— 16 mai 2026 · 9 min de lecture

AS2 vs AS4 vs OFTP2 : que choisir pour un nouveau partenariat ?

Trois protocoles EDI de transport coexistent en 2026 : AS2 (RFC 4130, majoritaire historique), AS4 (OASIS ebMS 3.0, adopté par le PEPPOL Network) et OFTP2 (RFC 5024, encore dominant en automobile). Le choix entre les trois n'est plus aujourd'hui un détail technique mais une décision d'écosystème.

Trois origines, trois écosystèmes

Les trois protocoles partagent une intention commune — transporter de façon sécurisée des messages EDI avec accusé de non-répudiation — mais sont nés de contextes différents.

L'AS2 est publié par l'IETF en juillet 2002 sous le numéro RFC 4130 (mise à jour 2005). Son objectif est de remplacer les VAN propriétaires par un transport direct HTTP avec S/MIME : signature, chiffrement, accusé MDN signé. Adopté massivement par Walmart en 2002-2003 pour ses fournisseurs (mandate célèbre du « deadline AS2 » de septembre 2003), AS2 devient le standard de fait en Amérique du Nord pour les flux X12.

L'AS4 est publié par OASIS en 2013 dans le cadre du profil ebMS 3.0. Sa motivation est d'aller au-delà d'AS2 sur trois points clés : support natif du WS-Security (signature XML, chiffrement asymétrique), Reliable Messaging avec acquittement applicatif, et flexibilité ServiceProfile (multi-payload, MEP variés). Le projet e-SENS (puis CEF eDelivery) de la Commission européenne l'a retenu comme protocole standard pour les échanges transfrontaliers UE ; OpenPEPPOL l'a adopté en 2020 pour remplacer son AS2 historique.

L'OFTP2 (Odette File Transfer Protocol 2), publié comme RFC 5024 en 2007, est une évolution du protocole OFTP original (1986) né dans l'industrie automobile européenne pour échanger des fichiers volumineux (CAO/CAM, plans techniques) via X.25 puis TCP/IP. OFTP2 ajoute TLS, signature, compression, et reste majoritaire chez les constructeurs automobiles européens — Volkswagen, BMW, Renault, Stellantis, Volvo — pour les flux logistiques EDIFACT et les transferts de fichiers techniques.

Posture de sécurité comparée

Sur le strict plan cryptographique, les trois protocoles sont aujourd'hui équivalents : tous supportent TLS 1.2/1.3, AES-256, signatures SHA-256 (SHA-1 déprécié partout) et accusés de non-répudiation cryptographiquement signés. Les différences se jouent ailleurs.

• AS2 chiffre et signe au niveau S/MIME (RFC 1847) au-dessus de HTTP. Le MDN signé est asynchrone ou synchrone, retourné par le destinataire après réception. Avantage : maturité, large support vendor. Limites : pas de Reliable Messaging natif (retry géré par implémentation), pas de support natif multi-payload (un AS2 = un payload), et un timeout HTTP fixe (typiquement 30 minutes) qui rend les très gros fichiers problématiques.
• AS4 repose sur SOAP 1.2 avec WS-Security 1.1, WSRM (Reliable Messaging) et MTOM/XOP pour les pièces jointes binaires. Avantage : Reliable Messaging applicatif (accusé positif, négatif, retransmission), multi-payload natif, conforme à eIDAS pour la signature qualifiée. Limites : complexité d'implémentation (les bibliothèques open source — Holodeck, Apache ebMS 3 — sont plus rares que pour AS2), et un overhead SOAP qui pèse sur la latence pour les petits messages.
• OFTP2 est un protocole binaire (pas HTTP) sur TCP/IP avec sa propre couche de sécurité : TLS 1.2 obligatoire, chiffrement payload séparé, signature à la session et au fichier. Avantage : efficace pour les gros fichiers (CAO automobile, plusieurs Go), reprise sur incident native, pas de timeout HTTP. Limites : port TCP dédié (typiquement 6619) qui complique les firewalls et NAT, écosystème vendor concentré (Axway, T-Systems, OpenText, et quelques solutions allemandes spécialisées).

Contraintes opérationnelles

Le choix d'un protocole n'est pas qu'une question de RFC ; il a des implications opérationnelles fortes.

• Onboarding partenaire : AS2 nécessite l'échange de certificats X.509 et la configuration d'URL bilatérales — typiquement 2-3 jours quand tout va bien. AS4 PEPPOL automatise cette étape via SMP : le partenaire publie ses capacités et son endpoint dans l'annuaire PEPPOL, l'émetteur les découvre dynamiquement. OFTP2 a un onboarding bilatéral similaire à AS2 mais nécessite en plus la configuration TCP du port dédié.
• Volume et taille : pour des messages <10 Mo, AS2 et AS4 conviennent. Pour les très gros fichiers (>1 Go), OFTP2 reste préférable grâce à sa reprise sur coupure native. PEPPOL AS4 a une limite indicative de 100 Mo par message, suffisante pour des factures et commandes mais pas pour des plans CAO.
• Reliable Messaging : AS4 et OFTP2 ont un retry/resume natif. AS2 le délègue à l'application (retry au niveau intégrateur EDI).
• Coûts d'infrastructure : AS2 et AS4 fonctionnent au-dessus de HTTPS (port 443) — pas de configuration firewall spécifique. OFTP2 demande l'ouverture d'un port TCP dédié et une gestion NAT côté opérationnel.

Quand le contexte impose le choix

Dans de nombreux cas, le partenaire ou la réglementation imposent le protocole :

• OpenPEPPOL Network : AS4 exclusif depuis 2020 (profil PEPPOL AS4 publié par OpenPEPPOL Authority, basé sur ebMS 3.0 AS4 Profile). Les access points doivent passer le test de conformité PEPPOL.
• CEF eDelivery (Commission européenne pour les flux administratifs transfrontaliers — eHealth, eJustice, e-Procurement) : AS4 conforme au profil e-SENS AS4.
• Automobile européen (VDA, ODETTE) : OFTP2 reste majoritaire chez les constructeurs et leurs Tier 1. Volkswagen, BMW, Mercedes, Renault, Stellantis exigent typiquement OFTP2 pour leurs fournisseurs directs, parfois en alternative à AS2.
• Retail nord-américain : AS2 reste standard de fait. Walmart, Target, Kroger, Home Depot acceptent AS2 exclusivement pour leurs flux EDI.
• Santé États-Unis (HIPAA) : AS2 est le protocole le plus utilisé. AS4 progresse lentement.

Le pivot PEPPOL AS4 et ses conséquences

Le pivot d'OpenPEPPOL d'AS2 vers AS4, démarré en 2017 et finalisé en février 2020, mérite une attention particulière. À l'époque, OpenPEPPOL a justifié ce choix par trois raisons : (1) alignement avec CEF eDelivery pour profiter de l'écosystème open source européen (Holodeck, Domibus), (2) Reliable Messaging applicatif qui simplifie les schémas de retry pour les access points, (3) capacité multi-payload native pour de futurs services métiers.

En 2026, le pari semble réussi sur le plan technique : les access points certifiés PEPPOL traitent en AS4 plus de 200 millions de messages par mois (chiffre cumulé OpenPEPPOL 2025). L'écosystème open source autour de Domibus (Commission européenne) et Holodeck B2B (NLnet) facilite l'adoption.

Conséquence pour les nouveaux projets : si le canal cible inclut PEPPOL, il faut maîtriser AS4. Les implémentations qui se contentaient d'AS2 doivent ajouter AS4 à leur stack, ou s'appuyer sur un access point tiers (Pagero, Tradeshift, ediCom, Comarch, OpenText) qui exposera une API REST simple au-dessus d'AS4.

Matrice de décision pour un nouveau partenariat

1. Le partenaire impose un protocole ? → se conformer à son choix. C'est le cas le plus fréquent en pratique.
2. Le canal cible est PEPPOL ? → AS4 (au moins via un access point tiers).
3. Industrie automobile européenne ? → OFTP2 reste à privilégier.
4. Retail nord-américain ? → AS2.
5. Flux administratif UE (santé, justice, marchés publics) ? → AS4 sous le profil CEF eDelivery.
6. Pas de contrainte forte ? → AS2 reste pertinent pour la maturité de l'écosystème et la simplicité d'onboarding. AS4 si l'horizon est PEPPOL ou cross-border UE.

Trois protocoles, trois écosystèmes

En 2026, AS2 reste le standard de fait du retail et de la santé nord-américains, AS4 s'impose comme le protocole de l'administration UE et de PEPPOL, OFTP2 garde une position dominante dans l'automobile européen. Le choix entre eux n'est plus une question de fonctionnalités — ils sont tous trois sécurisés et matures — mais d'écosystème, de partenaire et de mandat. Pour creuser, les pages AS2, AS4 et OFTP2 détaillent chaque protocole, et la page Les protocoles, en bref donne un panorama plus large.