# eIDAS TSP

> eIDAS Trust Service Provider

Tercero de confianza cualificado que emite los certificados QWAC y QSealC que cada TPP necesita para identificarse ante los bancos europeos.

_Categoría: securite_

---

## Definición

Un **eIDAS TSP** (_Trust Service Provider_) es un tercero de confianza cualificado en el sentido del reglamento eIDAS.

Para la DSP2, su papel es muy concreto: es quien emite los certificados **QWAC** y **QSealC** que todo TPP (AISP, PISP, CBPII) necesita para identificarse ante los bancos y firmar sus peticiones.

## Por qué un certificado eIDAS para la DSP2

Cuando un TPP llama a la API de un banco, el ASPSP debe verificar dos cosas en unos pocos milisegundos:

1. **¿Quién eres?** El QWAC (_Qualified Website Authentication Certificate_) autentica al TPP mediante mTLS, en la capa de transporte.
2. **¿Estás autorizado para este rol?** El certificado contiene el número de autorización concedido por la NCA y la lista de roles (PSP_AS, PSP_PI, PSP_AI, PSP_IC).

Para las peticiones firmadas (sobre todo los pagos), el QSealC (_Qualified electronic Seal Certificate_) añade una firma cualificada en la capa de aplicación (HTTP-signature) — el único medio, en caso de litigio, de probar quién envió qué.

## Lo que hace un eIDAS TSP

- **Verifica la autorización** del TPP ante la NCA (registro EBA, REGAFI, BaFin).
- **Emite** el QWAC y el QSealC, con los roles PSD2 integrados.
- **Renueva** los certificados (validez típica de 1 a 2 años).
- **Revoca** en caso de retirada de la autorización o de compromiso.
- **Publica** sus certificados en una CRL / OCSP consultable en tiempo real.

## Lo que un eIDAS TSP no hace

- **No concede la autorización DSP2**: eso corresponde a la NCA; el TSP solo constata la autorización.
- **No valida una llamada a la API**: es el ASPSP quien verifica el certificado en cada petición.
- **No opera en todas partes sin habilitación**: debe figurar en la Trusted List de cada Estado.
- **No es gratuito**: desde unos cientos hasta unos miles de euros al año y por certificado.

## En el ecosistema PSD2

El TSP es el eslabón de confianza entre la NCA (que certifica la identidad jurídica del TPP) y el ASPSP (que debe reconocerlo técnicamente en cada llamada). Sin un QWAC y un QSealC válidos, ninguna llamada a un banco se completa.

```mermaid
flowchart TB
    NCA["NCA (ACPR, BaFin…)\nConcede la autorización DSP2"]
    REG["Registro EBA / REGAFI"]
    TSP["eIDAS TSP\nEmite QWAC + QSealC"]
    TPP["TPP\n(AISP / PISP / CBPII)"]
    ASPSP["ASPSP\n(el banco)"]

    NCA -->|"Inscripción"| REG
    TPP -->|"1. Solicitud de autorización"| NCA
    TPP -->|"3. Solicitud de certificados"| TSP
    TSP -->|"2. Verifica la autorización"| REG
    TSP -->|"4. Emite QWAC + QSealC"| TPP
    TPP -->|"5. Llamada mTLS + HTTP-sig"| ASPSP
    ASPSP -->|"6. Verifica certif + CRL"| TSP
```

## Ejemplos concretos

- **TSP cualificados en Francia**: Certigna (DhiMyOtis), Certinomis (Docaposte / La Poste), ChamberSign — todos en la Trusted List francesa publicada por la ANSSI.
- **TSP cualificados en Europa**: D-Trust (Bundesdruckerei, DE), Buypass (NO), InfoCert (IT), Trustpro (IE) — más de 200 TSP cualificados en el EEE.
- **Coste y plazos**: de 2 a 4 semanas para la primera emisión, unos días para las renovaciones; tarifas de 300 a 2.000 €/año por certificado.
- **Elegir tu TSP**: reputación ante los bancos (algunos prefieren TSP locales), plazos de reemisión, soporte para las rotaciones automatizadas, API de emisión (útil para escalar una plataforma multi-TPP).
- **Trusted Lists**: para verificar que un TSP está cualificado, consultar la EU LOTL (List of Trusted Lists) mantenida por la Comisión — todo banco serio la utiliza para validar la cadena de certificados.

## Fuentes

- [EU Trusted List Browser (List of Trusted Lists)](https://eidas.ec.europa.eu/efda/tl-browser/) — European Commission
- [Regulation (EU) No 910/2014 (eIDAS)](https://eur-lex.europa.eu/eli/reg/2014/910/oj) — EUR-Lex, 2014-07-23

---

Fuente: https://openfinanceguide.com/es/glossary/eidas-tsp