Trois opérations sont confondues dans la plupart des architectures d'accès. Authentifier établit qui se présente. Autoriser décide ce que cette identité peut faire. Prouver consiste à démontrer après coup, devant un tiers, qu'une action déterminée a bien été le fait de cette personne. La MFA traite la première, l'IAM traite la seconde, et la troisième n'a le plus souvent aucun propriétaire — ce qui explique la faiblesse des dossiers dans les opérations contestées.
Trois opérations, trois questions
| Authentifier | Autoriser | Prouver | |
|---|---|---|---|
| Question posée | qui se présente ? | qu'a-t-il le droit de faire ? | qui a fait cela, et peut-on l'établir ? |
| Moment | à l'entrée, parfois en cours de session | à chaque requête | des mois après les faits |
| Objet manipulé | facteurs, challenges, assertions | rôles, politiques, contexte | journaux, horodatage, éléments archivés |
| Interlocuteur | le système | le moteur de politiques | un auditeur, un assureur, un juge |
| Porté par | fournisseur d'identité, MFA | IAM, PAM, moteur de décision | personne, par défaut |
| Échec typique | facteur relayé ou dérobé | privilèges excessifs | trace insuffisante ou non exploitable |
| Ce qu'elle ne dit pas | ce qui sera fait ensuite | qui a réellement agi | si la personne voulait cette action |
La dernière ligne suffit à situer le problème : chaque opération laisse ouverte une question que la suivante ne referme pas. Et la troisième colonne est la seule dont personne n'est comptable dans l'organigramme.
Les deux premières sont bien outillées, et leur articulation est traitée ailleurs sous l'angle des étapes d'accès : voir identification, authentification, autorisation. Cet article porte sur la troisième.
Pourquoi la troisième opération reste orpheline
Le problème n'est pas l'absence de journaux, il est leur découpage. Le fournisseur d'identité sait qu'une session a été ouverte par un compte, à une heure, depuis une adresse. Il ignore ce qui a été fait ensuite. L'application métier sait qu'un virement a été enregistré, ou qu'un dossier a été modifié. Elle enregistre souvent un identifiant technique, un compte de service ou un numéro d'utilisateur interne, sans le contexte d'authentification.
Personne ne joint ces deux moitiés. La clé de rapprochement — identifiant de session, identifiant de corrélation — existe rarement des deux côtés, et quand elle existe, elle n'est pas conservée aussi longtemps des deux côtés. Le SOC garde ses traces pour détecter, sur des durées courtes ; la direction métier suppose que « tout est dans les logs ».
La découverte se fait toujours au même moment : lors de la première contestation sérieuse, quand il faut produire un élément et non chercher une anomalie. À ce moment, la question posée n'est plus technique.
Ce sur quoi porte réellement une contestation
Une preuve d'action complète enchaîne trois assertions, et chacune se démontre séparément.
- Ouverture de session par ce compte, avec tel facteur, à telle heure. C'est ce que produit la MFA, et c'est la seule assertion habituellement disponible.
- Émission de l'action depuis cette session précise, et non depuis une autre ni par un traitement automatique agissant sous la même identité. C'est le maillon le plus souvent absent.
- Volonté de l'acte tel qu'il a été soumis : ce montant, ce bénéficiaire, ce périmètre. Cette assertion n'est presque jamais instrumentée.
La notion de non-répudiation entretient ici une ambiguïté utile à dissiper. Une signature cryptographique démontre qu'une clé privée a été employée sur un contenu donné. Elle ne démontre ni que le porteur légitime a décidé de l'employer, ni qu'il savait à quoi il s'engageait — et c'est précisément sur ces deux points que porte la contestation, jamais sur l'algorithme.
Le régulateur exige déjà la troisième, à un endroit
La DSP2 — directive (UE) 2015/2366 — impose pour l'authentification forte du client un lien dynamique entre le code de validation, le montant et le bénéficiaire de l'opération. La conséquence technique est directe : la validation ne porte plus seulement sur la personne, mais sur le contenu de l'acte. Un code obtenu pour un virement ne vaut pas pour un autre.
Cette exigence est née du paiement, mais le raisonnement se transpose sans difficulté : changement de coordonnées bancaires d'un fournisseur, ouverture d'un accès à privilèges, validation d'un contrat, suppression d'un jeu de données. Partout où l'opération est irréversible ou engageante, la question « ce facteur portait-il sur cette opération ? » se pose de la même façon.
NIS2 — directive (UE) 2022/2555 — et DORA — règlement (UE) 2022/2554, applicable depuis janvier 2025 — exigent la traçabilité et citent l'authentification multifacteur ou continue, sans prescrire le contenu de la trace. C'est l'organisation qui décide ce qu'elle sera capable de produire.
Protocole : rendre la troisième opération explicite
Cinq étapes, exécutables sans outil supplémentaire.
- Listez cinq opérations dont la contestation serait coûteuse : montant élevé, effet irréversible, engagement juridique, accès à privilèges, transfert de données.
- Formulez la preuve attendue pour chacune, au futur et au complet : « pour démontrer dans dix-huit mois que telle personne a validé telle opération vers tel bénéficiaire, nous produirons… ». La phrase doit se terminer par une liste d'éléments qui existent déjà.
- Identifiez le maillon manquant. Dans la majorité des cas, c'est le rattachement de l'action à la session, ou le contenu de l'opération telle qu'elle a été présentée à la personne.
- Désignez un propriétaire pour cet élément : application métier, fournisseur d'identité, tiers d'archivage. Sans nom, l'élément n'existera pas.
- Fixez la durée de conservation sur le délai de contestation applicable à l'opération, pas sur la rétention par défaut de l'outil de supervision.
L'exercice se mène en atelier, sans outil, et produit un résultat inconfortable — ce qui est son intérêt. Les modalités de conservation et d'intégrité relèvent ensuite du journal d'authentification.
Où placer le curseur, et ce qui restera hors d'atteinte
La troisième opération a un coût : elle introduit une validation au moment de l'acte, donc de la friction, donc des exceptions demandées. Elle ne se justifie pas partout. Le critère de décision est la conjonction de deux conditions — la contestation est plausible, et son issue défavorable coûte plus que le dispositif. Ailleurs, l'imputabilité par journalisation suffit.
Là où elle se justifie, la validation doit porter sur le contenu de l'opération et non sur la seule présence d'un facteur : c'est l'objet de l'authentification transactionnelle et de la preuve d'intention humaine, qui atteste une action volontaire au moment où elle est demandée.
Deux limites doivent être énoncées sans détour. Aucun dispositif ne démontre qu'une personne comprenait la portée de ce qu'elle validait, ni qu'elle agissait sans contrainte extérieure. Et la valeur probante d'un élément s'apprécie in fine dans un cadre juridique, au vu de la fiabilité d'ensemble du système : elle se prépare, elle ne se garantit pas.
FAQ
La MFA ne prouve-t-elle pas déjà qui a agi ?
Elle prouve qu'un facteur a été fourni au début de la session. Entre cette validation et l'action contestée, il peut s'être écoulé plusieurs heures, et la session peut avoir changé de mains. La MFA répond à la première question, pas à la troisième.
Faut-il un tiers de confiance pour que la preuve soit opposable ?
Pas nécessairement, mais l'intervention d'un tiers déplace la charge de la démonstration : il devient plus difficile de soutenir que l'organisation a pu modifier ses propres traces. C'est un arbitrage entre coût et solidité, à décider opération par opération.
Quelle différence entre imputabilité et preuve opposable ?
L'imputabilité est un usage interne : rattacher une action à un compte pour comprendre un incident. La preuve opposable s'adresse à un tiers et doit résister à la contradiction. La seconde exige de l'intégrité, une conservation maîtrisée et un contenu décidé à l'avance.
Par où commencer si les trois opérations sont mélangées ?
Par l'inventaire des opérations sensibles, jamais par l'outil. Tant que la liste des actes à prouver n'existe pas, aucune solution ne peut être dimensionnée, et l'on achète de la journalisation supplémentaire sans savoir ce qu'elle devra démontrer.
Aller plus loin : le facteur cognitif « je sais faire » · du premier au quatrième facteur · ce que prouve un journal d'authentification · constituer un dossier de preuve