Un client conteste un virement. Vos journaux montrent une authentification réussie, une session valide, une opération conforme. Cela ne répond pas à la question posée, qui est : cette personne a-t-elle voulu cette opération, en connaissance de ce qu'elle engageait ? Voici les éléments qui constituent un dossier utile, et ceux qui manquent presque toujours.
Le déplacement du débat
Pendant longtemps, la question était : l'authentification a-t-elle eu lieu ? Elle est aujourd'hui souvent secondaire, parce que dans les fraudes les plus fréquentes l'authentification a bien eu lieu, correctement, par la bonne personne.
Le débat s'est déplacé vers le consentement. Dans une fraude au faux conseiller, la victime a saisi ses facteurs, validé la demande, et parfois insisté auprès de sa banque pour que l'opération passe. Prouver l'authentification ne dit rien de la validité de cet accord.
Cette évolution est aussi réglementaire : le paquet DSP3 / PSR, encore en cours de processus législatif européen, oriente clairement vers un élargissement de la responsabilité aux opérations « autorisées » par la victime. La direction est suffisamment nette pour peser sur les choix d'architecture engagés aujourd'hui.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. La constitution et la recevabilité d'un dossier dépendent du contexte et doivent être validées avec vos conseils.
Ce que contient un dossier utile
| Élément | Ce qu'il établit | Faiblesse fréquente |
|---|---|---|
| Horodatage de l'authentification | qu'une séquence a eu lieu à un instant donné | dérive d'horloge, absence de source de temps fiable |
| Méthode employée | le niveau de preuve mobilisé | journal indiquant « MFA » sans préciser la méthode |
| Contexte technique | appareil, adresse, agent | facilement altérable, valeur indicative seulement |
| Rattachement à l'action | que la preuve porte sur cette opération | la trace porte sur la session, pas sur l'acte |
| Contenu affiché à l'utilisateur | ce qu'il a vu au moment de valider | presque jamais journalisé |
| Intégrité du journal | qu'il n'a pas été modifié depuis | pas de scellement, pas d'horodatage qualifié |
| Chaîne de conservation | qui a eu accès au journal, et quand | absente |
Les deux lignes qui font la différence sont le rattachement à l'action et le contenu affiché. Ce sont aussi les deux qui manquent le plus souvent.
Le défaut structurel : prouver la session, pas l'acte
La plupart des dispositifs authentifient une session, puis exécutent les opérations suivantes sur la foi de cette session. Le journal reflète cette architecture : il atteste une ouverture de session à 9 h 12, et une opération à 11 h 47. Rien ne relie la seconde à une preuve d'intention.
Cette architecture est confortable pour l'utilisateur et indéfendable en cas de litige. Elle est d'ailleurs contradictoire avec l'exigence de lien dynamique de la DSP2, qui attend que l'authentification soit rattachée au montant et au bénéficiaire de l'opération.
La correction est architecturale, pas documentaire : il faut une preuve au moment de l'action, portant sur l'action, avec le contexte présenté à l'utilisateur. C'est ce que produit une authentification transactionnelle, et ce que le facteur cognitif pousse plus loin en attestant un acte conscient plutôt que la seule présence d'un secret.
Constituer le dossier : la marche à suivre
- Figer les éléments immédiatement. Extraire et sceller les journaux concernés dès la contestation, en notant qui procède à l'extraction. Un journal réextrait trois mois plus tard, sans traçabilité intermédiaire, perd de sa force.
- Reconstituer la séquence complète, pas seulement l'opération : authentification initiale, événements de session, actions intermédiaires, opération contestée, événements postérieurs.
- Documenter la méthode employée, réellement, et son niveau. Si plusieurs méthodes étaient acceptées, préciser laquelle a servi.
- Reconstituer l'affichage. Produire l'écran présenté à l'utilisateur pour cette opération, dans la version alors en production. Cela suppose de versionner les parcours.
- Chercher les signaux d'anomalie : sollicitations répétées, tentatives échouées, changement de coordonnées peu avant, rythme inhabituel. Ils éclairent le contexte dans les deux sens.
- Écrire les limites. Un dossier honnête sur ses limites est plus solide qu'un dossier péremptoire dont une limite sera exploitée en face.
Se préparer avant l'incident
Un dossier ne s'improvise pas : il dépend de décisions prises en amont.
- Journaliser l'action et non la seule session, avec ses paramètres essentiels.
- Journaliser l'affichage, ou à défaut la référence de version du parcours.
- Sceller et horodater les journaux d'opérations sensibles.
- Versionner les parcours pour pouvoir reconstituer un écran passé.
- Fixer une durée de conservation cohérente avec les délais de contestation applicables, et la justifier au regard de la minimisation attendue par le RGPD — les deux exigences se contredisent, ce qui suppose un arbitrage écrit.
- Répéter l'exercice à blanc. Le test 6 du protocole de test de la MFA sert exactement à cela.
FAQ
Un journal d'authentification suffit-il à établir la responsabilité de l'utilisateur ?
Il établit qu'une séquence technique attendue s'est produite. Il n'établit ni l'intention, ni l'absence de manipulation, ni la compréhension de l'opération. C'est précisément l'écart qu'exploitent les contestations.
Faut-il un horodatage qualifié ?
Cela dépend de l'enjeu. Pour des opérations à fort impact ou dans un secteur régulé, un horodatage qualifié et un scellement renforcent nettement la valeur du dossier. Pour des accès courants, une source de temps fiable et documentée suffit généralement.
Combien de temps conserver ces éléments ?
La bonne durée découle des délais de contestation applicables à votre activité, pas d'une règle générale. L'important est d'avoir tranché explicitement, et de pouvoir justifier ce choix face au double impératif de preuve et de minimisation.
Que faire quand l'utilisateur a manifestement été manipulé ?
Le traiter comme un signal sur le parcours, pas seulement comme un cas individuel. Si une victime a pu valider sans comprendre, c'est que le parcours le permettait : contexte insuffisant, urgence possible, geste réduit à une approbation. Ce sont des propriétés modifiables.
Aller plus loin : pilier : authentification cognitive · ce que prouve un journal · NIS2, DORA, DSP3, CRA · deepfakes et fraude au faux conseiller