Deux chantiers sont régulièrement confondus. Le premier consiste à suivre le déploiement du portefeuille européen d'identité, dont le calendrier ne dépend pas de vous. Le second consiste à rendre votre service capable de consommer une attestation qualifiée le jour où elle se présente.
Le second est un chantier d'intégration ordinaire, conduisible dès maintenant, et son intérêt ne dépend pas du rythme du premier : un service qui sait accepter une assertion externe cesse de collecter et de conserver des justificatifs, ce qui est un gain immédiat au regard du RGPD.
eIDAS 2 (règlement (UE) 2024/1183) organise cette circulation. Ce qui suit porte sur les décisions que le règlement laisse à votre charge.
Cette lecture est opérationnelle et ne constitue pas un avis juridique. La qualification de votre service et vos obligations relèvent de vos conseils.
Les cinq décisions à trancher
| Décision | La question à poser | L'erreur fréquente |
|---|---|---|
| Attributs demandés | de quoi avez-vous strictement besoin ? | demander la donnée quand un prédicat suffit |
| Source de confiance | quelles autorités acceptez-vous, et sur quelle base ? | traiter la liste comme une configuration figée |
| Cycle de vie | que faites-vous d'une attestation expirée ou révoquée ? | vérifier à l'entrée, jamais ensuite |
| Niveau apporté | la vérification initiale du tiers suffit-elle à votre parcours ? | supposer qu'une attestation vaut un présentiel |
| Chemin de repli | que se passe-t-il pour qui n'en dispose pas ? | rouvrir un parcours plus faible |
Les deux dernières lignes décident du bénéfice réel. Les trois premières sont techniques ; celles-là sont des arbitrages.
Demander un prédicat, pas une donnée
C'est le gain le plus direct et le plus souvent manqué. Un service qui doit vérifier la majorité d'un utilisateur n'a pas besoin de sa date de naissance : il a besoin d'une affirmation vérifiable — cette personne a plus de dix-huit ans. Un service qui doit vérifier une qualité professionnelle n'a pas besoin du document qui l'établit.
Raisonner en prédicats change la conception de l'interface, pas seulement le volume de données conservées. C'est aussi ce qui rend la démarche défendable au regard de la minimisation : vous ne conservez pas ce que vous n'avez jamais reçu.
L'écueil symétrique existe : quand demander devient facile, la tentation est de demander plus que nécessaire. La liste des attributs doit être justifiée parcours par parcours, et revue, exactement comme un traitement de données.
Le piège du chemin de repli
Tant que le portefeuille n'est pas universel, votre service devra proposer une alternative. Si cette alternative est un téléversement de justificatif ou une vérification par ressemblance, vous avez conservé l'ancien niveau de preuve tout en ajoutant un chantier.
Trois façons de traiter ce point honnêtement :
- Différencier l'autorisation selon le niveau d'identité. Une identité attestée ouvre les parcours sensibles ; une identité auto-déclarée ouvre le reste. C'est la solution la plus défendable.
- Limiter le repli dans le temps, avec une échéance annoncée et un réexamen, plutôt qu'un parcours parallèle permanent.
- Assumer un repli en présentiel sur les opérations à fort impact, en acceptant son coût.
La vérification par ressemblance comme chemin de repli mérite un examen particulier, parce que sa valeur a changé — le raisonnement figure dans la fin de la vérification d'identité à distance.
Ce que l'attestation n'apporte pas
Une attestation établit qui est la personne. Elle n'établit pas que l'opération en cours est voulue.
Cette distinction est décisive pour les services financiers et pour toute opération irréversible. Une identité qualifiée, correctement vérifiée, présentée par la bonne personne, n'empêche pas une fraude par persuasion : la victime est bien elle-même, et elle valide. Le contrôle utile se déplace alors vers la preuve d'intention au moment de l'acte, ce qui relève d'un autre mécanisme — la distinction est développée dans authentifier, autoriser, prouver, et la preuve correspondante est l'objet du 4ᵉ facteur cognitif.
Une attestation ne dispense pas non plus de gérer la suite : la session ouverte après présentation d'une attestation reste une session ordinaire, avec sa durée de vie et son exposition au vol.
Ce que cela change dans un dossier de conformité
Trois effets, à documenter explicitement.
- La base de conservation change. Vous ne conservez plus des justificatifs mais la trace d'une vérification effectuée par un tiers. Cette trace doit être suffisante pour reconstituer la décision sans reconstituer la donnée.
- La chaîne de responsabilité s'allonge. Un tiers intervient dans l'établissement de l'identité, ce qui entre dans le champ des attentes de NIS2 et de DORA sur la maîtrise des dépendances.
- L'auditabilité porte sur l'acceptation. La question posée devient : sur quels critères avez-vous accepté cette attestation, et pouvez-vous rejouer cette décision ? La lecture d'ensemble des textes figure dans NIS2, DORA, DSP3 et CRA.
Les limites de la démarche
Elle déplace la confiance sans la supprimer : la solidité d'une identité attestée dépend de la vérification conduite par l'émetteur, sur laquelle vous n'avez aucune visibilité directe. Vous échangez une vérification que vous maîtrisez mal contre une vérification que vous ne conduisez pas — ce qui est généralement un progrès, mais qui doit être posé comme un choix.
Elle ne supprime pas l'enrôlement de votre côté : associer une attestation à un compte, puis doter ce compte d'un moyen d'authentification réutilisable, reste une opération par personne, avec le coût que cela implique — voir où passe le temps d'un déploiement.
FAQ
Faut-il attendre que les portefeuilles soient largement déployés ?
Non, parce que le travail utile est indépendant de ce calendrier : décider des attributs, savoir traiter une révocation, différencier l'autorisation par niveau d'identité. Ces décisions améliorent le service même sans attestation, et elles prennent du temps.
Une attestation qualifiée dispense-t-elle de la MFA ?
Non. Elle porte sur l'établissement de l'identité, pas sur l'accès courant ni sur la validation des opérations. Confondre les deux revient à protéger l'entrée et à laisser les opérations suivantes hériter de la confiance accordée.
Que faire si l'attestation contient plus d'attributs que nécessaire ?
Ne pas les conserver, et ne pas les demander lorsque le protocole permet une divulgation sélective. Une donnée reçue sans nécessité est une donnée à justifier en cas de contrôle, sans bénéfice de sécurité.
Comment traiter une population non européenne ?
Par un parcours distinct et documenté, dont le niveau de preuve est explicite. La tentation est d'aligner tout le monde sur le parcours le plus permissif, ce qui annule le bénéfice pour l'ensemble.
Aller plus loin : pilier : authentification cognitive · eIDAS 2 et le secteur public · l'enrôlement plafonne la chaîne · convergence réglementaire