Le règlement (UE) 2024/1183, dit eIDAS 2, institue un portefeuille européen d'identité numérique. Son effet sur l'authentification n'est pas de remplacer votre MFA : c'est de fiabiliser le moment où vous établissez qu'un utilisateur est bien la personne qu'il prétend être. Le texte fait basculer les services d'une logique de vérification répétée de l'identité vers une logique d'acceptation d'une identité déjà attestée. Tout ce qui se passe ensuite — la session ouverte, l'action validée, l'appareil utilisé — reste entièrement à votre charge.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Le portefeuille européen est encore en cours de déploiement dans les États membres, et son périmètre applicable à votre organisation doit être confirmé avec vos conseils.
Ce que le portefeuille change dans une architecture d'identité
Un enrôlement adossé à une identité attestée
L'enrôlement est le maillon le plus fragile de la plupart des architectures. Une méthode d'authentification excellente enrôlée sur la base d'une pièce d'identité scannée, d'un selfie et d'un courriel n'offre au mieux que la solidité de cette vérification initiale. Le portefeuille inverse la charge : au lieu de reconstituer l'identité à partir de justificatifs, le service accepte une attestation produite en amont. La différence entre identifier et authentifier devient ici très concrète : le portefeuille traite le premier terme, pas le second.
La récupération de compte, enfin adossée à quelque chose
Les parcours de reprise en main d'un compte perdu sont le point d'entrée préféré des attaquants, parce qu'ils reposent presque toujours sur des éléments faibles : question secrète, courriel de secours, appel au support. Disposer d'une identité réutilisable permet de reconstruire un facteur sans repasser par ces canaux dégradés. C'est probablement l'apport le plus immédiat du texte pour un RSSI, et il vaut la peine d'auditer dès maintenant vos parcours de récupération dans cette perspective.
Moins de données collectées, donc moins à perdre
Le portefeuille permet l'attestation d'attributs : démontrer une qualité — être majeur, être titulaire d'une habilitation, appartenir à une organisation — sans transmettre l'ensemble du dossier d'identité. Un service qui n'a jamais collecté une pièce d'identité ne peut pas la voir fuiter. Cette réduction du volume de données personnelles détenues est un gain de sécurité autant qu'un gain de conformité.
Identité attestée n'est pas intention prouvée
C'est la limite structurante du texte, et elle mérite d'être formulée sans ambiguïté. eIDAS 2 traite de l'identité : qui vous êtes, prouvé une fois, de façon réutilisable et interopérable. Il ne traite pas de la preuve d'intention : le fait que telle action, à cet instant précis, soit réellement voulue par un humain conscient de ce qu'il valide.
Un portefeuille d'identité résout très bien la première mise en relation. Il ne dit rien du moment où un utilisateur parfaitement légitime, correctement identifié, valide sous manipulation une opération qu'il n'aurait jamais dû valider. Le fraudeur n'a plus besoin d'usurper une identité : il lui suffit d'obtenir que le titulaire agisse lui-même. C'est exactement la zone couverte par le facteur cognitif, qui cherche à prouver une intention humaine plutôt qu'un secret réutilisable.
Ce que le portefeuille couvre, et ce qu'il laisse ouvert
| Moment du parcours | Apport du portefeuille | Ce qui reste à traiter | Question à poser à vos équipes |
|---|---|---|---|
| Création de compte | Identité attestée réutilisable, moins de justificatifs collectés | Le lien entre l'identité et l'appareil qui portera le facteur | Qui contrôle l'appareil au moment de l'enrôlement ? |
| Connexion courante | Rien : le portefeuille n'est pas un mécanisme de session | Résistance au relais et au vol de jeton | Notre méthode survit-elle à un site intermédiaire ? |
| Validation d'une action sensible | Rien : l'identité est déjà connue à ce stade | Preuve que l'action est voulue, ici et maintenant | Que produirait-on six mois plus tard en cas de contestation ? |
| Récupération d'accès | Réenrôlement adossé à une identité déjà vérifiée | Le canal de secours humain (support, guichet) | Le support peut-il encore contourner la procédure ? |
| Changement d'appareil | Continuité de l'identité entre deux terminaux | Révocation du facteur porté par l'ancien terminal | Combien de temps l'ancien appareil reste-t-il valide ? |
Articuler le portefeuille avec une MFA déjà en place
Deux couches distinctes cohabitent, et les confondre produit des architectures bancales. La couche d'identité répond à « de qui s'agit-il ? » et intervient rarement : à l'ouverture, au réenrôlement, lors d'un changement d'appareil. La couche d'authentification répond à « est-ce bien lui, maintenant, pour cette action ? » et intervient en permanence.
En pratique, un portefeuille vient alimenter votre gestion des identités, pas la remplacer. Vos règles d'accès, votre politique de session, votre élévation de privilèges sur les opérations critiques restent les vôtres. La bonne question n'est donc pas « faut-il remplacer notre MFA ? » mais « quelle partie de notre parcours repose aujourd'hui sur une vérification d'identité fragile que le portefeuille pourrait solidifier ? ». Une approche en overlay sur l'existant limite le coût de bascule.
Se préparer sans surinvestir
- Séparez formellement identité et authentification dans votre cartographie. Beaucoup de projets confondent les deux et paient cette confusion en dette d'architecture.
- Listez les points où vous collectez des justificatifs d'identité. Ce sont vos futurs candidats à l'acceptation d'attributs attestés, et vos gisements de données à réduire.
- Auditez la récupération de compte avant tout le reste. C'est le chantier qui produit un gain de sécurité immédiat, indépendamment du calendrier de déploiement du portefeuille.
- Vérifiez la capacité d'absorption de votre fournisseur d'identité : peut-il accepter une assertion externe sans réécriture complète de vos parcours ?
- Traitez séparément la validation des actions sensibles. Aucune évolution du volet identité ne réglera la fraude par manipulation du titulaire légitime.
- Prévoyez un parcours de repli. Tous vos utilisateurs ne disposeront pas d'un portefeuille au même moment, et le repli sera une cible d'attaque privilégiée.
FAQ
eIDAS 2 rend-il la MFA inutile ?
Non. Le portefeuille traite l'établissement et la réutilisation de l'identité, pas le contrôle de chaque connexion ni la validation des actions. Une organisation qui supprimerait sa MFA en s'appuyant sur le seul volet identité perdrait toute maîtrise de la session et de l'opération.
Faut-il attendre la disponibilité complète du portefeuille pour agir ?
Non, et c'est même l'inverse. Les chantiers qui préparent le mieux — séparation identité / authentification, réduction des données collectées, durcissement de la récupération de compte — apportent un bénéfice indépendant du calendrier de déploiement.
Le portefeuille protège-t-il contre le phishing ?
Il réduit l'intérêt de certaines usurpations en amont, puisqu'une identité attestée est plus difficile à fabriquer. Il ne protège pas la session ni l'action : un site intermédiaire qui relaie une authentification légitime reste efficace si la méthode utilisée n'est pas liée à l'origine.
Que change-t-il pour la conformité à d'autres textes ?
Il facilite la démonstration de la fiabilité de l'enrôlement et la minimisation des données, deux attentes récurrentes. Il ne dispense d'aucune exigence portant sur les contrôles d'accès, la traçabilité ou la résistance des méthodes employées.
Aller plus loin : pilier : authentification cognitive · panorama des textes européens · eIDAS 2 dans le secteur public · définition de l'EUDI Wallet