Authentifier les usagers des services publics : options et compromis

Votre service a-t-il besoin de savoir qui est l’usager, ou seulement que c’est la même personne qu’hier ? La question paraît théorique. Elle décide pourtant de presque tout dans l’authentification des usagers : le coût du dispositif, le nombre de personnes qui resteront à la porte, et la valeur juridique de ce qui sera fait en ligne.

Ce guide s’adresse aux directions de services publics, aux ministères et aux collectivités qui ouvrent ou refondent des démarches en ligne. Il ne recommande pas une technologie ; il donne une façon de choisir.

Trois notions à ne pas confondre

Beaucoup de débats sur l’authentification tournent en rond parce qu’ils mélangent trois opérations distinctes.

L’enrôlement (ou vérification d’identité) a lieu une fois : on établit que la personne qui crée un compte est bien celle qu’elle prétend être. Cela peut aller d’une simple adresse électronique confirmée à un contrôle de pièce d’identité en face à face.

L’authentification a lieu à chaque connexion : on vérifie que la personne qui se présente est celle qui détient le compte. C’est le mot de passe, le code, la clé.

Le niveau de garantie combine les deux. Le règlement européen eIDAS en distingue trois, faible, substantiel et élevé, définis par un règlement d’exécution de 2015. Un compte protégé par la meilleure clé du marché ne vaut rien si n’importe qui a pu le créer au nom d’un autre.

Les options disponibles

Le mot de passe seul

Universel, gratuit, compris de tous. Il est aussi le maillon faible : réutilisé d’un site à l’autre, deviné, volé par hameçonnage. Il reste acceptable pour des démarches sans enjeu, à condition d’appliquer les recommandations de l’ANSSI ou du NIST sur sa longueur, la détection des mots de passe compromis et la limitation des tentatives.

Le code à usage unique par SMS ou courriel

C’est le second facteur le plus répandu, parce qu’il ne demande rien de plus qu’un téléphone ordinaire. Il bloque une grande partie des attaques opportunistes. Il ne résiste pas à un attaquant qui obtient une nouvelle carte SIM au nom de la victime, ni à une page d’hameçonnage qui relaie le code en temps réel. Le NIST classe d’ailleurs le SMS parmi les authentificateurs « restreints ».

L’application d’authentification

Une application génère un code temporaire à partir d’un secret partagé lors de l’enrôlement. Plus robuste que le SMS, elle suppose un smartphone et un peu d’aisance numérique, et pose la question de la récupération quand le téléphone est perdu.

Les clés d’accès et clés de sécurité

Les standards de la FIDO Alliance et la spécification WebAuthn du W3C permettent une authentification par cryptographie à clé publique : le secret ne quitte jamais l’appareil, et il est lié au site légitime, ce qui neutralise l’hameçonnage. Les clés d’accès (passkeys), désormais prises en charge par les principaux systèmes d’exploitation, rendent ce mécanisme accessible sans matériel dédié. Leur limite est le parc d’appareils : un téléphone ancien ou partagé n’en tire pas parti.

La fédération d’identité

Plutôt que de gérer ses propres comptes, le service délègue l’authentification à un fournisseur d’identité reconnu : un fédérateur national comme FranceConnect en France, un système d’identité numérique national ailleurs, demain le portefeuille européen d’identité prévu par eIDAS 2. Le service hérite du niveau de garantie du fournisseur, sans stocker de mots de passe. Il en hérite aussi la disponibilité : si le fournisseur tombe, la démarche s’arrête.

La carte d’identité électronique

Une carte à puce, lue par un lecteur ou par le sans contact d’un téléphone, offre le niveau de garantie le plus élevé. Encore faut-il que la population en soit équipée, que les puces soient activées et que les usagers sachent s’en servir.

Le parcours assisté

Un agent au guichet, un médiateur numérique, un proche disposant d’un mandat. Ce n’est pas une technologie, mais c’est une option à part entière, et souvent la seule pour une partie de la population. Elle doit être prévue, tracée et sécurisée comme les autres.

Les compromis à arbitrer

Sécurité contre inclusion. Chaque cran de sécurité exclut quelqu’un. Exiger une clé d’accès pour toutes les démarches, c’est fermer la porte aux usagers sans smartphone récent. Ne demander qu’un mot de passe, c’est exposer les comptes des plus vulnérables, qui sont aussi les cibles préférées de la fraude aux prestations.

Mutualisation contre dépendance. Un fédérateur national réduit les coûts et simplifie la vie des usagers. Il crée aussi un point unique de défaillance et une dépendance à un tiers dont le service ne maîtrise ni le calendrier ni les conditions.

Robustesse contre récupération. Plus le moyen d’authentification est fort, plus la procédure de récupération devient le point d’attaque. Un compte protégé par une clé, mais récupérable par un simple courriel, a le niveau de sécurité du courriel.

La sécurité d’un compte est celle de sa procédure de récupération, pas celle de sa porte d’entrée.

Données contre vie privée. Certains dispositifs, comme la vérification biométrique à distance, collectent des données sensibles. Leur usage doit être justifié par un risque réel, encadré par une analyse d’impact et limité à ce qui est nécessaire.

Trois angles morts fréquents

La représentation. Beaucoup de démarches ne sont pas faites par la personne concernée : un parent pour son enfant, un tuteur pour une personne protégée, un comptable pour une entreprise, un proche pour une personne âgée. Si le dispositif ne prévoit pas de mandat explicite, les usagers partagent leurs identifiants, et toute la traçabilité disparaît. Un mandat numérique, limité dans son objet et dans le temps, révocable, est souvent plus utile qu’un facteur d’authentification supplémentaire.

Les agents eux-mêmes. L’attention se porte sur les usagers, alors que les comptes des agents qui traitent les dossiers ouvrent des droits bien plus étendus. Un agent qui peut modifier un état civil ou une coordonnée bancaire de versement devrait s’authentifier au moins aussi fortement que l’usager le plus exigeant, avec des droits limités à ce que sa fonction exige.

La preuve. Authentifier ne suffit pas : il faut pouvoir montrer, des mois plus tard, qui s’est connecté, avec quel moyen, à quel niveau de garantie, et ce qu’il a fait. Cette journalisation, protégée contre la modification, est ce qui permet d’instruire une contestation ou une fraude. Elle se conçoit avec le dispositif, pas après le premier litige.

Décider en cinq étapes

1. Classer les démarches par risquePour chacune, évaluer ce que coûterait une usurpation : pour l’usager, pour l’administration, pour un tiers. En déduire le niveau de garantie nécessaire, démarche par démarche.
2. Connaître sa populationTaux d’équipement en téléphone et en smartphone, couverture réseau, détention d’une pièce d’identité électronique, langues, situations de handicap. Ces données existent souvent auprès des régulateurs des télécommunications ou des instituts statistiques.
3. Privilégier l’existantUn fédérateur ou un système d’identité national couvre-t-il le niveau de garantie visé ? Si oui, s’y raccorder ; sinon, documenter pourquoi.
4. Dessiner tous les parcoursLe parcours principal, le parcours assisté, le parcours de récupération, le parcours de mandat. Chacun avec son niveau de garantie et ses contrôles.
5. Mesurer et ajusterTaux d’abandon à l’authentification, demandes d’assistance, fraudes détectées. Revoir le dispositif chaque année, et à chaque nouvelle démarche sensible.

Par où commencer

Pour l’authentification des usagers, le premier livrable utile n’est pas un appel d’offres
, c’est une matrice d’une page : les démarches en lignes, les niveaux de garantie en colonnes, et pour chaque case le moyen retenu et le parcours alternatif. Elle suffit souvent à révéler qu’une démarche sensible est protégée par un simple mot de passe, et qu’une démarche anodine impose un contrôle d’identité inutile.

Notre expertise identité numérique aide à construire cette matrice et à choisir les briques adaptées. Lorsque le registre lui-même doit être consolidé, notre produit État civil part de là : des actes fiables avant des comptes en ligne.

Questions fréquentes

Le code reçu par SMS est-il suffisant ?

Il améliore nettement un mot de passe seul, mais il reste exposé à la substitution de carte SIM et à l'hameçonnage en temps réel. Il convient à des démarches à risque modéré ; pour les démarches sensibles, une application d'authentification, une clé d'accès ou un moyen d'identification électronique de niveau élevé sont préférables.

Faut-il construire son propre système d'authentification ?

Rarement. Lorsqu'un fédérateur d'identité national existe, s'y raccorder évite de gérer des millions de mots de passe et offre aux usagers un compte unique. Un système propre se justifie surtout lorsqu'aucune solution nationale n'existe ou qu'elle ne couvre pas la population visée.

Comment authentifier les personnes qui n'ont pas de téléphone ?

En prévoyant au moins un parcours alternatif : guichet assisté, médiateur habilité, code remis en main propre ou par courrier, mandat donné à un proche. L'exclusion numérique se traite dès la conception, pas par exception.

Qu'est-ce qu'un niveau de garantie ?

C'est le degré de confiance que l'on peut accorder à une identité électronique. Le cadre européen eIDAS en définit trois (faible, substantiel, élevé), selon la rigueur de la vérification initiale de l'identité et la robustesse du moyen d'authentification.