Le niveau de sécurité d'un compte est plafonné par son enrôlement : changer de facteur ne relève pas ce plafond. Une clé FIDO2 inscrite à l'issue d'un code envoyé par courriel apporte une résistance au phishing réelle une fois en place, et laisse le compte accessible au niveau d'une boîte de messagerie. Le facteur détermine la solidité de la serrure ; l'enrôlement détermine à qui la clé a été remise.
Deux niveaux distincts, deux risques différents
Le cadre NIST SP 800-63 sépare explicitement la vérification d'identité de la robustesse de l'authentification. Ce sont deux échelles indépendantes, et élever la seconde ne déplace pas la première d'un cran.
La distinction a une traduction opérationnelle simple. Un projet qui migre son parc vers les passkeys sans toucher au parcours d'inscription a traité le risque d'usurpation en cours de vie — le secret intercepté, le code relayé, la session détournée. Il n'a rien changé au risque d'usurpation à l'origine : un justificatif délivré à la mauvaise personne, qui produira ensuite des authentifications techniquement irréprochables.
Le second risque est le plus difficile à détecter, parce qu'il ne génère aucune anomalie : les connexions ultérieures sont conformes, réussies, non contestées, jusqu'à l'opération qui révèle le problème.
Les modes d'enrôlement, et ce qu'ils établissent réellement
| Mode | Ce qui est réellement vérifié | Ce qui reste hors de portée | Ce qui le fait échouer en pratique |
|---|---|---|---|
| Présentiel | présence physique, titre inspecté par un agent | authenticité fine du titre, collusion de l'agent | coût, délégation à un point d'accueil non formé |
| À distance, vérification documentaire | cohérence entre un titre numérisé et un visage capté | provenance du flux vidéo, existence du titre | injection par caméra virtuelle, titres synthétiques |
| Adossé à une identité déjà attestée | le niveau atteint par un tiers qualifié, hérité | lien entre le porteur du portefeuille et la personne présente | maturité de l'écosystème, périmètre d'usage accepté |
| Hors ligne dédié | remise d'une méthode de résolution personnelle, hors de tout terminal | ce que la personne fera de cette méthode ensuite | mise en place organisationnelle, planification |
| Dérivation depuis un facteur existant | rien de nouveau : le niveau antérieur est recopié | tout ce que le facteur d'origine n'avait pas établi | s'appelle un enrôlement sans en être un |
La dernière ligne est la plus fréquente dans les parcs réels, et la plus mal classée. Inscrire un nouveau justificatif à partir d'une session ouverte avec un mot de passe ne crée pas un niveau d'assurance : cela propage celui du mot de passe à un objet d'apparence plus solide.
Le troisième mode est celui qui déplacera l'économie du sujet. eIDAS 2 — règlement (UE) 2024/1183 — organise un portefeuille d'identité européen présentant des attributs vérifiés par un tiers qualifié : la vérification d'identité, opération coûteuse, cesse d'être refaite par chaque organisation. Ses effets sont détaillés dans eIDAS 2 et l'authentification.
Mesurer le plafond au lieu de l'estimer
Le plafond ne se déduit pas de la politique affichée mais de l'inventaire des chemins. Quatre étapes, faisables sur document.
- Listez tous les chemins par lesquels un facteur valide peut apparaître sur un compte : création initiale, ajout d'un second justificatif, remplacement après perte, réinitialisation par le support, parcours en libre-service, exceptions accordées aux dirigeants, procédure d'urgence décrite dans un guide d'exploitation.
- Notez la preuve exigée sur chacun de ces chemins, telle qu'elle est appliquée, et non telle qu'elle est écrite dans la procédure.
- Prenez le minimum. Ce minimum est le niveau réel du compte, quel que soit le facteur employé au quotidien.
- Arbitrez explicitement : soit vous relevez le chemin le plus faible, soit vous limitez ce qu'un justificatif inscrit par ce chemin permet de faire.
Le quatrième point est rarement exploité, alors qu'il est le moins coûteux. Un facteur inscrit par un parcours faible peut n'ouvrir qu'une session à droits réduits : pas d'opération irréversible, pas d'ajout d'un autre justificatif, pas de modification des coordonnées de contact, jusqu'à une régularisation de l'enrôlement. L'autorisation devient alors fonction du niveau de vérification d'identité, ce qui est la bonne dépendance.
Ce que la génération d'images a changé au KYC à distance
L'hypothèse implicite du KYC à distance était qu'un visage observé en vidéo vaut une vérification. Cette hypothèse ne tient plus. Un visage animé cohérent se fabrique à partir de photographies publiques, et le flux peut être injecté sans jamais passer par la caméra du terminal.
Le critère à opposer à un prestataire n'est donc pas son taux de détection, chiffre inintéressant hors du contexte de mesure, mais la nature de ce qu'il atteste. Deux formulations très différentes : « nous attestons que la vérification a réussi », ou « nous attestons les conditions de capture — quelle application, quel appareil, quelle intégrité de canal, quelle provenance du titre ». La seconde est la seule qui produise un élément réutilisable dans un dossier.
Les familles d'attaques et leurs contrôles sont détaillés dans vérification faciale à l'enrôlement et KYC face aux deepfakes. Pour la gouvernance de l'enrôlement, une phrase suffit : une vérification dont les conditions de capture ne sont pas attestées vous fait hériter d'une affirmation invérifiable.
Le réenrôlement est le même problème, déguisé
Une personne qui a perdu son téléphone n'a plus aucun facteur. Quel que soit le parcours emprunté pour lui en attribuer un nouveau, ce parcours est un enrôlement — avec les mêmes exigences, et presque jamais les mêmes contrôles.
Trois circonstances aggravent le cas, et elles se cumulent.
- La pression temporelle. La demande est urgente, la personne est bloquée, le support est évalué sur son délai de résolution.
- La délégation. L'opération est traitée par un guichet d'assistance qui suit un script, sans mandat pour refuser.
- L'invérifiabilité du motif. À distance, personne ne peut établir qu'un appareil a réellement été perdu, ni que l'appelant est celui dont l'appareil a disparu.
C'est pour cette raison que les parcours de récupération figurent parmi les chemins privilégiés vers des comptes solidement protégés par ailleurs. L'attaquant ne s'en prend pas au facteur : il en demande un neuf.
Deux réponses structurelles existent, et elles ne s'excluent pas. La première consiste à budgéter le réenrôlement au niveau initial : accepter son coût, en le rendant assez rare pour qu'il soit supportable. La seconde consiste à choisir un facteur dont la perte d'un appareil ne détruit pas la possession — c'est le principe de l'authentification cognitive, où l'enrôlement hors ligne dote la personne d'une méthode de résolution qui n'est stockée dans aucun terminal. Un téléphone perdu se remplace alors sans reprendre la vérification d'identité, puisque rien de secret ne résidait dans le téléphone.
Ce qu'un bon enrôlement ne couvre pas
Nommer les limites évite de vendre un faux plancher à un comité.
- La compromission après coup. Un justificatif correctement délivré peut être capté plus tard par un terminal infecté ou une contrainte exercée sur son porteur.
- La collusion interne. Un point d'enrôlement présentiel repose sur l'honnêteté de l'agent, que seul un contrôle par échantillonnage vient tempérer.
- L'interface d'inscription du fournisseur. Une interface programmable qui crée des justificatifs sans appliquer les contrôles du parcours visible annule tout le dispositif. Cette question figure rarement dans les questionnaires d'achat, et devrait y figurer.
- Le maintien dans le temps. L'enrôlement établit un lien à une date. Il ne dit rien de la personne qui détient encore le moyen aujourd'hui, d'où l'importance de la révocation lors des départs et des mobilités.
FAQ
Faut-il refaire l'enrôlement de tout un parc existant ?
Rarement en une fois. La démarche réaliste consiste à relever d'abord les populations dont la compromission a le plus d'effet — administrateurs, validateurs financiers, dirigeants — puis à traiter les nouveaux entrants au niveau visé. Le parc converge par renouvellement.
Un enrôlement en présentiel est-il toujours supérieur ?
Il est supérieur sur la vérification d'identité, pas sur tout. Un présentiel délégué à un point d'accueil sans formation, avec inspection sommaire du titre, peut valoir moins qu'une vérification à distance dont les conditions de capture sont attestées et journalisées.
Quelle trace conserver d'un enrôlement ?
Le mode employé, les éléments vérifiés, l'identité de l'agent ou du prestataire, les conditions techniques de capture, et l'horodatage. Ces éléments constituent le point de départ de tout dossier ultérieur sur une opération contestée.
Aller plus loin : le 4ᵉ facteur cognitif · inscrire une passkey sans affaiblir le compte · l'authentification sans mot de passe · deepfakes et vérification d'identité