« Prouver la présence d'un humain » recouvre en réalité trois questions différentes : y a-t-il un humain ? est-ce le bon humain ? agit-il librement et en connaissance de cause ? La plupart des dispositifs déployés aujourd'hui répondent à la première, quelques-uns à la deuxième, presque aucun à la troisième. Confondre les trois est la source de la majorité des mauvaises décisions d'architecture.
Ce que chaque méthode prouve réellement
| Méthode | Humain présent ? | Bonne personne ? | Acte conscient ? | Ce qui la met en défaut |
|---|---|---|---|---|
| CAPTCHA visuel ou comportemental | partiellement | non | non | résolution automatisée, fermes de résolution humaine |
| Détection de vivacité (liveness) | oui | non seule | non | injection d'un flux vidéo synthétique |
| Biométrie faciale ou vocale | oui | oui, sous seuil | non | deepfake, contrainte physique |
| Empreinte digitale sur terminal | oui | oui, au terminal | non | l'appareil déverrouillé sous contrainte |
| Notification push | non | non | non | approbation réflexe, MFA fatigue |
| Passkey / FIDO2 | non | preuve d'appareil | non | vol de session après authentification |
| Challenge cognitif | oui | oui | oui | déploiement et enrôlement à organiser |
Le tableau met en évidence une colonne systématiquement vide : l'acte conscient. C'est exactement l'espace qu'exploitent la fraude au faux conseiller et la MFA fatigue.
Le CAPTCHA : une course perdue par construction
Le CAPTCHA reposait sur un écart de capacité entre l'humain et la machine, sur une tâche perceptive. Cet écart s'est refermé. Deux évolutions l'ont vidé de sa valeur :
- La reconnaissance automatisée a rattrapé, puis dépassé, la performance humaine sur la plupart des tâches visuelles employées.
- La délégation : la résolution peut être sous-traitée à des humains payés à la tâche, ce qui rend l'épreuve non discriminante à partir du moment où l'attaque a une valeur économique suffisante.
Il reste un défaut structurel : le CAPTCHA est anonyme. Même parfaitement fiable, il dirait seulement « un humain quelque part a résolu ceci ». Il ne dit ni qui, ni pour quelle action. Et sa complexification progressive a fabriqué exactement le réflexe qu'il devait empêcher : cliquer vite pour passer.
La détection de vivacité et sa nouvelle limite
La liveness detection a été conçue contre une menace précise : la photo, la vidéo rejouée, le masque. Elle y répond bien. Mais la menace a changé de niveau : un flux vidéo peut aujourd'hui être injecté en amont de la caméra, sur un terminal contrôlé par l'attaquant. Le capteur n'est plus le point d'attaque ; le canal l'est.
D'où une distinction utile pour les équipes conformité et KYC :
- Vivacité au capteur : suffisante contre la présentation d'un artefact physique ;
- Intégrité du flux : nécessaire dès que le terminal n'est pas maîtrisé ;
- Preuve d'intention : nécessaire dès que la question n'est plus « est-ce une vraie personne ? » mais « cette personne veut-elle vraiment faire ceci ? ».
Ces trois besoins ne se substituent pas les uns aux autres. Beaucoup de dispositifs de vérification d'identité traitent le premier et déclarent le troisième réglé.
Prouver une présence et une identité et une intention
Le facteur cognitif — « je sais faire » — se place sur les trois colonnes simultanément, parce que la résolution d'un challenge est un acte : elle demande une attention active, elle est propre à l'utilisateur qui a acquis sa méthode lors de l'enrôlement, et elle se produit au moment de l'action.
Trois conséquences pratiques :
- Un automate ne franchit pas l'étape sans la méthode, quelle que soit sa puissance de calcul, parce qu'il n'existe aucune valeur à retrouver.
- Un modèle génératif ne l'imite pas : il peut cloner un visage et une voix à partir d'échantillons publics, il n'a pas accès à une règle mentale qui n'a jamais été exposée.
- Un utilisateur manipulé se retrouve dans une boucle active plutôt que devant un bouton « approuver » — ce qui ne supprime pas la manipulation, mais rétablit un temps de conscience.
Le sujet qui arrive : les agents autonomes
La question de la présence humaine était jusqu'ici surtout un problème d'anti-abus. Elle devient un problème d'authentification, parce que des agents logiciels agissent désormais pour le compte d'utilisateurs, avec leurs identifiants et parfois leurs sessions. Distinguer une action déclenchée par une personne d'une action déclenchée par un programme mandaté devient un besoin de traçabilité, pas seulement de filtrage.
Cela suppose de choisir, action par action, où l'on exige une présence humaine : la plupart des consultations n'en ont pas besoin, une validation de virement ou une élévation de privilèges, si.
FAQ
Un CAPTCHA reste-t-il utile ?
Oui, comme filtre de volume à l'entrée d'un formulaire public, pour élever le coût des campagnes automatisées de masse. Il ne doit simplement jamais être compté comme un facteur d'authentification ni comme une preuve d'intention.
La biométrie ne prouve-t-elle pas la présence ?
Elle prouve qu'un gabarit correspond à un seuil, à un instant donné. Elle ne dit rien de la liberté de l'acte : un visage peut être présenté sous contrainte, et un gabarit peut être approché par synthèse. C'est une preuve d'identité affaiblie, pas une preuve de volonté.
Comment traiter la présence humaine sans dégrader l'expérience ?
En la demandant là où elle a une valeur. Le niveau d'exigence peut s'ajuster à la criticité, du 2FA au 4FA, plutôt que d'imposer la même épreuve à chaque connexion.
Cette preuve est-elle compatible avec le RGPD ?
Elle l'est d'autant plus qu'elle repose sur un raisonnement et non sur une donnée corporelle. Dans l'approche HIAsecure, la biométrie éventuelle est traitée localement sur le terminal et aucune donnée identifiante n'est détenue par l'éditeur, ce qui limite la matière traitée.
Aller plus loin : comprendre l'authentification cognitive · le principe du challenge cognitif · biométrie face aux deepfakes · le 4ᵉ facteur face au deepfake vidéo