Un POC d'authentification se termine presque toujours par la même conclusion : la solution fonctionne. C'est vrai, et cela ne décide de rien. Le chemin nominal fonctionne chez tous les fournisseurs sérieux — c'est précisément ce qu'ils ont le plus travaillé.
Un POC utile est construit pour produire une information que vous n'avez pas, sur des points où les candidats se départagent. Cela suppose de décider ce qu'on cherche avant de commencer, faute de quoi l'exercice devient une démonstration prolongée.
Les trois questions qu'un POC peut trancher
- Ce que le système accepte réellement, par opposition à ce qui est annoncé : quelles méthodes aboutissent, sur quels parcours, avec quelles exceptions.
- Ce qu'il coûte en exploitation : volume de sollicitations du support, taux d'échec d'enrôlement, délai de reprise après incident.
- Ce qu'il produit comme preuve : ce que vous pourriez présenter six mois plus tard sur une opération réalisée pendant le POC.
Et la question qu'un POC ne peut pas trancher : le comportement à l'échelle. Une population pilote ne prédit ni la charge du support en généralisation, ni les cas limites d'une population entière. Prétendre le contraire est la principale cause de mauvaise surprise en phase de déploiement.
Écrire les critères de sortie avant de commencer
C'est la seule précaution qui change l'issue. Sans critères écrits, la grille s'ajuste inconsciemment à ce que le POC a produit.
| Question | Observation à conduire | Ce qui fait échouer le critère |
|---|---|---|
| La réponse est-elle liée à l'origine ? | tenter de présenter au service légitime une valeur obtenue par un tiers | la valeur est acceptée |
| La preuve porte-t-elle sur l'action ? | conduire une opération sensible après ouverture de session | aucune preuve nouvelle n'est exigée |
| Le contexte est-il affiché ? | lire l'écran de validation d'une opération | l'écran demande d'approuver sans dire quoi |
| La reprise est-elle au bon niveau ? | dérouler la perte d'appareil jusqu'au bout | un chemin aboutit avec une preuve plus faible |
| L'enrôlement tient-il ? | enrôler sans assistance une population non volontaire | le taux d'échec impose un accompagnement individuel |
| La preuve est-elle produisible ? | demander le dossier d'une opération du POC, deux semaines après | le délai se compte en jours, ou le dossier porte sur la session |
Chaque ligne est réfutable : elle se conclut par un fait, pas par une appréciation. C'est ce qui distingue un critère d'une intention. Le protocole détaillé des quatre premières figure dans le plan de test de la MFA.
Choisir la population : le piège des volontaires
Une population de volontaires issus de la direction technique produit une information fausse et rassurante. Ces utilisateurs comprennent le dispositif, tolèrent la friction et contournent les difficultés sans les signaler.
Une population utile réunit trois profils, en petit nombre :
- des utilisateurs contraints, désignés et non volontaires, sur un métier réel ;
- des utilisateurs éloignés de l'outil : mobilité, terrain, matériel ancien, faible appétence ;
- des utilisateurs à fort privilège, dont les parcours de reprise sont les plus sensibles.
Cent personnes bien choisies renseignent davantage que mille volontaires. Le critère n'est pas le volume, c'est la diversité des situations d'échec.
Durée : ni deux semaines, ni six mois
Trop court, le POC ne rencontre aucun incident : pas de perte d'appareil, pas de départ, pas de changement de téléphone, donc aucune information sur ce qui coûte réellement.
Trop long, il devient un service de production non gouverné, et sa fin se négocie au lieu de se décider.
Une durée qui permet d'observer au moins un cycle complet d'incidents courants est le bon repère : assez pour qu'une perte d'appareil et une réinitialisation se produisent naturellement, pas plus.
Les quatre volets que les équipes sautent
- La perte d'appareil, déroulée sans raccourci, y compris le passage par le support.
- La charge du support, mesurée et non estimée : nombre de sollicitations, motifs, durée de traitement.
- Une opération contestée à blanc. Choisir une opération réalisée pendant le POC et demander à l'équipe de reconstituer le dossier. C'est l'épreuve la plus discriminante, et la moins conduite — sa méthode figure dans quel dossier de preuve produire.
- La sortie. Vérifier pendant le POC que les données d'enrôlement sont exportables. Le découvrir après la généralisation transforme un changement de fournisseur en réenrôlement complet.
Ce qu'il faut demander au fournisseur pendant le POC
Trois demandes qui révèlent plus qu'un questionnaire : la liste exhaustive des méthodes acceptées sur chaque parcours, la procédure exacte suivie par son support pour une réinitialisation, et un export brut des journaux d'une opération de votre choix. Un refus ou un délai sur la troisième est en soi une information. Ces points se retrouvent dans la trame d'appel d'offres.
Sur les opérations irréversibles, la question qui décide est celle de la preuve d'intention au moment de l'acte : c'est l'objet du 4ᵉ facteur cognitif, et c'est ce que la sixième ligne du tableau met à l'épreuve.
Les limites de l'exercice
Un POC mesure une solution dans votre contexte à un instant donné, avec un effort d'attention supérieur à la normale — de la part du fournisseur comme de vos équipes. Les taux observés seront meilleurs qu'en production, et il est plus sain de le poser d'emblée que de le découvrir ensuite.
Il ne dit rien du coût complet sur la durée d'engagement, qui relève du chiffrage — voir les postes de coût d'une solution MFA — ni de l'adoption durable, qui ne se constate qu'après plusieurs mois d'usage banalisé.
FAQ
Faut-il conduire un POC avec plusieurs fournisseurs en parallèle ?
Sur un périmètre réduit et avec les mêmes critères, oui : la comparaison à conditions identiques vaut plus que deux évaluations séquentielles. Au-delà de deux candidats, le coût interne dépasse généralement le gain d'information.
Qui doit conduire les tests, l'équipe projet ou un tiers ?
Pas l'équipe qui a présélectionné la solution. La séparation n'est pas une question de confiance : c'est ce qui rend les résultats lisibles par un comité, un auditeur ou un assureur.
Comment éviter qu'un POC réussi devienne une décision par défaut ?
En écrivant, dans la note de cadrage, ce qui déclencherait un arrêt. Un POC sans condition d'arrêt n'est pas une évaluation : c'est un début de déploiement dont personne n'a assumé la décision.
Faut-il inclure les parcours clients ou se limiter aux collaborateurs ?
Les deux populations n'ont ni les mêmes contraintes ni la même tolérance à la friction. Si les deux sont dans le périmètre du projet, un POC limité aux collaborateurs ne renseigne pas sur les clients, et l'inverse est également vrai.
Aller plus loin : pilier : authentification cognitive · ce qui fait échouer un projet · grille d'évaluation d'un fournisseur · tester sa MFA