# Hoe werkt het AS2-protocol? Het AS2-protocol (Applicability Statement 2) is een methode waarmee twee bedrijven EDI-bestanden rechtstreeks via internet uitwisselen, ondertekend, versleuteld en met ontvangstbevestiging. Het is beschreven in RFC 4130 van de IETF en gebruikt HTTP als transport. AS2 is niet aan een branche gebonden; in de auto-industrie wordt meestal [OFTP2](https://edi-service.eu/nl/kennisbank/oftp2/) gevraagd. Voor de koppeling hebt u AS2-software nodig, een AS2-ID, een certificaat en een adres dat vanaf internet bereikbaar is. ## Hoe het AS2-protocol werkt RFC 4130 verscheen in juli 2005 als “Proposed Standard”. De voorganger AS1 (RFC 3335) verstuurde bestanden per e-mail; AS2 past hetzelfde principe toe op HTTP. Een verzending verloopt zo: 1. Uw software verpakt het EDI-bestand, bijvoorbeeld een EDIFACT-factuur, in een MIME-bericht. 2. Ze ondertekent het bericht met uw privésleutel en versleutelt het met het openbare certificaat van de partner (S/MIME, dezelfde methode als bij beveiligde e-mail). 3. Ze stuurt het bericht met HTTP POST naar een vooraf afgesproken adres van de partner, bijvoorbeeld `https://as2.partner.example/as2`. 4. De software van de partner ontsleutelt, controleert de handtekening en stuurt een bevestiging terug, de MDN. Of de verbinding daarnaast met TLS is beveiligd (dus HTTPS in plaats van HTTP), spreken de partners af. Het bestand zelf is beschermd door ondertekening en versleuteling, ook als de verbinding geen TLS gebruikt. Of uw partner daarnaast HTTPS eist, staat in zijn handleiding. AS2 is een punt-tot-puntmethode. Er is geen tussenpersoon zoals bij een VAN (Value Added Network); de bestanden gaan rechtstreeks van server naar server. Een vergelijking met andere protocollen vindt u onder [EDI-communicatieprotocollen](https://edi-service.eu/nl/kennisbank/edi-communicatieprotocollen/). ## AS2-ID en partnerprofiel Elke kant heeft een AS2-ID. Die staat in de HTTP-headers `AS2-From` en `AS2-To` en geeft aan van wie het bericht komt en voor wie het bestemd is. Volgens RFC 4130 bestaat de AS2-ID uit 1 tot 128 afdrukbare ASCII-tekens, en hoofdletters en kleine letters tellen. Als waarde is een bestaand nummer geschikt; RFC 4130 noemt als voorbeeld het DUNS-nummer, de GLN kan ook. Meer daarover onder [GLN en andere identificaties](https://edi-service.eu/nl/kennisbank/gln-locatiecode/). Een volledig partnerprofiel voor AS2 bevat: | Gegeven | Voorbeeld (fictief) | |---|---| | eigen AS2-ID en die van de partner | `9520000000011` en `PARTNERAS2` | | adres (URL) van de partner | `https://as2.partner.example/as2` | | certificaat van de partner voor versleuteling en controle van de handtekening | bestand `partner.cer` | | algoritmen voor ondertekening en versleuteling | bijvoorbeeld SHA-256 en AES | | MDN: ondertekend of niet, synchroon of asynchroon | ondertekend, synchroon | | testadres en productieadres | vaak twee aparte URL's | De waarden staan in de EDI-handleiding van uw klant of in zijn aanmeldformulier. Ontbreekt een gegeven, vraag het dan na in plaats van te gokken. ## Certificaten uitwisselen AS2 gebruikt X.509-certificaten. Volgens RFC 4130 mogen de partners zelfondertekende certificaten gebruiken; een certificaatautoriteit is niet verplicht. In de praktijk maakt elke kant een sleutelpaar aan en stuurt de andere het openbare certificaat, meestal per e-mail of via een portaal. De privésleutel blijft altijd bij u. Certificaten verlopen. Nieuwe certificaten moeten ruim voor de vervaldatum worden uitgewisseld, anders mislukt de controle van de handtekening of de ontsleuteling. Plan daarvoor een vaste datum en bewaking in. ## De MDN als ontvangstbevestiging, synchroon of asynchroon De MDN (Message Disposition Notification) is de ontvangstbevestiging. Is ze ondertekend, dan bevat ze een controlewaarde over het ontvangen bericht (MIC, Message Integrity Check). Daarmee kunt u aantonen dat precies dit bestand ongewijzigd is aangekomen. Bij de synchrone variant komt de MDN terug als antwoord op dezelfde HTTP-aanroep. Dat is eenvoudig, omdat er geen tweede verbinding nodig is. Bij zeer grote bestanden kan de verbinding echter een time-out krijgen voordat de ontvanger klaar is. Bij de asynchrone variant bevestigt de ontvanger de HTTP-aanroep direct en stuurt hij de MDN later via een eigen verbinding naar een adres dat de afzender opgeeft in de header `Receipt-Delivery-Option`. Daarvoor moet ook de afzender vanaf internet bereikbaar zijn. ## Typische fouten bij AS2-koppelingen - AS2-ID verkeerd geschreven: omdat hoofdletters tellen, is `Partneras2` een andere ID dan `PARTNERAS2`. - Verkeerd of verlopen certificaat: de partner heeft een nieuw certificaat, uw software gebruikt nog het oude. - Firewall: het adres is vanaf internet niet bereikbaar, of de poort van de partner is uitgaand geblokkeerd. - MIC klopt niet: de algoritmen aan beide kanten komen niet overeen, de MDN wordt als ongeldig verworpen. - Asynchrone MDN komt niet aan, omdat het retouradres intern is of wordt geblokkeerd. - Test en productie verwisseld: testbestanden komen in het productiesysteem van de partner terecht of omgekeerd. De meeste van deze fouten komen bij de eerste verbindingstest aan het licht. Daarom gaat aan elke productie een test met testbestanden vooraf, tot bestand en MDN in beide richtingen goed werken. ## Wat AS4 anders doet dan AS2 AS4 is een jongere methode van de normalisatieorganisatie OASIS, sinds 23 januari 2013 OASIS-standaard. Volgens de standaard is het ontstaan om voort te bouwen op het succes van AS2. Ten opzichte van AS2 noemt OASIS drie vernieuwingen: AS4 sluit aan op de webservicestandaarden (ebMS 3.0 op basis van SOAP), berichten kunnen worden opgehaald (“pull”), en bevestigingen zijn standaard ingebouwd. Een belangrijk toepassingsgebied is Peppol, een netwerk onder meer voor elektronische facturen: volgens de Peppol-specificatie verloopt de uitwisseling tussen de toegangspunten (access points) via AS4. Wat dat voor e-facturen betekent, legt [EDI, WebEDI en e-factuur](https://edi-service.eu/nl/kennisbank/edi-webedi-e-factuur/) uit. ## AS2 bij edi-service.eu AS2 hoort bij edi-service.eu tot de communicatieprotocollen, naast OFTP2, SFTP, HTTPS en e-mail, inkomend en uitgaand met MDN. De software draait op uw eigen server; die heeft daarvoor een vast adres en een inkomende HTTPS-poort nodig. Een eigen Peppol-aansluiting (AS4) bieden wij niet. Wat in de prijs is inbegrepen, staat bij de [veelgestelde vragen](https://edi-service.eu/nl/veelgestelde-vragen/). ## Veelgestelde vragen ### Wat is het verschil tussen AS2 en SFTP? AS2 ondertekent en versleutelt elk bestand en levert met de MDN een ontvangstbevestiging. SFTP verstuurt bestanden over een versleutelde SSH-verbinding, een inhoudelijke bevestiging is daarbij niet aanwezig. Welk protocol u gebruikt, bepaalt meestal uw klant. ### Heb ik voor AS2 een gekocht certificaat nodig? Niet per se. RFC 4130 staat zelfondertekende certificaten toe. Sommige partners eisen wel een certificaat van een bepaalde certificaatautoriteit; dat staat dan in hun handleiding. ### Is een synchrone of een asynchrone MDN beter? Synchroon is eenvoudiger en volstaat bij gangbare bestandsgroottes. Asynchroon loont bij grote bestanden of lange verwerking, maar vereist dat ook uw systeem van buitenaf bereikbaar is. Meestal schrijft de partner de variant voor. ### Is AS2 verouderd nu er AS4 is? Nee. RFC 4130 geldt ongewijzigd, en AS2 blijft in gebruik voor directe verbindingen tussen handelspartners. AS4 komt u vooral tegen in netwerken zoals Peppol. Welke methode u nodig hebt, staat in de handleiding van uw partner. Hebt u een AS2-handleiding van uw klant en wilt u weten of de koppeling bij edi-service.eu past? [Aanvraag indienen](https://edi-service.eu/nl/aanvraag/) ## Bronnen - RFC Editor: “RFC 4130: MIME-Based Secure Peer-to-Peer Business Data Interchange Using HTTP, Applicability Statement 2 (AS2)”, (geraadpleegd 16-10-2026) - RFC Editor: “RFC 3335: MIME-based Secure Peer-to-Peer Business Data Interchange over the Internet”, (geraadpleegd 16-10-2026) - OASIS: “AS4 Profile of ebMS 3.0 Version 1.0”, OASIS Standard van 23-01-2013, (geraadpleegd 16-10-2026) - OpenPeppol: “Peppol AS4 Profile”, (geraadpleegd 16-10-2026)