eDSN - Erreur "Accès refusé pour certains SIRET" lors du téléchargement des BPIJ

Les commandes smart-download-bpij et bpijm2m:download-bpij émettent pour certains SIRET un message d'erreur 230 "Accès refusé pour certains SIRET".

Exemple pour une société avec 3 sirets actifs:
bpijm2m:download-bpij 'ADMIN/12300000-4560-7890-prod-000000000001/NET' '12345678000001,12345678000002,12345678000003' '20230125' '20230208' '/hr9prd/evm/m2m.work'
Erreur: Autorisation d'accès refusée pour 3 SIRET : 12345678000001,12345678000002,12345678000003
com.soprahr.karaf.shell.ext.CommandExitException: Accès refusé pour certains SIRET
at com.soprahr.karaf.shell.ext.CommandExitStatus.set(CommandExitStatus.java:83)

...

Du coté de evMedia, ce message est associé à un code retour 230. 

L'erreur n'est pas bloquante et les BPIJ des autres SIRET sont bien téléchargés.

La réponse du GIP est un flux XML qui est enregistré dans edsn-home/bpij-download :

<?xml version='1.0' encoding='UTF-8'?><smart-download-bpij startDate="2025-11-15" endDate="2025-11-25"><unmapped/><download-bpij declarant="ADMIN/12345678-123e-4a56-87f0-b6ab1235e46e/NET/12345678000001/ACME/EDSN-PROD" startDate="2025-11-15" endDate="2025-11-25"><siret>12345678000001</siret><siret>12345678000002</siret><siret>12345678000003</siret>
<gip-response pageencours="1" pagetotal="1" elapsedSeconds="3.857076893"><declare siret="12345678000001" status="OK" message="pas de BPIJ sur la période" bpijCount="0"/><declare siret="12345678000002" status="KO" message="lien déclarant déclaré non validé" bpijCount="0"/><declare siret="12345678000003" status="OK" bpijCount="3" bpijDownloadElapsedSeconds="1.378876929"/>

...

On voit donc que pour le siret 12345678000002 le status="KO" a comme message "lien déclarant déclaré non validé".

On a contrôlé que :

• Le compte déclarant M2M (SIRET 12345678000001) de eDSN se connecte bien à Net-Entreprises 
• La tuile "Attestation de salaire" est accessible et fonctionne 
• La page de téléchargement des BPIJ s'affiche correctement
• La liste des SIRETs actifs de la société présente les SIRETs actifs dont le 12345678000002 en erreur 

Suite à ouverture d'un incident auprès du GIP, la CNAM a renvoyé cette explication :

"l’accès à la tuile « Attestation de salaire » n’est pas utilisé par l’API BPIJ pour la gestion des habilitations. Pour qu’un déclarant puisse lister et télécharger les BPIJ d’un déclaré donné dans l’API BPIJ, il est nécessaire qu’il ait au préalable réalisé en DSN un signalement d’arrêt pour ce déclaré."

Donc le compte déclarant associé au SIRET 12345678000001 ne peut pas accéder aux BPIJ du déclaré 12345678000002 car il n’a jamais réalisé en DSN un signalement d’arrêt pour ce SIRET 12345678000002.

Pour les établissements concernés, cela signifie que les gestionnaires n'ont jamais utilisé eDSN pour faire des envois d'AT mais toujours utilisé le mode déclaratif manuel en utilisant le portail Net-Entreprises.

L'erreur disparaitra après leur premier envoi de signalement AT en M2M ...

Merci à David pour cette analyse précise.

OpenHR, HRaSpace, 4You eDSN evMedia ne démarrent pas & Java - ZipException: Invalid CEN header

Alban m'informe que suite à un upgrade Java les applicatifs HR (Web, OpenHR) comme Karaf (4You, eDSN 9.0, evMedia, simulateur M2M) peuvent se trouver bloqués au démarrage.

Exemple de message dans le Karaf.log :

SEVERE: Could not launch framework
java.lang.RuntimeException: Error installing bundle listed in startup.properties with url: mvn:org.apache.karaf.features/org.apache.karaf.features.core/4.3.7 and sta
        at org.apache.karaf.main.Main.installAndStartBundles(Main.java:613)
        at org.apache.karaf.main.Main.launch(Main.java:308)
        at org.apache.karaf.main.Main.main(Main.java:183)
        at com.soprahr.evm.main.Main.main(Main.java:130)
Caused by: org.osgi.framework.BundleException: Unable to cache bundle: mvn:org.apache.karaf.features/org.apache.karaf.features.core/4.3.7
        at org.apache.felix.framework.Felix.installBundle(Felix.java:3231)
        at org.apache.felix.framework.BundleContextImpl.installBundle(BundleContextImpl.java:147)
        at org.apache.karaf.main.Main.installAndStartBundles(Main.java:606)
        ... 3 more
Caused by: java.util.zip.ZipException: Invalid CEN header (invalid zip64 extra data field size)
        at java.base/java.util.zip.ZipFile$Source.zerror(ZipFile.java:1730)
        at java.base/java.util.zip.ZipFile$Source.checkExtraFields(ZipFile.java:1262)

Ceci est lié à un nouveau contrôle réalisé par les JVM des derniers updates Java 11 ou 17 de juillet 2023.

java -version

openjdk version "11.0.20" 2023-07-18 LTS
OpenJDK Runtime Environment (Red_Hat-11.0.20.0.8-1) (build 11.0.20+8-LTS)
OpenJDK 64-Bit Server VM (Red_Hat-11.0.20.0.8-1) (build 11.0.20+8-LTS, mixed mode, sharing)

ou

java version "17.0.8" 2023-07-18 LTS
Java(TM) SE Runtime Environment (build 17.0.8+9-LTS-211)
Java HotSpot(TM) 64-Bit Server VM (build 17.0.8+9-LTS-211, mixed mode, sharing)

Pour inhiber ce contrôle il est nécessaire d'ajouter à la ligne de commande Java (en général via la variable JAVA_OPTS ou EXTRA_JAVA_OPTS dans le script setenv) le paramètre suivant :

-Djdk.util.zip.disableZip64ExtraFieldValidation=true

Référentiel CNIL / Données a caractère personnel dans les SIRH

 La CNIL a publié en 2019 un référentiel relatif aux traitements de données a caractère personnel mis en œuvre aux fins de gestion du personnel.

https://www.cnil.fr/sites/default/files/atoms/files/referentiel_grh_novembre_2019_0.pdf

Ce document recense notamment les délais de conservation des données (chapitre 7).

« Les données à caractère personnel ne doivent être conservées sous une forme permettant l’identification des personnes que le temps strictement nécessaire à la réalisation des finalités poursuivies »

Dans la pratique HR Access, les archives de paie, de rappel, et périodes DSN persistent dans la base active ... à juste titre puisqu'elles sont (au moins pour les 12 à 24 premiers mois) toujours interrogées.

Au delà de 5 à 6 ans, ces archives doivent normalement être purgées.

On trouve aussi des règles de sécurité (chapitre 10) à mettre en œuvre. 

« Soit l’organisme adopte les mesures suivantes, soit il justifie de leur équivalence ou du fait de ne pas avoir besoin ou pouvoir y recourir »

Par exemple :

On notera aussi :

• Tester sur des données fictives ou anonymisées
• Limiter les flux réseau au strict nécessaire
• Installer sans délai les mises à jour critiques 
• Limiter l’accès aux outils et interfaces d’administration aux seules personnes habilitées
• Chiffrer les données avant leur envoi à un organisme extérieur
• Prévoir et tester régulièrement la continuité d'activité
• Détruire les archives obsolètes de manière sécurisée 

Concernant l'authentification des utilisateurs, un peu de lecture :

https://www.cnil.fr/fr/securite-authentifier-les-utilisateurs

https://www.cnil.fr/fr/mots-de-passe-une-nouvelle-recommandation-pour-maitriser-sa-securite

https://www.ssi.gouv.fr/uploads/2021/10/anssi-guide-authentification_multifacteur_et_mots_de_passe.pdf

eDSN - Fermer l'accès à interface Web

eDSN permet de réserver l'interface à une liste d'utilisateurs privilégiés.
Pour cela passez par edsn-admin, onglet "Utilisateurs" et alimentez la liste blanche.

La liste est gérable aussi par fichier de configuration :

com.soprahr.edsn.admin.cfg

usersWhiteList = admin

Si ce mode de fonctionnement ne suffit pas, vous pouvez aussi fermer les webapps en mode commande (ceci vaut aussi pour evMedia. Attention, cette fois le navigateur de l'utilisateur affichera une erreur d'accès) :

evmedia>web:list
ID | State       | Web-State   | Level | Web-ContextPath | Name
---+-------------+-------------+-------+-----------------+-------------------------------------
47 | Active      | Deployed    | 80    | /evm-admin      | com.soprahr.evm.admin.webapp (3.1.0)
69 | Active      | Deployed    | 80    | /evm-ij         | com.soprahr.evm.sat.webapp (3.1.0) 

evmedia>web:stop 47
evmedia>web:list
ID | State       | Web-State   | Level | Web-ContextPath | Name
---+-------------+-------------+-------+-----------------+-------------------------------------
47 | Active      | Undeployed  | 80    | /evm-admin      | com.soprahr.evm.admin.webapp (3.1.0)
69 | Active      | Deployed    | 80    | /evm-ij         | com.soprahr.evm.sat.webapp (3.1.0)
evmedia>web:start 47