FR 2929024 A1 20090925 FR 0801469 A 20080318 Procédé de publication de documents sécurisés en ligne et plateforme de publication La présente invention concerne le domaine de la diffusion d'ouvrages électroniques sécurisés pour tout public, par réseau de télécommunication public ou privé. Les oeuvres littéraires et tout autre document auxquels sont associés des droits d'auteur peuvent: être proposés au public sous des formes nouvelles en plus de l'impression papier traditionnelle. Ces formes nouvelles sont des documents électroniques livrés en divers formats standards comme le PDF (Portable document Format) ou Flash d'Adobe Systems ou XPS (XML Paper Specification) de Microsoft. Chaque société fournit un afficheur gratuit permettant la lecture de ces documents sur des ordinateurs de bureau, des ordinateurs portables, éventuellement sur des assistants personnels, des mobiles et de manière générale sur tout type d'appareil comprenant un processeur, une mémoire permanente et supportant des programmes. De tels documents livrés sur supports physiques comme les CD-Rom ou téléchargés depuis un réseau de communication privé ou public, tel qu'Internet, sont sous forme électronique facilement copiables au détriment des droits légitimes des auteurs. Pour garantir les droits des auteurs, les compagnies à l'origine des formats de lecture ont associé aux documents électroniques des droits numériques DRM (Digital Rights Management) sous forme de licence, qui autorisent la consultation des dits documents pour un client donné et sur au plus quatre machines. Ainsi, dans le document WO 01/44908, est proposée une architecture de serveur de ce type pour un système de gestion des droits numériques mettant en oeuvre un procédé de création de documents électroniques permettant la protection des droits des auteurs et la copie privée. On propose donc un serveur de commande pour la prise de commandes par les clients et accessible depuis un réseau privé ou public tel qu'internet. Un serveur de livraison accessible depuis le même réseau, permet de générer l'exemplaire commandé par le client et sécurisé. Chaque serveur de commande est équipé d'un objet qui code selon une clé symétrique secrète partagée entre le serveur de commande et le serveur de livraison, l'information qui est nécessaire au site de livraison pour procéder à un ordre pour le contenu vendu par le site de commande. Lors de la vente d'un contenu, le site de commande transmet à l'acheteur une page web ayant un lien vers une URL comprenant l'adresse du site de livraison et un paramètre ayant l'information codée. En suite de l'envoi de ce lien, le site de livraison télécharge le contenu commandé vers le client en préparant le contenu si nécessaire en accord avec le type de sécurité à mettre en oeuvre avec le contenu. Ensuite, un serveur d'activation est accessible sur le même réseau et propose un certificat d'activation et un référentiel de sécurité qui associe le dispositif de lecture (tel qu'un ordinateur, etc) activé avec une personne en ligne. L'agencement du serveur d'activation inclut un ou plusieurs dispositifs qui fournissent des données et des codes pour accéder au contenu. Ces données peuvent comprendre un certificat d'activation possédant une clé publique et une clé privée encryptée et le code est un programme qui accède à la clé privée dans le certificat d'activation en demandant d'une manière sécurisée la clé nécessaire au décryptage de la clé privée encryptée. De préférence, la paire de clés dans le certificat d'activation est associée avec une "personne" authentifiable de sorte qu'un dispositif peut être activé pour lire le contenu qui a été individualisé pour cette personne mais pas le contenu qui a été individualisé pour d'autre personnes. On propose donc ici un mécanisme qui associe des données cryptées représentant les droits stockées dans le document, ,et le code pour les décrypter. Toutefois, le client et les machines doivent être connues du diffuseur. De tels 25 documents ne sont pas échangeables et ne supportent pas de copies multiples au-delà de quatre dispositifs de lecture déclarés. Le demandeur dans la demande de brevet n° WO2007/135281, a décrit un procédé de création de documents électroniques échangeables et permettant la 30 protection des droits d'auteurs et la copie privée illimitée. Ce procédé comprend une étape de commande d'un document sur un serveur de commande accessible depuis un réseau public ou privé tel qu'Internet ainsi qu'une étape de livraison d'un exemplaire du document généré de manière spécifique en suite de l'étape de commande. De manière à contrôler les droits numériques acquis par le client, on prévoit une étape de contrôle de ces droits à l'aide d'un serveur de contrôle. Ce procédé comprend pendant l'étape de livraison la génération de l'exemplaire commandé spécifiquement pour le client. Cet exemplaire contient un identifiant unique et un agent de supervision ou superviseur qui sert à vérifier les droits en cours au moment de la consultation de l'exemplaire généré. Ces droits sont stockés sur le serveur de contrôle. Une fois le document généré, celui-ci est envoyé au client sur son ordinateur par exemple et il peut être sauvegardé plusieurs fois en copie privée. Cet exemplaire et ses copies ne sont consultables qu'après émission d'une requête contenant l'identifiant unique dudit exemplaire par l'agent de supervision vers le serveur de contrôle et la réception de la réponse autorisant l'accès. Un tel procédé de gestion des droits numériques est particulièrement intéressant puisqu'il permet de générer un exemplaire commandé par un client qui peut être copié autant de fois que souhaité. L'exemplaire d'origine et ses copies comportent tous le même identifiant unique et l'agent de supervision permettant de vérifier les droits de consultation qui y sont attachés pour autoriser ou pas l'accès à chacune des copies indépendamment de leur nombre. Ces droits de consultation peuvent être, par exemple, d'autoriser l'ouverture du document un certain nombre de fois par jour pendant une période donnée, ou encore d'autoriser l'ouverture sans limite pendant une période donnée. Toutes les contraintes modélisables peuvent servir au contrôle. Par exemple, on peut contraindre un exemplaire à n'être consultable que le premier janvier. Ainsi, on a proposé un système de sécurisation de documents électroniques échangeables sur réseau public ou privé, qui supportent la copie multiple et sont interopérables parce que les formats de documents PDF ou XPS ou Flash sont indépendants des plates-formes de lecture. En outre, le procédé inscrit dans l'exemplaire généré spécifiquement les droits complémentaires comme les droits de copie, d'impression, de modification, de commentaire, etc. L'avantage principal de ce type de système de sécurisation est que le contrôle est appliqué au document uniquement et non comme précédemment à la licence acquise pour un document, pour un client et un dispositif de lecture donné. Dans le tableau suivant les principales caractéristiques apparaissent entre le présent système et les systèmes antérieurs classiques (DRM) Nouvelle gestion des DRM droits numériques Document échangeable Oui non Droit de copie Illimité Au plus quatre Portabilité du document Windows, Macintosh, Pas de portabilité Linux Connexion internet Indispensable en mode Inutile téléchargé standard, quotidienne en mode déconnecté Clients Anonymes ou connus Connus Perte du document acheté Droit aux copies multiples, Justifier par facture de l'achat La sauvegarde est de la du document responsabilité du client Simplicité de mise en oeuvre Oui Non Le processus de publication de ces documents sécurisés est simple car il ne gère pas les licences d'utilisation associées aux documents, aux clients et aux machines, mais gère seulement les droits de consultation des documents publiés stockés dans une base externe accessible par internet. Le procédé est rendu possible parce que les formats de documents actuels supportent la programmation en langages évolués, notamment javascript, pour le format PDF et ActionScript pour le format Flash. Il est alors possible de contrôler la consultation d'un tel document par un programme interne au dit document, qui va chercher les informations de contrôle, non pas localement sur le poste du lecteur, mais dans une base de droits, supportée par un serveur de contrôle accessible en ligne par internet. De manière à renforcer encore la sécurité et éviter tout risque d'ouverture frauduleuse du document malgré la présence de l'agent de supervision, la présente invention propose de renforcer le rôle de ce dernier quant à la consultation du contenu du document lui-même. Ainsi, la présente invention s'inscrit dans un perfectionnement du procédé décrit dans la demande WO2007/135281 et en particulier elle vise à proposer un procédé dans lequel l'étape de génération du document sécurisé a été améliorée de manière à rendre l'accès au contenu du document encore plus difficile. La présente invention a donc pour objet un procédé de publication de documents électroniques sécurisés en ligne, comprenant : une étape de génération d'un exemplaire d'un document suite à la commande de 15 ce document par un client sur un serveur de commande accessible depuis un réseau public ou privé de télécommunications tel qu'Internet, ledit exemplaire de document étant généré par un serveur de livraison accessible depuis le même réseau et renfermant le contenu du document commandé et les droits numériques complémentaires acquis par le client ainsi qu'un identifiant 20 unique et un agent de supervision permettant la vérification des droits de consultation en cours au moment de la consultation de ce document ou d'une copie de ce dernier, par interrogation d'un serveur de contrôle dans lequel les droits numériques sont stockés, ledit agent de supervision divulguant ou non le contenu du document en fonction de l'autorisation ou du refus du serveur de 25 contrôle, caractérisé en ce que, lors de la génération du document par le serveur de livraison, le contenu dudit document est rendu par défaut illisible, l'agent de supervision renfermant au moins un script permettant de rendre lisible ledit contenu lorsque le serveur de contrôle envoie vers l'agent de supervision une 30 autorisation de consultation de l'exemplaire. Ainsi de manière très avantageuse, l'état par défaut du document est de présenter un contenu illisible. De cette manière même si on obtenait de manière frauduleuse l'accès au document, le contenu resterait illisible du fait de cette sécurité renforcée. De préférence, le contenu du document est rendu illisible soit en le cryptant soit en l'attachant à un calque caché. Ainsi, en l'absence de langage requis selon le type de document, par exemple javascript ou ActionScript, ou en l'absence d'accès Internet, le document reste illisible. Chaque document sécurisé est un objet comprenant : • a . un identifiant unique • b . un contenu • c . des droits de consultation stockés dans un dispositif externe, par exemple une base de données, accessible par internet • d . des droits complémentaires tels que droits de copie ou d'impression • e . un agent de supervision interne incluant les procédures de gestion des droits • f . une signature Pour obtenir un document sécurisé, il faut procéder aux étapes de traitement de la manière suivante : - Recopier le document de référence élément par élément dans le document sécurisé. Si le document est au format XML, le recopier objet par objet. Un document PDF peut être recopié page par page par une bibliothèque de génération de documents � à la volée �. - Rendre le contenu du document sécurisé illisible, soit en cryptant le contenu, soit en masquant le contenu par un calque caché. C'est l'état par défaut du document. En l'absence de javascript (ou autre langage requis selon le cas), ou d'interner, le document est illisible. - Attacher un identifiant unique - Attacher les procédures ou scripts de l'agent de supervision aux événements internes de transition du document sécurisé. - Inscrire dans le document les droits complémentaires comme les droits de copier, d'imprimer, d'extraire, de commenter. - Signer le tout pour éviter toute modification du document sécurisé. Lorsqu'on attache les procédures ou scripts de l'agent de supervision (programme), on peut ainsi tirer profit des événements � ouverture du document �, � ouverture de page �, � fermeture de page �, � mouse clown � (sans que ce soit exhaustif) pour activer les procédures ou scripts d'interrogation de la base de contrôle, et en appliquer les conséquences. Par exemple, dans le cas où chaque page du contenu est attaché à un calque caché à l'origine recouvert par un calque blanc avec un peu de texte, un premier script activé à l'ouverture du document interroge la base de contrôle et retourne l'information signalant qu'il existe ou pas un droit en cours. Ensuite, à chaque ouverture de page, par un deuxième script, le calque attaché au contenu sera révélé ou pas, et le calque blanc caché ou pas, en fonction de la réponse obtenue par le premier script. Par un troisième script, à chaque fermeture de page le calque attaché au contenu de la page fermée sera de nouveau masqué, et le calque blanc affiché. Dans le cas particulier des documents PDF, on ajoute à chaque page un calque caché recouvrant les autres calques auquel est attaché une image noire de la taille de la page. Ce calque masquera les contenus des pages affichées par les afficheurs qui ne gèrent pas les calques. Pour brouiller les contenus en cas d'ouverture frauduleuse du document PDF en décourageant la copie des contenus, le calque blanc peut contenir, dans l'ordre une page de texte, recouverte par une image blanche de la taille de la page puis des textes divers comme � Veuillez vérifier les droits en cours �.30 Une fois l'exemplaire spécifique généré, celui-ci peut être téléchargé sur le poste de l'utilisateur final ou lecteur. Ce mode de lecture est appelé � mode téléchargé standard�. Ainsi, dans le cas particulier des documents PDF, la réponse du serveur de contrôle figure dans des champs cachés contenus dans le document PDF de réponse, qui est � disclosed �, ce qui permet au document de connaître la réponse du serveur de contrôle. 10 Selon une variante du procédé selon l'invention, le procédé est dit en �mode déconnecté �, dans lequel le document se connecte une première fois par réseau Internet ou privé à un serveur de contrôle pour obtenir l'autorisation d'ouverture et reçoit un � ticket d'ouverture � contenant les droits en cours et qui est 15 sauvegardé, ce dit ticket étant lu prioritairement par la suite à chaque ouverture du document tant que le ticket est valide sans avoir besoin d'une vérification par internet. Ainsi, le document émet une requête au serveur de contrôle par internet ou réseau 20 privé et conserve le document de réponse ouvert, appelé �ticket d'ouverture �. Par la suite, le document électronique recherchera d'abord le ticket d'ouverture, et s'ouvrira ou pas en fonction de l'autorisation contenue dans le ticket, sans se connecter au serveur de contrôle. Pour éviter les abus, le ticket d'ouverture contient des conditions de validité, comme la durée de validité, typiquement la 25 journée. Ce mode permet de contrôler l'usage illimité d'un document électronique pendant une certaine durée, par exemple, en autorisant trois téléchargements par jour pendant un mois. Cependant, de manière avantageuse, il n'est pas obligatoire de télécharger le 30 document sécurisé sur le poste du lecteur une fois la commande de cet exemplaire effectuée par le lecteur. En effet, selon une variante du procédé, le procédé est dit en mode � déporté � dans lequel le document est conservé sur le serveur de contrôle et affiché dans un navigateur qui interroge le serveur de contrôle à la5 place du document par délégation du document. La réponse est transmise au document qui active ses scripts en conséquence. Ainsi. le document sécurisé peut être conservé sur le serveur de livraison, où il est référencé par un identifiant URL qui lui, est transmis au lecteur suite à son achat. Ce lien est une adresse Internet activable partout dans le monde, ou une adresse privée, et ce mode de lecture est appelé �mode déporté �. Le document sécurisé peut alors être affiché dans une console spécialisée composée d'un navigateur tel qu'Internet Explorer ou Mozilla Firefox, incluant en tant qu'objet l'afficheur, par exemple Acrobat Reader, qui contient lui-même le document sécurisé spécialement traité pour communiquer avec le navigateur. Ce navigateur opère par � délégation � donnée par le document sécurisé. Il se charge de questionner le serveur de contrôle à la place du document sécurisé, par exemple par des requêtes AJAX qui retournent les droits en cours. Il communique avec le dit document sécurisé via un gestionnaire de messages spécifique. L'agent de supervision inclus dans le document sécurisé contient aussi un gestionnaire de messages pour envoyer les requêtes au serveur de contrôle par le moyen de messages envoyés au gestionnaire de message du navigateur et recevoir les réponses obtenues par le navigateur permettant la révélation du contenu du document sécurisé lorsque les droits du dit document sécurisés le permettent. Un tel document est seulement lisible dans la console spécialisée capable de transmettre ses requêtes au serveur de contrôle. Les procédures ou scripts de l'agent de supervision sont attachés aux mêmes événements internes de transition du document sécurisé que dans le mode � téléchargé �. Il existe également une autre variante du procédé, qui permet de sauvegarder le document en �mode déporté� sur une machine locale. Les scripts de l'agent de supervision d'un tel document contiennent les scripts du mode �téléchargé� et les scripts du mode �déporté �. A l'ouverture d'un tel document, l'afficheur reconnaît si le contenant est un navigateur et active les scripts du mode � téléchargé � ou du mode � déporté � selon le cas. Le dit document est donc lisible dans les deux modes. Selon une forme de réalisation particulière, lors de la génération d'un document de type document � inerte � tel qu'un fichier de musique mp3, par le serveur de livraison, le contenu dudit document est référencé dans la base de contrôle sous forme d'objetUVIL et donc illisible, on associe audit document un objet programmable tel qu'un objet compagnon auquel est appliqué l'agent de supervision renfermant au moins un script permettant de lire ledit contenu lorsque le serveur de contrôle envoie vers l'agent de supervision une autorisation de consultation de l'exemplaire. Cet objet compagnon contenant l'identifiant unique vérifie les droits en cours par requête AJAX adressée au serveur de contrôle, et télécharge l'objet: XML contenant le document si les droits le permettent et se l'attache comme objet associé XML sous forme de sous-arbre XML, publié par l'objet compagnon. Ainsi, lorsque le document visé par le procédé de publication, est un document � inerte �, c'est-à-dire dépourvu de programmes internes et donc non programmable, le procédé selon l'invention est alors appliqué à un objet programmable associé au document contenant l'identifiant unique, tel qu'un objet compagnon (� plugin �), tels que ceux connus sous les dénominations commerciales SilverLight de la société Microsoft, inséré dans une page d'un navigateur tel qu'Internet Explorer 7 (dénomination commerciale déposée) ou Mozilla Firefox 2 (dénomination commerciale déposée). De manière avantageuse, cet objet compagnon vérifie les droits en cours par requête AJAX adressée au serveur de contrôle, et et télécharge l'objet XML contenant le document si les droits le permettent et se l'attache comme objet associé XML sous forme de sous-arbre XML, publié par l'objet compagnon. Une fois le document accompagné attaché à l'objet compagnon, ce dit document tel qu'un fichier de musique de type mp3 peut être rejoué indéfiniment tant que la page contenant le logiciel compagnon est ouverte dans le navigateur. Au point de vue de la sécurité, la variante la plus sûre est le mode � déporté � où le document est conservé sur le serveur de livraison, puis le mode téléchargé standard, puis le mode téléchargé avec � ticket d'ouverture � car l'attaque de pirates peut porter sur le document lui-même et sur le ticket d'ouverture. De manière à mettre en oeuvre le procédé décrit dans la présente demande, la présente invention a également pour objet de proposer une plate-forme de publication de documents électroniques sécurisés. La plate-forme selon la présente invention permet à tout particulier ou entreprise de publier des documents électroniques sécurisés et interopérables sur un réseau public ou privé, tout en préservant les droits de propriété intellectuelle associés aux documents, et protégés contre les usages détournés. Les contenus peuvent être du texte, de l'image, des contenus multimédia. A cet effet, l'invention concerne une plate-forme de publication de documents électroniques sécurisés comprenant au moins un serveur de commande, un serveur de livraison et un serveur de contrôle, caractérisé en ce ,que la plate-forme comprend : une partie dite publique sur laquelle sont reçus et exposés en ligne les documents soumis par les éditeurs, avec leurs paramètres de publication, ladite partie publique comprenant un superviseur qui contrôle les chargements de documents à l'unité ou les 20 traitements batch qui chargent les documents à publier en masse, un serveur de commande optionnel qui référence les documents achetables par l'utilisateur final ainsi que une partie dite privée qui conserve les documents soumis par les éditeurs et les 25 propose en ligne aux lecteurs dans les conditions fixées par les éditeurs, ladite partie privée comprenant : un superviseur interne qui supervise les documents chargés dans un magasin des documents de référence, ainsi que le serveur de livraison et le serveur de contrôle. 30 Ainsi, l'éditeur ou diffuseur publie en ligne des documents sur la plate-forme tandis que les lecteurs ou utilisateurs finaux acquièrent en ligne les documents proposés sur la dite plate-forme. Ainsi, un utilisateur final accède au serveur de commande pour acheter un exemplaire d'un document, qui est une copie � particulière � d'un document de référence contenu dans le magasin des documents de référence. A cette copie du document de référence, on ajoute notamment un programme (agent de supervision) et un identifiant unique. Cet exemplaire est ensuite livré par le serveur de livraison et les droits de consultation attachés à cet exemplaire seront contrôlés par le serveur de contrôle ultérieurement, par exemple lors de l'ouverture de cet exemplaire. Ainsi, la plate-forme de publication permet de publier en ligne sur Internet ou sur un réseau privé, des documents interopérables, supportant la copie multiple sans préjudice pour les diffuseurs, et dont les droits d'usage sont contrôlés dynamiquement. On décrira maintenant l'invention plus en détail en référence au dessin dans lequel : la figure 1 représente schématiquement une plate-forme de publication selon l'invention ainsi que son mode de fonctionnement ; la figure 2 représente de manière schématique une page HT'ML du serveur de commande de la plate-forme selon l'invention ; la figure 3 représente de manière schématique un document généré selon 25 l'invention et la figure 4 représente la lecture d'un document en � mode déporté �. Comme on peut le voir à la figure 1, un lecteur 1, par le biais d'un réseau de 30 télécommunication 2, peut commander sur une plate-forme de publication des documents sécurisés, un ouvrage en le sélectionnant sur un serveur de commande 3 qui expose les liens vers des ouvrages téléchargeables, stockés dans un magasin 4 de la partie privée de ladite plate-forme de publication.20 Le lecteur 1 accède donc au serveur de commande 3, choisit un ouvrage référencé dans le magasin de référence 4, et le commande 101. Lors de cette commande, sont choisis ou spécifiés les droits numériques acquis par le lecteur 1. Ainsi, lors de la commande, le lecteur 1 a accès au magasin 4 de documents de référence par les objets qui référencent chaque document conservé dans la partie privée de la plate-forme de publication en ligne. La sélection de ces objets déclenche la distribution sécurisée du document référencé. L'objet peut prendre la forme d'un �bouton� B cliquable, qui est un formulaire HTML crypté, contenant les paramètres d'appel, ou d'un lien crypté contenant les paramètres d'appel. Ces liens et ces boutons sont envoyés à l'éditeur par messagerie pour qu'il les insère dans ses pages HTML, à la fin de la procédure de publication. Le chiffrement des paramètres du lien ou du bouton B est indispensable pour éviter les détournements d'usage malveillants. Le lien référençant chaque document exposable contient au moins : • L'URL du point d'entrée du service de livraison • Un paramètre crypté contenant la référence interne du document, 20 éventuellement les droits complémentaires, et des paramètres de contrôle. Le bouton référençant chaque document exposable est un formulaire qui contient : • L'URL du point d'entrée du service de livraison dans le paramètre � action � de la balise � form �. 25 • Un contrôle caché (de type � hidden �) ayant pour valeur cryptée la référence interne du document, éventuellement les droits complémentaires, et des paramètres de contrôle. • L'URL de l'image du bouton qui a pour fonction de soumettre le formulaire. 30 Ces liens et ces boutons peuvent figurer dans des articles classés par rubriques, et exposés en ligne, dans le serveur de commande 3 en ligne. Le serveur de commande en ligne est l'entité optionnelle 3 qui permet d'exposer en ligne tout ou partie des documents de la partie privée du système de publication. Elle expose notamment de façon structurée (figure 2), par exemple par rubrique p et article ayant un titre q, une présentation r, une vignette s, des extraits t, les différents boutons B ou liens relatifs aux documents référencés, ainsi que les conditions de publication et les prix associés v. Cette entité est optionnelle car les documents peuvent être exposés dans les pages HTML des éditeurs. Ainsi, comme on peut le voir à la figure 2, une page HTML du serveur de commande 3 peul: par exemple décrire un article qui, dans l'exemple, fait partie de la rubrique � histoire � p. Cette page présente le titre de l'ouvrage � Le siècle des Lumières � q, une vignette s représentant l'ouvrage, un texte court de présentation r, et éventuellement un lien vers un extrait long t. Cette page comporte en outre les conditions de publication u, dans lesquelles trois boutons B sont présents pour permettre d'acquérir à un certain prix v le document avec ou sans droit de copie ou d'impression. Les boutons B peuvent être remplacés par des liens URL. Le serveur de commande 3 peut faire partie de la plate-forme d[e publication selon l'invention, ou être hébergé directement chez le diffuseur. Néanmoins, la commande se fera toujours (figure 2) par le bouton B ou le lien référençant chaque document publié, comme indiqué ci-dessus. Le serveur de commande 3 envoie les informations de commande au serveur de livraison 5, ces informations comprenant au moins la référence de l'ouvrage commandé cryptée, telle qu'elle figure dans les renseignements envoyés (par le bouton ou le lien) au diffuseur en fin du processus de publication 102. La sélection en ligne d'un bouton B ou d'un lien appelle un script ou un service WEB sur le serveur de livraison 5 contenant au moins la référence du document souhaité. Le serveur de livraison génère alors l'exemplaire chiffré spécifique commandé par le lecteur 1. Chaque document sécurisé comme on peut le voir à la figure 3 est un objet comprenant • a . un identifiant unique • b . un contenu • c . des droits de consultation stockés dans un dispositif externe, par exemple une base de données, accessible par internet • d . des droits complémentaires d tels que droits de copie ou d'impression • e . un agent de supervision interne incluant les procédures de gestion des droits • f . une signature Le serveur de livraison 5 envoie les informations de contrôle au serveur de contrôle 6, comprenant au moins l'identifiant unique dudit exemplaire, et les informations de contrôle des droits, tels que la période de consultation, le nombre total de consultations et la fréquence quotidienne de consultation qui ont été acquis. L'exemplaire spécifique du document commandé sécurisé 7 est alors généré par le serveur de livraison 5 et téléchargé, par exemple, sur le poste du lecteur 1, où il est stocké. Le lecteur 1 peut en faire une copie privée supplémentaire à ce moment ou par la suite. Une fois, l'exemplaire spécifique sur son poste, le lecteur 1 souhaite le consulter. Cette consultation du document sécurisé est alors contrôlée par le serveur de contrôle 6 qui est en ligne sur le réseau 2. En vue d'une consultation, ledit exemplaire spécifique 7, par le biais de son agent de supervision, émet via le réseau 2 une requête spécifique vers le serveur de contrôle 6, chiffrée, contenant au moins son identifiant unique, et une variable aléatoire pour éviter le rejeu 201. En réponse, le serveur de contrôle 6 retourne l'autorisation de consultation dudit exemplaire 7, ou un refus de consultation, en fonction des droits en cours concernant l'ouvrage acquis par le lecteur 1, 202. Le document 7 est alors consultable dans l'afficheur choisi par le lecteur 1 ou n'est pas consultable selon la réponse reçue du serveur de contrôle 6, 203. Ce mode de lecture est appelé � mode téléchargé �. Selon une variante du procédé, le document sécurisé 1 (figure 4) peut être conservé sur le serveur de livraison, où il est référencé par un identifiant URL 301 qui lui, est transmis au lecteur suite à son achat. Ce lien est une adresse Internet activable partout dans le monde 302, ou une adresse privée, et ce mode de lecture est appelé � mode déporté �. Le document sécurisé m peut alors être affiché dans une console spécialisée composée d'un navigateur tel qu'Internet Explorer ou Mozilla Firefox k, incluant en tant qu'objet l'afficheur o, par exemple Acrobat Reader, qui contient lui-même le document sécurisé m spécialement traité pour communiquer avec le navigateur. Ce navigateur opère par � délégation � donnée par le document sécurisé. Il se charge de questionner le serveur de contrôle à la place du document sécurisé, par exemple par des requêtes AJAX 303 qui retournent les droits en cours 304. Il communique avec le dit document sécurisé via un gestionnaire de messages spécifique p. L'agent de supervision inclus dans le document sécurisé contient aussi un gestionnaire de messages n pour envoyer les requêtes au serveur de contrôle 303 par le moyen de messages envoyés au gestionnaire de message du navigateur p et recevoir les réponses obtenues 304 par le navigateur permettant la révélation du contenu du document sécurisé lorsque les droits du dit document sécurisés le permettent. Un tel document est seulement lisible dans la console spécialisée capable de transmettre ses requêtes au serveur de contrôle. Les procédures ou scripts de l'agent de supervision sont attachés aux mêmes événements internes de transition du document sécurisé que dans le mode � téléchargé �. Il existe une autre variante, qui permet de sauvegarder le document en � mode déporté � sur une machine locale. Les scripts de l'agent de supervision d'un tel document contiennent les scripts du mode �téléchargé� et les scripts du mode � déporté �. A l'ouverture d'un tel document, l'afficheur reconnaît si le contenant est un navigateur et active les scripts du mode � téléchargé � ou du mode � déporté � selon le cas. Le dit document est donc lisible dans les deux modes. Pour constituer le magasin des documents de référence 4, la publication d'un document électronique par un diffuseur est organisée en � cycle de vie �. Ce cycle de vie est un ensemble d'états par lesquels passe successivement le document à la suite de transitions relatives à chaque état. Une entité de supervision de la partie publique ou superviseur d'états public 7 connaît ainsi à tout moment l'état de chaque document, et les transitions valides relatives à chaque état. Il contraint le diffuseur qui souhaite publier à se conformer au cycle de vie d'un document. Le diffuseur associe des paramètres de publication, notamment durée, fréquence, nombre de consultations, droits de copie et d'impression, prix, présentation courte, extrait long, vignette, au document. Une fois, le paramétrage du document terminé, l'éditeur le valide et demande la publication à l'administrateur de la plate-forme ou le publie lui-même s'il en a le droit. Pendant la première partie du cycle de vie, le document est donc stocké dans la partie publique de la plate-forme de publication, et passe au moment de sa publication dans la partie privée de ladite plate-forme de publication. Le document est alors publié pendant une période fixée. A la fin de cette période le document est désactivé, puis supprimé automatiquement au-delà d'un certain temps. Les documents publiés sont stockés dans le magasin 4 de la partie privée de la plate-forme de publication en ligne et ne peuvent plus être atteints par les éditeurs, sauf pour une désactivation, ou une réactivation. Dans la partie publique de la plate-forme de publication, l'agent superviseur d'états public 7 contraint les éditeurs à se conformer au cycle de vie d'un document avant sa publication. La publication peut être effectuée directement dans le cas où la plate-forme est alimentée par batch, typiquement en fin de processus de création des documents destinés à la vente. Par exemple, le traitement batch peut renseigner dans une base de données les informations météo du jour. Dans ce cas, les bulletins météos sécurisés sont obtenus directement par les lecteurs à partir du serveur de commande. Le programme de génération des bulletins météo sécurisés remplit alors des fonds de page adéquats stockés dans le magasin des documents de référence avec les données météo du jour. Dans le cas de la publication d'un document particulier, la transition du document vers un état � publié � est faite par un traitement qui effectue le transfert du document de la partie publique du système de publication vers le magasin de la partie privée, ainsi que les transferts des fichiers annexes, comme vignette et extrait-long. Le système attribue au document un identifiant interne au système de publication, auquel sont associés les paramètres de publication, et les prix de vente au public. En fin de procédure de publication, la plate-forme envoie par messagerie au diffuseur les liens et les boutons cryptés, qui permettent de référencer le dit document dans le magasin des documents de référence, insérables dans toute page HTML. Dans le cas où l'exposition en ligne est intégrée au système de publication, l'article contenant les boutons et liens est créé automatiquement dans la rubrique voulue. Le superviseur d'états privé 8 qui se trouve dans la partie privée de la plate-forme de publication permet quant à lui, d'effectuer les modifications, suppressions et autres actions sur des documents dans le magasin 4 des documents de référence.30 On prévoit en outre un superviseur global 9 qui comprend le superviseur d'états public 7 et le superviseur d'états privé 8 et qui permet l'affichage de l'état de chaque document pour un compte d'éditeur donné. Lors de l'achat d'un document sécurisé, celui-ci peut être effectué sur le site de l'éditeur. L'éditeur qui a reçu directement la commande fait son affaire du règlement, et doit être identifié de façon sûre par signature des messages envoyés au service de livraison avec cryptage, avant de livrer le lecteur. On décrira maintenant un exemple de réalisation tel qu'une bibliothèque de location d'ouvrages en ligne. Tous les composants sont intégrés dans la même plate-forme d"intermédiation, qui regroupe éditeurs et lecteurs, sous le contrôle d'un service de modération. La réalisation s'appuie sur quatre bases de données séparées : 1) Première base de données : la base publique avec les tables permettant de gérer la partie publique du cycle de vie des documents, les comptes des éditeurs, et la fonction commande-facturation. 2) Deuxième base de données : la base privée avec les tables permettant de gérer la partie privée du cycle de vie d'un document, et la table contenant les informations nécessaires pour créer les exemplaires sécurisés commandés par les lecteurs. 3) Troisième base de données : la base de contrôle avec la table permettant de contrôler la consultation des documents sécurisés. 4) Quatrième base de données : la base du serveur de commande 30 permettant l'exposition en ligne des documents sécurisés. Cette base est fburnie par un gestionnaire de contenu tel que SPIP ou Joomla. L'interface avec le gestionnaire de contenu fait partie du système de publication, et doit s'adapter au gestionnaire utilisé. 20 25 Les paiements des lecteurs s'effectuent avant le téléchargement des documents sécurisés. Les éditeurs peuvent être réglés directement par les lecteurs sur leur compte Paypal ou par un moyen anonyme. Le service perçoit un abonnement par document chargé dans la bibliothèque, qui est la durée pendant laquelle le document est exposé en ligne et une commission par achat tenant compte de l'usage effectif de la plate-forme, notamment du nombre d'accès au serveur de contrôle. Par exemple, un éditeur qui vend 40 droits de consultation pour un ouvrage verse 10 une commission double de celui qui vend 20 droits de consultation. Cette commission est débitée du compte prépayé de l'éditeur. Chaque éditeur doit être connu du système de publication, avec son identité, son adresse, son adresse email commandant un compte bancaire externe au système de publication, et ses 15 données de facturation. L'ensemble est enregistré dans le fichier client du système de publication en ligne. La plate-forme peut être destinée à un seul diffuseur souhaitant publier des documents sécurisés en ligne. Dans ce cas, le modérateur, quand il existe, est 20 l'administrateur de la plate-forme. L'invention n'est pas limitée aux exemples décrits mais englobe les variantes prévues dans les revendications. Revendications 1. Procédé de publication de documents électroniques sécurisés en ligne, comprenant une étape de génération d'un exemplaire d'un document suite à la commande de ce document par un client sur un serveur de commande accessible depuis un réseau public ou privé de télécommunications tel qu'Internet, ledit exemplaire de document étant généré par un serveur de livraison accessible depuis le même réseau et renfermant le contenu du document commandé et les droits numériques complémentaires acquis par le client ainsi qu'un identifiant unique et un agent de supervision permettant la vérification des droits de consultation en cours au moment de la consultation de ce document ou d'une copie de ce dernier, par interrogation d'un' serveur de contrôle dans lequel les droits numériques sont stockés, ledit agent de supervision divulguant ou non le contenu du document en fonction de l'autorisation ou du refus du serveur de contrôle, caractérisé en ce que, lors de la génération du document par le serveur de livraison, le contenu dudit document est rendu par défaut illisible, l'agent de supervision renfermant au moins un script permettant de rendre lisible ledit contenu lorsque le serveur de contrôle envoie vers l'agent de supervision une autorisation de consultation de l'exemplaire. 2. Procédé de publication de documents sécurisés en ligne selon la revendication 1 caractérisé en ce qu'il génère un document selon les étapes consistant à : - recopier le document de référence élément par élément dans le document sécurisé, - rendre le contenu du document sécurisé illisible, soit en cryptant le contenu, soit en l'attachant à un calque caché, - attacher un identifiant unique, - attacher les procédures ou scripts de l'agent de supervision aux événements internes de transition du document sécurisé, 21- inscrire dans le document les droits complémentaires comme les droits de copier, d'imprimer, d'extraire, de commenter. - signer le tout pour éviter toute modification du document sécurisé. 3. Procédé de publication selon l'une des revendications 1 et 2, caractérisé en ce qu'il comporte en outre les étapes suivantes : une étape de commande dans laquelle le lecteur accède au serveur de commande (c), choisit un ouvrage référencé dans une base d'ouvrages sécurisés (d), et le commande, suite à ladite étape de commande, le serveur de commande envoie des informations de commande au serveur de livraison, comprenant au moins la référence de l'ouvrage commandé cryptée, puis le serveur de livraison envoie les informations de contrôle au serveur de contrôle (f), comprenant au moins l'identifiant unique du dit exemplaire, et les informations de contrôle des droits, telles que la période de consultation, le nombre total de consultations et la fréquence quotidienne de consultation, puis l'exemplaire spécifique du document commandé est généré par le serveur de livraison, et il est livré au lecteur. 4. Procédé selon la revendication 3, caractérisé en ce que l'exemplaire spécifique sécurisé du document commandé est livré par téléchargement sur le poste du lecteur où il est stocké. 5. Procédé selon la revendication 3, caractérisé en ce que l'exemplaire spécifique sécurisé du document est conservé sur le serveur de livraison, où il est référencé par un identifiant URL qui lui, est transmis au lecteur suite à son achat. 6. Procédé selon les revendications 3 à 5,caractérisé en ce que l'exemplaire spécifique sécurisé du document est conservé sur le serveur de livraison, où il est référencé par un identifiant URL qui lui, est transmis au lecteur suite à son achat et que, en outre, l'exemplaire sécurisé peut ensuite être téléchargé sur le poste du lecteur où il est stocké. 7. Procédé selon l'une des revendications 3 à 6, caractérisé en ce que, en fin de procédure de publication, on envoie par messagerie au diffuseur les liens et les boutons cryptés, qui permettent de référencer le dit document dans le magasin des documents de référence, insérables dans toute page HTML. 8. Procédé selon l'une des revendications 1 à 6, caractérisé en ce que, lors de la commande, le lecteur (1) a accès au magasin (4) des documents de référence et à chaque objet qui référence chaque document conservé, ledit objet pouvant avoir la forme d'un �bouton� (B) cliquable, qui est un formulaire HTML crypté, contenant les paramètres d'appel du document de référence, ou d'un lien crypté contenant les paramètres d'appel du document de référence. Le lien référençant chaque document conservé contient au moins : • l'URL du point d'entrée du service de livraison • un paramètre crypté contenant la référence interne du document, éventuellement les droits complémentaires, et des paramètres de contrôle Le bouton référençant chaque document conservé est un formulaire qui contient : • l'URL du point d'entrée ' du service de livraison dans le paramètre 25 � action � de la balise � form �. • un contrôle caché (de type � hidden �) ayant pour valeur cryptée la référence interne du document, éventuellement les droits complémentaires, et des paramètres de contrôle. • l'URL de l'image du bouton qui a pour fonction de soumettre le 30 formulaire. 9. Procédé selon les revendications 3 à 6,caractérisé en ce que, lors de la génération d'un document de type document � inerte � tel qu'un fichier de musique mp3, par le serveur de livraison, le contenu dudit document est référencé dans la base de contrôle sous forme d'objet XML et donc illisible, on associe audit document un objet programmable tel qu'un objet compagnon auquel est appliqué l'agent de supervision renfermant au moins un script permettant de lire ledit contenu lorsque le serveur de contrôle envoie vers l'agent de supervision une autorisation de consultation de l'exemplaire, cet objet . compagnon contenant l'identifiant unique vérifiant les droits en cours par requête AJAX adressée au serveur de contrôle, et téléchargeant l'objet XML contenant le document si les droits le permettent et se l'attachant comme objet associé XML sous forme de sous-arbre XML, publié par l'objet compagnon. 10. Procédé selon les revendications 3 à 4, caractérisé en ce qu'il est en mode � déconnecté �, dans lequel le document émet une requête au serveur de contrôle par internet ou réseau privé et conserve le document de réponse ouvert, appelé � ticket d'ouverture �, le document électronique recherchant ensuite d'abord le ticket d'ouverture, pour s'ouvrir ou pas en fonction de l'autorisation contenue dans le ticket, sans avoir besoin de se connecter au serveur de contrôle. 11. Document sécurisé publié selon le procédé de l'une des revendications 1 à 10, caractérisé en ce qu'il comporte : (a) un identifiant unique (b) un contenu rendu illisible (c) des droits de consultation (d) des droits complémentaires (e) un agent de supervision contenant les procédures de gestion des droits (f) une signature . 12. Plate-forme de publication de documents électroniques sécurisés comprenant au moins un serveur de commande, un serveur de livraison et un serveur de contrôle, caractérisé en ce que la plate-forme comprend :- une partie dite publique sur laquelle sont reçus et exposés en ligne les documents soumis par les éditeurs, avec leurs paramètres de publication, ladite partie publique comprenant - un superviseur qui contrôle les chargements de documents à l'unité ou les 5 traitements batch qui chargent les documents à publier en masse, - un serveur de commande optionnel qui référence les documents achetables par l'utilisateur final ainsi que - une partie dite privée qui conserve les documents soumis par les éditeurs et les 10 propose en ligne aux lecteurs dans les conditions fixées par les éditeurs, ladite partie privée comprenant : - un superviseur interne qui supervise les documents chargés dans un magasin des documents de référence, - le serveur de livraison et 15 - le serveur de contrôle.