Dressez le graphe de dépendances d'un système d'information : la messagerie dépend de l'annuaire, l'application métier dépend du fournisseur d'identité, le poste de travail dépend de l'ouverture de session. Remontez les arêtes. Vous arrivez à une brique qui ne dépend d'aucune autre et dont toutes les autres dépendent.
Cette position n'est pas une question de criticité au sens habituel — un classement par impact. C'est une propriété topologique, et elle a trois conséquences que les grilles d'achat traitent mal, parce qu'elles évaluent l'authentification comme un logiciel parmi d'autres.
Première conséquence : le mode de défaillance est total, pas dégradé
La plupart des briques d'un système d'information se dégradent. Une base de données lente ralentit l'activité ; un service de messagerie indisponible la décale ; un stockage saturé la bloque partiellement. Il existe presque toujours un contournement, même mauvais.
L'authentification ne se dégrade pas : elle laisse entrer ou elle n'ouvre pas.
| Brique | Défaillance partielle possible | Contournement d'urgence |
|---|---|---|
| Stockage | oui — lenteur, quotas | copies locales, report d'écriture |
| Réseau | oui — bande passante réduite | file d'attente, mode différé |
| Application métier | oui — fonctions dégradées | procédure papier, ressaisie |
| Fournisseur d'identité | non — l'accès est accordé ou refusé | comptes de secours, dont la protection est rarement au niveau de leur pouvoir |
C'est ce qui rend les parcours de reprise si déterminants : ils constituent l'unique contournement d'une brique sans contournement, et leur niveau définit celui de l'ensemble. La méthode pour les qualifier est décrite dans l'audit des parcours de récupération.
Deuxième conséquence : le fournisseur occupe une position singulière
Un éditeur de comptabilité voit vos écritures. Un hébergeur voit vos fichiers chiffrés. Un fournisseur d'identité, lui, se trouve sur le chemin de toutes les opérations de tous les utilisateurs, et détient la capacité technique d'accorder un accès.
Trois questions en découlent, qui ne figurent presque jamais dans une consultation :
- Le support de l'éditeur peut-il agir sur vos comptes ? Si oui, avec quelle traçabilité, et pouvez-vous désactiver cette capacité ?
- Que récupérez-vous en sortant ? Si les données d'enrôlement ne sont pas exportables, changer de fournisseur suppose de réenrôler toute la population : c'est le coût de sortie réel, rarement chiffré.
- Qui, dans la chaîne de sous-traitance, hérite de cette position ? DORA et NIS2 attendent une réponse documentée sur ce point précis.
Troisième conséquence : l'extraterritorialité ne s'y compare à rien
Sur une brique ordinaire, une injonction adressée à un fournisseur étranger porte sur les données que ce fournisseur détient. Sur une brique de rang zéro, elle porte sur la capacité d'accorder un accès — c'est-à-dire, potentiellement, sur tout ce qui se trouve derrière.
La différence n'est pas de degré. Un chiffrement bien conduit limite ce qu'un hébergeur peut livrer ; il ne limite pas ce qu'un fournisseur d'identité peut ouvrir. Le raisonnement détaillé sur les régimes juridiques en cause figure dans les risques du CLOUD Act pour les entreprises.
Une architecture décentralisée, où l'authentification ne suppose pas qu'un tiers détienne de données identifiantes et où la biométrie est traitée localement sur l'appareil, réduit la surface de cette dépendance : il y a moins à livrer, et moins à ouvrir. C'est l'un des choix de conception du 4ᵉ facteur cognitif, conçu, développé et hébergé en France.
Ce que cela change pour un décideur public
Trois traductions concrètes, applicables à une commande publique comme à un grand compte.
- Traiter l'authentification comme une infrastructure, pas comme un achat de licence. Une infrastructure se juge sur sa durée d'engagement, sa réversibilité et sa juridiction, avant de se juger sur ses fonctions.
- Exiger la réversibilité au même rang que la sécurité. Une brique de rang zéro dont on ne peut pas sortir crée une dépendance qui survivra à plusieurs mandats et à plusieurs cycles budgétaires.
- Documenter la juridiction de bout en bout. Éditeur, sous-traitants, hébergeur, support : la chaîne compte, pas seulement la vitrine contractuelle.
Ces trois points relèvent d'une décision de niveau politique, au sens propre : ils portent sur ce que l'on accepte de rendre dépendant, pas sur une fonctionnalité. La grille de cotation correspondante est proposée dans souveraineté et authentification.
Ce que ce raisonnement ne démontre pas
Il ne démontre pas qu'un fournisseur national serait plus sûr. La juridiction est un critère d'exposition, pas une garantie de qualité : une méthode mal conçue, hébergée en France, reste mal conçue, et une dépendance nationale mal réversible reste une dépendance.
Il ne dit pas non plus que toute organisation devrait internaliser son authentification. Opérer soi-même cette brique déplace le risque vers ses propres pratiques, ce qui n'est un progrès que si ces pratiques sont meilleures que celles du fournisseur écarté — hypothèse à vérifier, pas à supposer.
Il dit seulement ceci : la position topologique de l'authentification justifie un régime d'examen distinct de celui appliqué au reste du portefeuille applicatif. La confondre avec un achat logiciel est une erreur de catégorie, indépendamment du fournisseur retenu.
FAQ
Cette analyse plaide-t-elle pour un fournisseur d'identité unique ou multiple ?
Elle plaide surtout pour que le choix soit explicite. Un fournisseur unique concentre la dépendance et simplifie la maîtrise ; plusieurs la répartissent et compliquent la cohérence des niveaux de preuve. Les deux sont défendables ; ce qui ne l'est pas, c'est d'avoir plusieurs fournisseurs sans le savoir, ce qui arrive par accumulation de projets.
Comment évaluer la réversibilité avant de signer ?
En demandant une démonstration d'export des données d'enrôlement pendant la consultation, sur un échantillon réel, et non un engagement contractuel de principe. La question est traitée parmi les clauses de la trame d'appel d'offres.
La qualification SecNumCloud règle-t-elle la question ?
Elle apporte une assurance sur les pratiques du prestataire et sur son exposition juridique, ce qui est substantiel. Elle ne dit rien de la portée de la preuve produite par la méthode d'authentification elle-même : ce sont deux axes indépendants, et une brique qualifiée peut n'authentifier que des sessions.
Cette dépendance concerne-t-elle aussi les identités clients ?
Oui, avec un effet supplémentaire : une défaillance sur les parcours clients est immédiatement publique. Le raisonnement de rang zéro s'applique, la tolérance à l'indisponibilité est simplement plus faible.
Aller plus loin : pilier : authentification cognitive · souveraineté et authentification · qui écrit les standards cryptographiques · convergence réglementaire