PRICAT: cum rulezi în siguranță pe AS2, AS4 sau SFTP – criptare și semnare

În retail și distribuție, PRICAT (Price/Sales Catalogue din EDIFACT/EANCOM) este mesajul care aliniază prețuri, unități de măsură, loturi, coduri GTIN și atribute comerciale între parteneri. Un PRICAT corect și livrat în siguranță pe AS2, AS4 sau SFTP înseamnă mai puține dispute de preț, mai puține retururi și o încărcare mai rapidă a produselor în ERP și PIM. Pentru IT managers, consultanți ERP/EDI și dezvoltatori, cheia este criptare și semnare robuste, monitorizare și operaționalizare.

Ce este PRICAT și de ce contează securitatea

PRICAT este mesajul EDIFACT prin care furnizorii transmit catalogul de prețuri și produse către retaileri. În EANCOM, un PRICAT conține segmente precum BGM (document), DTM (date), LIN (linii), PIA/IMD (identificatori și descrieri), PRI (prețuri), CUX (valută) și TAX. Un singur PRICAT poate avea zeci de mii de SKU-uri; orice interceptare sau alterare afectează marjele și conformitatea. De aceea, transportul PRICAT peste AS2, AS4 sau SFTP trebuie să asigure criptare, semnare și non-repudiere.

AS2: standardul de facto în retail

AS2 rămâne canalul preferat pentru PRICAT în relațiile mari furnizor–retailer. Walmart și Amazon Vendor Central acceptă și în multe cazuri impun AS2 pentru EDI, iar numeroase lanțuri europene îl folosesc pentru fiabilitate și costuri previzibile. AS2 rulează peste HTTP/S și folosește S/MIME pentru criptare și semnare la nivel de mesaj, cu confirmări MDN (Message Disposition Notification) semnate pentru non-repudiere.

• Criptare: S/MIME cu AES-256; canal TLS 1.2/1.3 obligatoriu.
• Semnare: X.509, algoritmi SHA-256/RSASSA-PKCS1.
• Integritate: MIC calculat pe payload; MDN sincron sau asincron.
• Conformitate: alegeți furnizori certificați Drummond Group (ex.: IBM Sterling B2B Integrator, OpenText Trading Grid, Cleo Integration Cloud, Axway B2Bi, SEEBURGER BIS, Microsoft BizTalk Server).

Recomandări PRICAT pe AS2: activați compresia pentru fișiere mari, folosiți semnare și criptare duală, setați retry cu backoff și validați MDN-urile. Automatizați rotația certificatelor și auditul SHA-1 (de evitat); standardizați pe SHA-256 sau mai puternic.

AS4: orientat pe interoperabilitate europeană

AS4 (profil OASIS ebMS 3.0) este transportul adoptat de CEF eDelivery și rețeaua Peppol. OpenPeppol a trecut la AS4 pentru furnizorii acreditați, iar acest lucru aduce beneficii și pentru PRICAT: securitate bazată pe WS-Security, fiabilitate, repere de interoperabilitate.

• Criptare: AES-GCM, schimb de chei RSA-OAEP sau ECDH; TLS 1.2/1.3.
• Semnare: XML Signature (SHA-256/384), time-stamping opțional.
• Funcții: receipt-uri fiabile, retransmisii controlate, suport pentru compresie și MTOM pentru payload mare (PRICAT voluminos).

Pentru organizații conectate la ecosisteme publice sau multinaționale care cer eDelivery, AS4 este o alegere solidă pentru PRICAT, mai ales când aveți zeci de parteneri și doriți un 4-corner model standardizat.

SFTP: simplu, dar completați cu PGP

SFTP prin SSH oferă criptare la nivel de canal, însă nu asigură implicit semnarea payload-ului. Pentru PRICAT pe SFTP, folosiți PGP/GPG pentru criptare și semnare la nivel de fișier, astfel încât integritatea și non-repudierea să fie păstrate și după descărcare.

• Criptare canal: AES-256-GCM sau chacha20-poly1305; KEX curve25519.
• Autentificare: chei Ed25519 sau ECDSA; dezactivați parolele.
• Payload: PGP cu AES-256 și semnătură SHA-256; gestionați keyring-urile.

Practici recomandate pentru PRICAT sigur și repetabil

• Guvernanță certificate: RSA 2048/3072 sau ECC P-256; alerte de expirare cu 60–90 zile înainte; validați OCSP/CRL.
• Politici criptografice: interziceți SHA-1/3DES; standardizați pe AES-256 și SHA-256/384; documentați profilele pe partener.
• Non-repudiere și logging: păstrați MDN/receipts, hash-ul original al PRICAT, Message-ID, traseul; integrați cu SIEM (Splunk, Elastic, Azure Sentinel).
• Scalare: pentru PRICAT >50 MB, activați compresie și segmentare; limitați concurența pe partener pentru a preveni throttling.
• Validare: schema EDIFACT/EANCOM, reguli GS1 (ex.: lungimi GTIN, unități), cross-check cu master data din ERP/PIM.
• Observabilitate: corelați evenimentele transport (AS2/AS4/SFTP) cu ACK-urile ERP; implementați replays controlate pentru PRICAT ratate.
• Conformitate: minimizați datele personale (GDPR), deși PRICAT rar conține PII; jurnalizați accesul la cataloage strategice.

Stack-uri și furnizori validați în producție

Pentru operare enterprise a fluxului PRICAT, platforme consacrate precum IBM Sterling B2B Integrator, OpenText Trading Grid, Axway B2Bi, SEEBURGER BIS sau Cleo Integration Cloud oferă AS2/AS4 gestionat, certificări Drummond și SLA-uri stricte. În cloud, furnizori precum SPS Commerce, TrueCommerce, Pagero și Comarch EDI asigură onboarding rapid cu mari retaileri din Europa și SUA. Microsoft BizTalk Server și Logic Apps Standard pot acoperi scenarii AS2/SFTP pentru PRICAT în ecosisteme Azure.

În România, multe implementări PRICAT rulează către retaileri internaționali pe AS2 sau SFTP. (Ocazional, furnizori locali precum EDIconnect.ro, ca modul în CRMconnect, oferă conectivitate EDI gestionată pentru PRICAT și alte mesaje, utilă pentru companii fără echipe EDI interne.)

Date de piață și direcții

Conform MarketsandMarkets, piața EDI a fost estimată la circa 2,4 miliarde USD în 2023 și este proiectată să atingă ~3,6 miliarde USD până în 2028, cu un CAGR de aproximativ 8,4%. În paralel, inițiativele europene (CEF eDelivery și Peppol) accelerează adopția AS4, în timp ce retailul tradițional rămâne puternic pe AS2 pentru mesaje precum PRICAT și ORDERS. SFTP rămâne o opțiune tranzitorie sau pentru parteneri mai mici, dar necesita PGP pentru a oferi semnare la nivel de fișier.

Checklist rapid pentru un PRICAT sigur

• AS2: TLS 1.2/1.3, S/MIME AES-256 + semnare SHA-256, MDN semnat, compresie, rotație certificate.
• AS4: profil eDelivery/Peppol, WS-Security cu AES-GCM, semnătură XML SHA-256, receipts fiabile.
• SFTP: host keys Ed25519, ciphers moderne, PGP pentru criptare și semnare a fișierelor PRICAT.
• Monitorizare: corelați PRICAT trimis–MDN/receipt–import ERP; alerte la anomalii de volum și latență.

Concluzie: Dacă vreți ca PRICAT să fie sursa de adevăr între ERP și raft, alegeți AS2 sau AS4 pentru securitate end-to-end, non-repudiere și interoperabilitate. Completați SFTP cu PGP, aplicați politici criptografice moderne și investiți în observabilitate. Astfel, PRICAT devine nu doar corect, ci și verificabil, trasabil și rapid, exact ce așteaptă partenerii și auditorii în 2024+.