L'approche IDless consiste à authentifier un utilisateur sans lui demander d'identifiant permanent : ni adresse e-mail, ni numéro de téléphone, ni login. La reconnaissance repose sur la session en cours et sur la preuve apportée par l'utilisateur, non sur la déclaration préalable d'une identité stable.
Ce que la suppression de l'identifiant change
L'identifiant est rarement traité comme un secret : il est publié, deviné, réutilisé d'un service à l'autre. Il constitue pourtant la moitié du couple exploité par le credential stuffing, et le point de départ de la plupart des campagnes de spear phishing, qui ont besoin d'une adresse pour viser quelqu'un.
Sans identifiant à collecter :
- une base de fuites perd son point d'entrée ;
- l'énumération de comptes — vérifier qu'une adresse existe chez un service — n'a plus d'objet ;
- la surface de ciblage nominatif se réduit.
IDless et passwordless ne sont pas la même chose
Le passwordless supprime le mot de passe mais conserve généralement un identifiant : on saisit son adresse, puis on prouve avec une passkey ou un lien envoyé par e-mail. L'IDless supprime la déclaration d'identité elle-même. Combinées, les deux approches retirent du parcours les deux éléments les plus souvent volés.
Cette conception rejoint la logique de minimisation du RGPD : ce qui n'est pas collecté ne peut être ni fuité, ni détourné, ni réclamé.
Aller plus loin : authentification sans identifiant : le principe IDless · l'IDless contre le spear phishing · définition du passwordless · l'authentification cognitive