisée permettant l’ouverture simultanée des offres par la commission, garantissant la confidentialité jusqu’à la date limite.
Outils d’analyse : Tableaux comparatifs des offres et gestion des étapes de sélection (admissibilité des candidatures, examen des offres).
Notifications automatiques : Envoi dématérialisé des courriers de rejet aux candidats non retenus et de l’avis d’attribution à l’adjudicataire.

4. Sécurité et Conformité

Signature électronique : Intégration de modules de signature conformes aux normes eIDAS ou RGS** pour authentifier les documents.
Traçabilité complète : Journal d’audit (Audit Trail) enregistrant chaque action effectuée sur la plateforme pour assurer la transparence et prévenir la corruption.
Archivage à valeur probante : Conservation sécurisée des plis et des échanges durant les délais légaux de recours. [9, 10, 11]

5. Pilotage et Suivi

Tableaux de bord : Suivi statistique des procédures en cours et des montants engagés.
Interfaçage (API) : Possibilité de lier la plateforme aux outils de gestion financière ou aux portails nationaux de données ouvertes (Open Data). [11]

Pour une plateforme de marchés publics comme celle de SOGESTI, la signature électronique doit garantir l’identité du signataire et l’intégrité des documents (offre, acte d’engagement, PV de commission).

Voici les types de certificats et les normes de signature compatibles :

1. Les types de certificats admis

En France et en Europe, les plateformes de dématérialisation acceptent généralement deux niveaux de certificats :

RGS (Référentiel Général de Sécurité) : Les certificats RGS** (2 étoiles) sont le standard historique pour les échanges avec l’administration française.
eIDAS (Règlement Européen) : C’est la norme actuelle. Les certificats « Qualifiés » (émis sur support physique comme une clé USB cryptographique ou une carte à puce) sont obligatoires pour les signatures ayant la même valeur juridique qu’une signature manuscrite.

2. Formats de signature supportés

Les plateformes modernes gèrent plusieurs formats de fichiers signés :

PAdES (PDF Advanced Electronic Signature) : Le plus courant. La signature est intégrée directement dans le fichier PDF (visible avec Adobe Reader).
XAdES (XML Advanced Electronic Signature) : Utilisé pour signer des données structurées ou des fichiers joints via un fichier XML séparé.
CAdES (CMS Advanced Electronic Signature) : Utilisé pour signer n’importe quel type de fichier (crée une enveloppe .p7m).

3. Comment ils sont intégrés à l’application

Pour une solution basée sur Drupal, l’intégration ne se fait pas directement dans le code source mais via des services tiers :

API de Signature (ex: Universign, Yousign, DocuSign) : L’application envoie le document à signer à l’API, qui gère l’authentification forte du signataire (souvent via un code SMS ou une vérification de clé matérielle) et renvoie le document scellé.
Applet ou Extension de navigateur : Pour les signatures locales avec clé USB, la plateforme utilise souvent un petit composant (type Java ou extension Chrome) pour communiquer avec le certificat physique de l’utilisateur.

4. Vérification de la validité

La plateforme doit inclure un vérificateur de signature. Lorsqu’un candidat dépose un pli signé, le système vérifie automatiquement :

Que le certificat n’est pas expiré.
Que l’autorité de certification est reconnue (LSTL – Listes de confiance).
Que le document n’a pas été modifié après la signature.

L’intégration d’une API de signature (comme Yousign, Universign ou DocuSign) dans Drupal 11 pour un workflow de marchés publics se fait généralement via un service personnalisé qui communique avec l’API externe.

Voici les étapes techniques pour réaliser cette intégration :

1. Création d’un Service de Signature (Custom Service)

Ne mettez pas la logique d’appel API directement dans vos contrôleurs. Créez un service Drupal (src/SignatureService.php) pour centraliser les appels :

Authentification : Gestion de la clé API ou du token OAuth2.
Envoi du document : Envoi du fichier (PDF du marché ou acte d’engagement) vers l’API.
Récupération du statut : Vérification si le document est « en attente », « signé » ou « refusé ».

2. Déclenchement via ECA (Le « Low-Code »)

Plutôt que de coder tout le workflow, utilisez ECA pour appeler votre service au bon moment :

Événement : Le workflow passe à l’état « En attente de signature ».
Action : Appeler votre méthode de service sendDocumentToSign.
Résultat : L’ECA met à jour un champ « ID de signature externe » sur votre entité pour le suivi.

3. Gestion du Webhook (Le Retour d’Information)

C’est l’étape cruciale. L’API de signature doit prévenir Drupal dès que l’acheteur ou l’élu a signé.

Créez une Route personnalisée dans Drupal (/api/signature/callback).
Lorsque l’API appelle cette route, votre contrôleur :
1. Vérifie la signature de la requête (sécurité).
2. Télécharge le document final (le PDF scellé).
3. Met à jour l’état du marché en « Signé / Attribué ».
4. Déclenche l’envoi automatique du mail de notification au candidat retenu.

4. Stockage du « Preuve de Signature »

L’API vous renverra souvent un fichier de preuves (audit trail).

Utilisez un champ de type File configuré en « Private » pour stocker ce fichier.
Liez-le à l’entité du marché pour qu’il soit consultable uniquement par les administrateurs en cas de contrôle de la préfecture (contrôle de légalité).

5. Modules Drupal utiles pour l’intégration

External Entities : Si vous voulez manipuler les documents distants de l’API de signature comme s’il s’agissait de contenus Drupal locaux.
Key : Indispensable pour stocker vos clés d’API et secrets de manière sécurisée (hors de la base de données, par exemple dans des variables d’environnement).