La vérification d'identité à distance repose, depuis quinze ans, sur un enchaînement de trois affirmations : ce document est authentique, ce visage correspond au document, ce visage est celui d'une personne présente. Chacune était coûteuse à falsifier. Aucune ne l'est plus au même degré.
Le constat n'appelle pas un meilleur détecteur. Il appelle un changement de ce qui est vérifié — et cette bascule est une décision de politique publique autant qu'un choix technique, parce qu'elle touche l'accès aux services.
Les trois affirmations, et ce qui les défait
| Affirmation | Ce qui l'établissait | Ce qui la défait aujourd'hui |
|---|---|---|
| Le document est authentique | hologrammes, micro-impressions, contrôle visuel | reproduction d'un rendu à l'écran, document de synthèse |
| Le visage correspond au document | comparaison biométrique | image générée à partir d'un portrait public |
| La personne est présente | détection de vivacité, gestes demandés | flux de synthèse injecté à la place du capteur |
La troisième ligne est la plus importante et la moins comprise. La détection de vivacité suppose qu'elle observe un capteur ; si le flux est remplacé avant elle, elle observe une fabrication et la juge vivante. Le problème n'est pas la qualité de l'analyse, c'est la position du contrôle dans la chaîne.
Pourquoi la course à la détection est perdue par construction
L'asymétrie est structurelle, et elle ne dépend pas du budget engagé.
- Le défenseur doit généraliser, l'attaquant n'a besoin que d'un cas. Un détecteur doit fonctionner sur toute la population, tout le temps, sans faux positifs insupportables ; une attaque réussit une fois.
- Chaque indicateur publié devient une cible d'entraînement. Les artefacts documentés — clignements anormaux, contours flous, prosodie mécanique — sont des erreurs, et une erreur se corrige à la génération suivante du modèle.
- Le coût de production s'effondre d'un côté seulement. Le coût de la détection fiable, lui, augmente à mesure que l'écart se resserre.
Ce raisonnement ne dit pas que la détection est inutile : elle élève le coût d'entrée et filtre les tentatives les moins soignées. Il dit qu'elle ne peut pas porter la décision d'accès. L'analyse détaillée figure dans détecter un deepfake.
Première sortie : vérifier la provenance plutôt que la ressemblance
La question change de forme. Au lieu de « ce visage ressemble-t-il au document ? », on demande : « ce signal a-t-il été capté par un capteur réel, sur un appareil non manipulé, à l'instant de la demande ? »
C'est une propriété d'architecture, pas un score. Elle se construit par le traitement du signal au plus près du capteur, sur l'appareil, plutôt que par l'analyse d'un flux transmis — ce qui a un effet secondaire utile au regard du RGPD, puisque le gabarit biométrique n'a plus à circuler ni à être détenu par un tiers.
Elle a une limite nette : elle déplace la confiance vers l'appareil et son système, dont l'intégrité devient l'hypothèse critique. On échange une hypothèse invérifiable — la sincérité d'un flux — contre une hypothèse vérifiable mais non garantie.
Seconde sortie : ne pas vérifier soi-même
eIDAS 2 (règlement (UE) 2024/1183) organise la circulation d'attestations qualifiées via le portefeuille européen d'identité. Un service qui sait consommer une telle attestation cesse d'avoir à établir l'identité : il la reçoit d'un tiers qualifié, avec une chaîne de responsabilité identifiée.
L'effet pour une administration ou un grand compte est double : il supprime la collecte et la conservation de justificatifs, et il déplace la charge de la preuve vers un acteur dont c'est le métier. C'est la voie la plus solide, à une condition rarement énoncée — qu'elle ne réintroduise pas, par le parcours de secours, la vérification par ressemblance qu'elle était censée remplacer.
Ce que cela impose aux services publics numériques
Trois conséquences, dont deux sont des coûts.
- Prévoir un chemin robuste et réaliste. Si la ressemblance ne suffit plus et que l'attestation n'est pas encore universelle, il faut un chemin de reprise crédible : présentiel, référent identifié, contrôle différé. Sans cela, la règle sera contournée dès la première urgence.
- Assumer le risque d'exclusion. Toute élévation d'exigence sur l'identité écarte des publics : personnes sans smartphone récent, sans document conforme, sans accompagnement. Un service public ne peut pas traiter cette exclusion comme un dommage collatéral ; elle fait partie de l'arbitrage, au même titre que la fraude évitée.
- Séparer l'identité de l'autorisation. Établir qui est quelqu'un et vérifier qu'une opération est voulue sont deux actes distincts. Les confondre place les contrôles au mauvais endroit : on durcit l'entrée et on laisse les opérations suivantes hériter de la confiance accordée. C'est la distinction développée dans authentifier, autoriser, prouver.
Sur le second acte, la preuve utile ne porte plus sur l'apparence mais sur la conduite d'un raisonnement au moment de l'opération, ce qu'aucun modèle génératif ne peut produire à la place d'une personne : c'est l'objet du 4ᵉ facteur cognitif.
Ce que ce basculement ne règle pas
L'attestation déplace le problème sans le supprimer : la solidité d'une identité attestée dépend de la vérification initiale conduite par le tiers, qui a lui-même rencontré la question de la ressemblance. La chaîne est plus courte et mieux tracée, elle n'est pas d'une autre nature.
Il ne traite pas non plus la fraude par persuasion, où l'identité est correctement établie et où la personne agit elle-même — le cas de la fraude au faux conseiller. Une vérification d'identité irréprochable n'y change rien, puisque la bonne personne est bien devant l'écran.
FAQ
Faut-il arrêter d'utiliser la biométrie faciale ?
Non, mais il faut cesser de lui faire porter la décision seule, et distinguer deux usages : comparer un visage à un document lors d'un enrôlement à distance, ou déverrouiller localement un authentificateur déjà enrôlé. Le second reste solide, parce que la comparaison ne quitte pas l'appareil et ne décide pas d'une identité.
Les tests de vivacité sont-ils devenus inutiles ?
Ils gardent une valeur de filtrage et un coût faible, ce qui justifie de les conserver. Ils ne constituent pas une preuve, et les présenter comme telle dans un dossier crée une fragilité en cas de contestation.
Combien de temps avant que l'attestation qualifiée soit généralisée ?
La question du calendrier ne se tranche pas ici, et les annonces successives invitent à la prudence. La décision utile est différente : rendre son service capable d'accepter une assertion externe, ce qui est un chantier d'intégration indépendant du rythme de déploiement des portefeuilles.
Comment justifier auprès d'un métier le retrait d'un parcours entièrement automatisé ?
En chiffrant ce que le parcours automatisé accepte réellement, plutôt qu'en invoquant une menace générale. Un scénario reproduit sur votre propre parcours convainc un comité, là où une note d'alerte ne convainc personne — méthode décrite dans présenter le risque à une direction.
Aller plus loin : pilier : authentification cognitive · biométrie face aux deepfakes · fraude au faux conseiller · l'enrôlement plafonne la chaîne