Le secteur public affronte une contrainte que le privé ignore : il ne choisit pas ses usagers. Un téléservice doit fonctionner pour l'ensemble de la population, y compris pour les personnes sans smartphone récent, sans connexion stable ou peu à l'aise avec le numérique. Toute solution d'authentification qui suppose un équipement homogène exclut des ayants droit, ce qui constitue un risque juridique et politique autant qu'un problème d'ergonomie.
Ce qu'il faut réellement protéger
- Les données d'état civil et d'identité, non révocables et durablement exploitables pour l'usurpation.
- Les données fiscales et sociales, directement monétisables par la fraude aux prestations ou au remboursement.
- Les téléservices citoyens, dont la compromission d'un compte permet de modifier des coordonnées bancaires ou une adresse.
- Les comptes des agents, en particulier ceux disposant de droits sur les référentiels nationaux ou locaux.
- La commande publique : dépôts d'offres, signature de marchés, ordres de paiement au comptable.
- Les échanges interadministrations, où la confiance est souvent implicite entre systèmes.
Les contraintes qui font échouer les dispositifs génériques
L'universalité prime. Un dispositif qui ne fonctionne que sur un téléphone récent n'est pas déployable à l'échelle d'une population. L'accessibilité et l'existence d'un parcours alternatif tracé sont des exigences de premier rang.
Les guichets utilisent des postes partagés, avec des flux d'usagers continus et une nécessité de verrouillage et de reprise rapides.
Le parc est hétérogène. Entre une administration centrale et une commune de quelques milliers d'habitants, les moyens, les compétences et l'équipement n'ont aucune commune mesure — alors que les obligations réglementaires convergent.
Les collectivités sont des cibles récurrentes de rançongiciels, souvent via un compte agent compromis par hameçonnage puis une progression latérale.
La souveraineté est un critère d'achat. Localisation des données, maîtrise juridique du fournisseur et absence d'exposition à des législations extraterritoriales font partie de l'évaluation, au-delà des seules propriétés techniques.
Les cycles budgétaires sont longs. Un dispositif doit pouvoir se déployer par étapes, sans remplacer l'existant d'un seul coup.
Le cadre réglementaire applicable
| Texte | Portée pour le secteur | Exigence en matière d'authentification |
|---|---|---|
| NIS2 — directive (UE) 2022/2555 | administrations publiques concernées | mesures de gestion des risques citant l'authentification multifacteur ou continue |
| RGPD | données des usagers et des agents | minimisation, traçabilité, justification stricte de la biométrie |
| SecNumCloud (qualification ANSSI) | hébergement de données sensibles | exigences de sécurité et de maîtrise du prestataire |
| eIDAS 2 — règlement (UE) 2024/1183 | identité numérique | cadre du portefeuille d'identité européen, structurant pour les téléservices |
| Cyber Resilience Act — règlement (UE) 2024/2847 | produits numériques acquis | sécurité dès la conception, pas de mot de passe par défaut ; obligations principales à horizon fin 2027 |
eIDAS 2 est le texte le plus structurant à moyen terme : il pose le cadre d'un portefeuille d'identité européen que les administrations devront accepter, ce qui déplace une partie de la vérification d'identité vers une attestation qualifiée plutôt que vers des justificatifs transmis par l'usager.
Les parcours sensibles à traiter en priorité
- Création de compte et récupération d'accès usager. C'est le point d'entrée de l'usurpation : un compte créé ou repris frauduleusement donne accès à des droits réels.
- Modification de coordonnées bancaires ou d'adresse dans un téléservice de prestations.
- Connexion des agents en télétravail, depuis des réseaux et parfois des matériels non maîtrisés.
- Accès d'administration aux référentiels : un compte à privilèges compromis vaut des milliers de dossiers.
- Signature et validation dans la commande publique, où le faux ordre de virement au comptable reste un scénario documenté et efficace.
- Accès des prestataires et éditeurs aux environnements de production.
Sur les actes engageants, la preuve utile n'est pas seulement l'identité : c'est la démonstration d'une intention consciente. Le 4ᵉ facteur cognitif répond à ce besoin sans exiger de matériel dédié ni d'annuaire d'identités : l'approche IDless et l'architecture décentralisée limitent les données détenues, un point déterminant dans un contexte où la minimisation et la souveraineté sont des critères d'évaluation. La solution est conçue, développée et hébergée en France, avec une qualification SecNumCloud en cours.
Menaces et conformité : les ressources du secteur
Menaces : hameçonnage dans le secteur public · réutilisation d'identifiants · interception en temps réel (AiTM) · deepfake vocal · fatigue MFA · détournement de session
Conformité : NIS2 et secteur public · SecNumCloud · eIDAS 2
FAQ
Comment authentifier des usagers sans smartphone récent ?
En évitant les dispositifs qui supposent un matériel donné, et en prévoyant systématiquement un parcours alternatif tracé, incluant l'accueil physique. L'authentification ne doit jamais devenir une condition d'accès au droit.
Une petite collectivité peut-elle appliquer ces exigences ?
Les obligations ne se dimensionnent pas au budget. La voie réaliste consiste à prioriser les comptes à privilèges et les téléservices exposés, et à privilégier des dispositifs déployables en surcouche de l'existant plutôt qu'une refonte complète.
La souveraineté est-elle un critère de sécurité ou de politique publique ?
Les deux. La localisation des données et la maîtrise juridique du fournisseur conditionnent la capacité à répondre à une réquisition étrangère, à auditer et à assurer la continuité du service.
Que change concrètement le Cyber Resilience Act pour un acheteur public ?
Il crée des obligations à la charge des fabricants de produits numériques : sécurité dès la conception et interdiction des mots de passe par défaut. Les obligations principales portent à horizon fin 2027 ; les cahiers des charges peuvent s'y référer dès maintenant.
Aller plus loin : pilier : authentification cognitive · panorama NIS2, DORA, DSP3 et CRA · MFA résistante au phishing · choisir une solution d'authentification