Pourquoi le Mobilithek allemand est difficile à intégrer — et comment NAPSPAN s'en charge

Mobilithek est le point d'accès national allemand — le hub fédéral pour les données de trafic, de mobilité et de recharge AFIR, exploité par T-Systems pour le compte du BMDV. Depuis le retrait opérationnel du MDM (Mobility Data Marketplace) au 1^er semestre 2025, Mobilithek est le point d'entrée canonique pour toute intégration de mobilité allemande en production. À partir du 14 avril 2026, DATEX II y devient le format d'échange obligatoire.

La plupart des API publiques utilisent une clé API. Pas Mobilithek. Elle utilise une authentification par certificat client TLS (mTLS) : votre client présente un certificat X.509 pendant la poignée de main TLS, et le broker décide si vous pouvez tirer ou recevoir des push.

Cela bloque presque toutes les premières intégrations. Pas d'en-tête Authorization: Bearer .... Pas de clé API. Et comme la décision d'accès se prend pendant la poignée de main TLS, un client mal configuré n'obtient pas un propre 401 Unauthorized — il obtient une erreur de connexion générique qui ressemble à une panne réseau, vous envoyant chercher au mauvais endroit pendant un long après-midi de débogage.

Pourquoi la première intégration fait mal

Le problème n'est pas que mTLS soit exotique — c'est une technologie bien comprise. Le problème, c'est que les pièces mobiles se trouvent en dehors de la requête que vous essayez de faire, à des endroits auxquels une intégration HTTP normale n'a jamais à penser.

L'émission du certificat est hors bande. Avant de pouvoir faire le moindre appel, vous enregistrez une organisation comme consommateur de données, vous vous faites valider (cela prend des jours, pas des minutes), et vous échangez, via un portail d'administration, une demande de signature de certificat contre un certificat client émis. Rien de tout cela n'est dans votre code ; et tout cela doit être correct avant que votre code puisse fonctionner.

Une poignée de main échouée ne ressemble pas à un échec d'authentification. Avec une clé API, une identification erronée donne un 401 ou un 403 et un message qui pointe vers le problème. Avec mTLS, le broker peut couper une connexion qui présente le mauvais certificat, un certificat expiré ou un certificat émis pour un autre environnement — et les trois apparaissent comme le même vague « connection reset » ou « EOF ». L'erreur ne vous dit rien sur laquelle des dizaines de causes possibles vous avez touchée.

Les modes d'échec s'empilent. Même une fois la poignée de main réussie, une requête peut encore être rejetée parce que le certificat n'est pas autorisé pour le jeu de données précis que vous avez demandé, ou parce que ce jeu de données a été retiré et migré ailleurs. Chacun est un problème distinct avec un correctif distinct, et aucun n'est devinable de l'extérieur.

Les certificats expirent selon un calendrier dont personne ne vous rappelle l'échéance. Le renouvellement est manuel et hors bande, tout comme l'émission. Un flux qui a tourné proprement pendant des mois peut s'éteindre du jour au lendemain, et le symptôme — une poignée de main coupée — est identique à la mauvaise configuration du premier jour que vous avez déjà déboguée.

Et puis il y a la charge utile elle-même : ce qui revient, c'est du XML DATEX II, le standard européen pour l'information trafic et voyage. S'authentifier n'est que le droit d'entrée ; il faut encore parser le standard, le mapper sur votre propre modèle et faire un diff entre les récupérations successives pour suivre le cycle de vie de chaque incident — nouvelle gravité, heure de fin estimée révisée, archivage à la résolution.

Pourquoi vous ne devriez pas avoir à vous en occuper

Mobilithek n'est que l'un des 30+ points d'accès nationaux que NAPSPAN agrège — et l'un des plus pénibles à onboarder. Chaque NAP a sa propre version de tout cela : un schéma d'authentification différent, une enveloppe différente, un lot d'idiosyncrasies qui ne se révèlent qu'après une semaine passée dessus. Multipliez par 30 pays et le plan « il suffit d'appeler l'API » cesse d'être un plan.

NAPSPAN absorbe ce travail pour que vous ne le voyiez jamais. Nous détenons le compte consommateur Mobilithek, gérons les certificats client et leurs renouvellements, interrogeons les bons jeux de données, parsons le DATEX II et suivons le cycle de vie de chaque incident — puis nous livrons le résultat comme toute autre source : via une seule clé API normale, en HTTPS classique, dans un schéma cohérent à travers les 30+ pays.

De votre côté, les données des autoroutes allemandes ne sont qu'une requête de plus — de la même forme que les données de tous les autres pays que nous couvrons. Aucun certificat à demander, aucune poignée de main à déboguer, aucun renouvellement à noter, aucun parser DATEX II à maintenir.

• Carte en direct — explorer les données visuellement
• Documentation API — référence complète des endpoints
• Portail développeur — s'inscrire et obtenir une clé API

La conception mTLS de Mobilithek est saine — le coût n'est pas la cryptographie, mais la configuration hors bande, les échecs opaques et la maintenance continue que chacun des 30+ points d'accès nationaux ajoute à sa manière. C'est précisément ce travail que NAPSPAN existe pour vous retirer des mains.