Niveaux de garantie faible, substantiel, élevé : lequel exiger ?
Exiger le niveau élevé partout ferme la porte à une partie des usagers ; se contenter du niveau faible expose à l'usurpation. Comparer les trois niveaux de garantie critère par critère permet de choisir démarche par démarche.
Faut-il exiger le niveau de garantie élevé pour demander un extrait d’acte de naissance en ligne ? Pour consulter ses remboursements de santé ? Pour signer un contrat de prêt ? La question revient dans chaque projet de service numérique, et la réponse spontanée (« le plus haut possible, par prudence ») est rarement la bonne. Les niveaux de garantie d’identité définis par le règlement européen eIDAS forment une échelle à trois degrés. Chacun a un coût, pour l’organisation comme pour l’usager. Ce comparatif les met côte à côte, sur les mêmes critères, puis propose une méthode pour choisir.
Une même grille pour trois niveaux
Le règlement (UE) n° 910/2014, dit eIDAS, distingue trois niveaux de garantie des moyens d’identification électronique : faible, substantiel et élevé. Son règlement d’exécution (UE) 2015/1502 fixe les spécifications minimales de chacun. Il ne raisonne pas seulement sur le moment de la connexion : il évalue l’ensemble de la vie du moyen d’identification, selon quatre familles de critères.
Ces familles sont au nombre de quatre : l’enrôlement (la demande, la preuve et la vérification de l’identité), la gestion du moyen (sa délivrance, son activation, sa suspension et sa révocation), l’authentification (les facteurs utilisés et leur résistance aux attaques) et l’organisation du fournisseur (sécurité, audits, conservation des preuves).
C’est le point le plus souvent oublié : un dispositif de connexion robuste, adossé à une vérification d’identité sommaire, ne vaut pas mieux que cette vérification. Le niveau global d’un moyen d’identification est celui de son maillon le plus faible.
Le comparatif, critère par critère
Le tableau résume les exigences du règlement d’exécution en termes simples. Il ne remplace pas le texte, qui reste la référence pour une évaluation formelle.
| Critère | Faible | Substantiel | Élevé |
|---|---|---|---|
| Objectif | Réduire le risque d’usurpation | Le réduire substantiellement | Empêcher l’usurpation et l’altération de l’identité |
| Vérification à l’enrôlement | La personne détient une preuve d’identité reconnue, sans contrôle poussé de son authenticité | La preuve est vérifiée comme authentique et valide, par exemple auprès d’une source faisant autorité | Vérification renforcée, avec contrôle que la personne est bien celle de la preuve (photo ou caractéristique biométrique), en présence ou par un procédé équivalent |
| Facteurs d’authentification | Un facteur peut suffire | Au moins deux facteurs de catégories différentes | Au moins deux facteurs, avec un élément matériel protégé |
| Résistance aux attaques | Attaquant aux moyens élémentaires renforcés | Attaquant aux moyens modérés | Attaquant aux moyens élevés |
| Délivrance du moyen | Remise sans exigence particulière de contrôle | Remise à la personne concernée, avec vérification | Remise contrôlée, généralement en main propre ou par un canal sécurisé équivalent |
| Exemples de dispositifs | Compte avec mot de passe et adresse électronique | Application mobile liée à une identité vérifiée à distance, avec code ou biométrie locale | Carte d’identité à puce avec code, portefeuille européen d’identité numérique |
| Effort pour l’usager | Très faible | Modéré, surtout à l’inscription | Plus élevé : équipement compatible, démarche initiale en présence ou équivalente |
| Risque d’exclusion | Faible | Moyen pour les personnes sans téléphone récent ou sans document valide | Plus marqué si aucun accompagnement ni voie alternative n’est prévu |
Une comparaison utile avec le cadre américain : les recommandations NIST SP 800-63-3 séparent la vérification d’identité (niveaux IAL) de l’authentification (niveaux AAL). eIDAS les combine en un seul niveau. La lecture américaine aide pourtant à poser le bon diagnostic : on peut avoir un excellent second facteur et une vérification d’identité faible, et c’est alors la vérification qu’il faut améliorer.
Lequel exiger : partir du préjudice
Le choix du niveau n’est pas une question de technologie mais d’analyse de risque. Pour chaque démarche, on se demande ce qui se passerait si quelqu’un d’autre que l’usager l’accomplissait à sa place.
Le préjudice est-il réversible ? Une demande d’information erronée se corrige ; un changement de coordonnées bancaires détourné, beaucoup moins. La démarche produit-elle un effet juridique ? Une déclaration, une signature, une modification d’état civil engagent davantage qu’une consultation. Quelles données sont exposées ? Des données de santé, des données financières ou des informations sur des tiers (enfants, conjoint) appellent un niveau plus élevé. Un texte impose-t-il un niveau ? Certaines démarches ont un niveau fixé par la réglementation nationale ou sectorielle ; il s’impose alors.
- Usurpations et fraudes sur les démarches sensibles
- Contestations difficiles à trancher faute de preuve
- Contrôles a posteriori coûteux pour les agents
- Abandon des usagers sans équipement compatible
- Report vers les guichets et le téléphone
- Coût d’intégration et d’accompagnement disproportionné
En pratique, une répartition raisonnable ressemble souvent à ceci, sous réserve des règles nationales. Le niveau faible convient à la consultation d’informations peu sensibles et aux démarches sans effet juridique. Le niveau substantiel couvre la majorité des démarches administratives et des opérations courantes sur un compte : il est en Europe le niveau de référence de nombreux services publics, et en France, FranceConnect+ a été conçu pour les démarches qui l’exigent. Le niveau élevé se réserve aux actes à fort enjeu, aux accès aux données les plus sensibles et aux opérations sur l’identité elle-même.
Un point de vigilance : le niveau exigé à la connexion ne protège rien si la récupération de compte est plus faible. Un parcours « mot de passe oublié » qui se contente d’un courriel ramène l’ensemble au niveau faible. Il faut évaluer le parcours complet, y compris la réinitialisation, le changement de téléphone et la révocation.
Trois erreurs fréquentes
Confondre le niveau du moyen et celui du parcours. Un usager connecté au niveau substantiel puis laissé sur une session ouverte plusieurs heures, sur un poste partagé, n’est plus protégé au même degré. La durée de session et la réauthentification avant une action sensible font partie de la décision.
Oublier la qualité de la source. La vérification d’identité à l’enrôlement s’appuie sur un document ou un registre. Si l’état civil est incomplet, si des personnes n’ont jamais reçu de document d’identité, le niveau affiché repose sur une base fragile. C’est particulièrement vrai dans les pays où l’enregistrement des naissances reste partiel, comme le rappellent régulièrement les travaux de l’initiative ID4D de la Banque mondiale. Fiabiliser les registres est la première étape, et c’est l’objet de notre produit État civil.
Supprimer toute alternative. Un service accessible uniquement au niveau élevé, sans guichet ni accompagnement, transforme une exigence de sécurité en exclusion. Les personnes âgées, les personnes en situation de handicap, celles qui n’ont pas de téléphone compatible doivent conserver une voie d’accès, éventuellement avec un tiers de confiance ou en présence d’un agent.
Notre recommandation
Établir, pour chaque démarche, une fiche courte : préjudice en cas d’usurpation, effet juridique, données exposées, texte applicable, niveau retenu, voie alternative. Cette fiche se défend devant une direction, un délégué à la protection des données ou un auditeur, et elle se révise quand les moyens d’identification disponibles évoluent, ce qui sera le cas avec l’arrivée du portefeuille européen d’identité numérique. Pour replacer ce choix dans l’ensemble d’une stratégie d’identité, notre dossier de référence sur l’identité numérique et notre guide pour authentifier les usagers des services publics complètent ce comparatif. Notre expertise identité numérique aide à conduire cette analyse démarche par démarche.
- Règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance (eIDAS), article 8, Journal officiel de l’Union européenne.
- Règlement d’exécution (UE) 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d’identification électronique.
- Règlement (UE) 2024/1183 modifiant le règlement (UE) n° 910/2014 en ce qui concerne l’établissement du cadre européen relatif à une identité numérique.
- NIST, Special Publication 800-63-3, Digital Identity Guidelines.
- Banque mondiale, initiative Identification for Development (ID4D).
Questions fréquentes
Quelle est la différence entre le niveau substantiel et le niveau élevé ?
Les deux exigent au moins deux facteurs d'authentification. Le niveau élevé ajoute une vérification d'identité plus stricte lors de la délivrance (généralement en présence de la personne ou par un procédé équivalent) et une protection contre des attaquants disposant de moyens importants, ce qui suppose en pratique un élément matériel sécurisé, comme la puce d'une carte d'identité.
Le niveau substantiel suffit-il pour accéder à des données de santé ?
Cela dépend des règles nationales et de la sensibilité de l'accès. Pour la consultation de ses propres données par un patient, le niveau substantiel est souvent retenu ; pour des actes à fort enjeu ou des accès professionnels, des exigences plus fortes peuvent s'appliquer. Il faut vérifier les textes et référentiels du pays concerné.
Un mot de passe et un code reçu par SMS correspondent-ils au niveau substantiel ?
Deux facteurs ne suffisent pas à eux seuls : le niveau substantiel porte aussi sur la vérification d'identité à l'enrôlement, la gestion du moyen et la résistance aux attaques. Un couple mot de passe et SMS associé à un enrôlement non vérifié reste, au mieux, de niveau faible. L'évaluation se fait sur l'ensemble du dispositif.
Le portefeuille européen d'identité numérique aura-t-il le niveau élevé ?
Oui, le règlement eIDAS révisé prévoit que l'identification par le portefeuille européen d'identité numérique atteigne le niveau de garantie élevé. Cela en fera une option de haut niveau pour les démarches qui le requièrent, à côté des moyens nationaux existants.