Carte d’identité électronique : la puce ne suffit pas

L’erreur est fréquente, y compris dans les documents de stratégie : un pays qui délivre des cartes d’identité électroniques serait, de ce fait, doté d’une identité numérique. La carte porte une puce, la puce contient des données signées et parfois des certificats d’authentification ; le reste suivrait. Dans la pratique, beaucoup de ces cartes ne sont jamais lues électroniquement. Au guichet, on regarde la photo, on recopie le numéro, et la puce reste un composant coûteux dont personne ne se sert.

La raison est simple : la puce n’est qu’un maillon. Sa valeur dépend de quatre autres, en amont et en aval.

• Registre sourceétat civil et population
• Enrôlementvérification de la personne
• Émission signéeinfrastructure de clés
• Lecture et vérificationguichets et services en ligne
• Révocationperte, vol, décès

En amont : la qualité de ce que la puce certifie

Une puce signe des données ; elle ne les rend pas exactes. Si l’identité inscrite provient d’un registre d’état civil incomplet, ou d’une déclaration non vérifiée lors de l’enrôlement, la carte certifie avec une grande solidité cryptographique une information fragile. Les doublons, les dates de naissance approximatives, les actes jamais transcrits se retrouvent dans le titre. C’est pourquoi les programmes les plus solides commencent par l’état civil et le registre de la population, avant de choisir un format de carte.

Au cœur : les certificats et leur gestion

Les données de la puce sont signées par l’autorité émettrice. Pour qu’un tiers puisse vérifier cette signature, il doit disposer du certificat de l’émetteur et pouvoir s’y fier. Pour les documents de voyage, l’Organisation de l’aviation civile internationale (OACI) organise ce partage à travers sa spécification Doc 9303 et son répertoire de clés publiques. Pour une carte nationale utilisée dans les services en ligne, il faut en plus une infrastructure capable de délivrer, renouveler et révoquer des certificats d’authentification, avec une organisation qui fonctionne tous les jours, pas seulement au lancement.

En aval : qui lit la puce, et avec quoi ?

C’est le maillon le plus souvent oublié. Pour qu’une banque, un hôpital ou une mairie vérifie la puce, il faut des lecteurs, un logiciel de vérification, une formation des agents, et une procédure qui dise quoi faire quand la vérification échoue. Pour l’usage en ligne, il faut un moyen de lire la carte depuis un ordinateur ou un téléphone, et des services raccordés à un fournisseur d’authentification. Sans ces investissements, souvent absents des budgets initiaux, la carte reste un document visuel.

La révocation pose la même question. Une carte déclarée volée doit pouvoir être reconnue comme telle par ceux qui la vérifient. Cela suppose une liste à jour, accessible, et des vérificateurs qui la consultent effectivement.

Ce que montre l’exemple européen

Le règlement (UE) 2019/1157 a harmonisé la sécurité des cartes d’identité dans l’Union. Depuis le 2 août 2021, les nouvelles cartes doivent comporter un support de stockage contenant l’image faciale et deux empreintes digitales, selon les spécifications de l’OACI. Ce texte traite la sécurité du titre lui-même ; l’usage de la carte comme moyen d’identification en ligne relève d’un autre cadre, celui d’eIDAS, révisé en 2024. La distinction est utile pour tout pays qui conçoit son programme : sécuriser un titre et créer une identité numérique utilisable sont deux projets liés, mais différents, avec des budgets et des gouvernances distincts.

Pour la suite, nous avons détaillé dans une note précédente ce qu’eIDAS 2 change pour les services en ligne. Pour les administrations qui veulent fiabiliser le registre avant tout, notre solution État civil part précisément de ce maillon.

1. Règlement (UE) 2019/1157 du Parlement européen et du Conseil du 20 juin 2019 relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des documents de séjour, Journal officiel de l’Union européenne.
2. Organisation de l’aviation civile internationale, Doc 9303, Documents de voyage lisibles à la machine.
3. Banque mondiale, initiative Identification for Development (ID4D).