La biométrie faciale sert à établir, au moment de l'enrôlement, que la personne derrière l'écran est bien celle du titre d'identité présenté. C'est un contrôle utile, mais fragile : il repose sur une image, et une image se fabrique. La question à instruire n'est donc pas « avons-nous de la reconnaissance faciale ? » mais « par où l'image entre-t-elle dans le système ? ».
Deux familles d'attaques, deux parades différentes
La confusion la plus coûteuse consiste à traiter la fraude faciale comme un problème unique. Il en existe deux, avec des points d'entrée distincts.
| Attaque par présentation | Attaque par injection | |
|---|---|---|
| Principe | présenter un artefact devant la caméra | fournir un flux vidéo sans passer par la caméra |
| Exemples | photographie, masque, écran, impression | caméra virtuelle, interception de l'API, visage synthétique |
| Ce qui la détecte | analyse de vivacité, texture, réflexion, profondeur | intégrité du canal, attestation de l'application et de l'appareil |
| Erreur fréquente | croire que la vivacité suffit | ne pas vérifier d'où vient le flux |
Un test de vivacité performant n'a aucun effet sur une attaque par injection, puisque le flux falsifié peut lui-même reproduire les mouvements demandés. Inversement, un canal parfaitement intègre ne dit rien d'un masque présenté devant une vraie caméra. Les deux contrôles sont nécessaires ; aucun ne remplace l'autre.
Ce que la génération d'images a changé
La disponibilité d'outils grand public de synthèse et d'animation faciale a déplacé le rapport de force. Fabriquer un visage animé cohérent à partir de quelques photographies publiques n'est plus une opération réservée à des attaquants outillés. Cela a trois conséquences concrètes :
- Les défis d'action — tourner la tête, sourire, cligner des yeux — ne constituent plus une preuve suffisante à eux seuls, car ils sont reproductibles par un modèle.
- La qualité perçue d'une vidéo n'indique plus rien sur son authenticité, ce qui rend illusoire la validation par un agent humain en visioconférence.
- Le point de défense se déplace de la reconnaissance du visage vers la preuve de capteur réel : un flux qui provient d'un appareil non manipulé.
Le seuil de décision est un arbitrage, pas un réglage technique
Tout système biométrique se règle entre deux erreurs : accepter un imposteur (faux positif) et refuser un utilisateur légitime (faux négatif). Baisser l'un fait monter l'autre. Ce réglage est une décision de risque métier, pas un paramètre à confier au fournisseur.
Trois questions à trancher explicitement avant la mise en production :
- Quel est le coût d'un enrôlement frauduleux sur ce parcours ? Un compte de consultation et un compte donnant accès à des paiements n'appellent pas le même seuil.
- Que se passe-t-il en cas d'échec ? Un parcours de repli mal conçu — appeler le support, envoyer une photographie par e-mail — annule tout le dispositif.
- Quelles populations sont pénalisées ? Conditions d'éclairage, matériel ancien, déficiences visuelles : un taux de rejet élevé sur une population donnée est un problème d'accessibilité autant que de sécurité.
Le volet RGPD : traiter localement, conserver le moins possible
Les données biométriques destinées à identifier une personne de manière unique relèvent d'une catégorie particulière du RGPD, avec des conditions de traitement renforcées. Trois principes structurent une conception défendable :
- Traitement local. Comparer sur l'appareil, ne transmettre qu'un résultat, ne pas centraliser les gabarits. Une base centralisée de gabarits faciaux est un actif dont la fuite est irréversible : un mot de passe se change, pas un visage.
- Minimisation et durée. Conserver l'image du titre et le selfie au-delà de ce qu'exige la preuve du contrôle transforme un contrôle ponctuel en risque permanent.
- Alternative disponible. Prévoir un parcours pour les personnes qui refusent ou ne peuvent pas utiliser la biométrie, sans le rendre plus faible.
C'est la logique retenue dans l'approche décentralisée de HIAsecure : la biométrie est traitée localement, aucune donnée identifiante n'est détenue côté éditeur, et la preuve d'enrôlement repose sur un facteur cognitif constitué hors ligne plutôt que sur la conservation d'un gabarit.
Sortir la biométrie du rôle de preuve unique
La conclusion opérationnelle est de ne pas faire porter à la biométrie faciale seule la charge de l'enrôlement. Trois combinaisons robustes :
| Combinaison | Ce qu'elle apporte |
|---|---|
| Vérification faciale + attestation d'appareil | traite simultanément présentation et injection |
| Vérification faciale + identité déjà attestée (eIDAS 2) | s'appuie sur un contrôle réalisé par un tiers qualifié |
| Vérification faciale + enrôlement hors ligne d'un facteur cognitif | ajoute une preuve non falsifiable par l'image |
Le portefeuille d'identité européen prévu par le règlement eIDAS 2 va, à mesure de son déploiement, rendre la troisième colonne plus accessible : s'appuyer sur une identité déjà vérifiée coûte moins cher et résiste mieux que refaire soi-même une vérification à distance.
FAQ
La détection de vivacité suffit-elle contre les deepfakes ?
Non, si le flux vidéo peut être injecté sans passer par la caméra. La détection de vivacité traite les artefacts présentés physiquement ; l'injection contourne cette étape. Il faut associer une vérification de l'intégrité du canal et de l'application.
Peut-on enrôler par visioconférence avec un agent ?
C'est possible, mais il ne faut plus considérer le jugement visuel de l'agent comme une garantie. La valeur de ce parcours vient des contrôles techniques associés — provenance du flux, appareil, cohérence des documents — et non de la perception humaine.
Faut-il conserver les images d'enrôlement comme preuve ?
Seulement si une obligation le justifie, et pour une durée définie. À défaut, conservez la trace du contrôle et son résultat plutôt que les images elles-mêmes : la valeur probatoire est comparable, le risque de fuite est bien moindre.
Quelle différence entre biométrie d'enrôlement et biométrie de connexion ?
La biométrie de connexion sur un appareil personnel compare localement un visage à un gabarit déjà enregistré : elle sert à déverrouiller. La biométrie d'enrôlement doit relier une personne à une identité officielle, ce qui est un problème plus difficile et plus exposé.
Aller plus loin : pilier : authentification cognitive · biométrie faciale et récupération de compte · enrôlement d'une passkey · biométrie face aux deepfakes