« Solution française » est une formule commerciale avant d'être une caractéristique vérifiable. Pour qu'elle ait un sens dans une décision d'achat, il faut la décomposer en éléments contrôlables : entité juridique, lieu de conception, lieu d'hébergement, chaîne de sous-traitance, détention des clés, qualifications et réversibilité. Cet article fournit les questions à poser et la manière de vérifier les réponses.
Les sept critères vérifiables
| Critère | Question précise | Preuve à demander |
|---|---|---|
| Entité contractante | quelle société signe, immatriculée où, avec quelle structure capitalistique ? | extrait d'immatriculation, structure du capital |
| Conception et développement | où travaillent les équipes de développement, et où est la propriété intellectuelle ? | localisation des équipes, brevets et dépôts |
| Hébergement | où résident production, sauvegardes, journaux et environnements de secours ? | contrat d'hébergement, liste des centres de données |
| Exploitation | qui administre, depuis quels pays, avec quels accès aux données de production ? | procédure d'accès exceptionnel, liste des pays d'intervention |
| Sous-traitance | quelle chaîne complète, y compris notifications, messagerie, supervision ? | registre des sous-traitants ultérieurs |
| Clés de chiffrement | qui les génère, les détient, peut les révoquer ? | description de la gestion des clés |
| Réversibilité | quels formats d'export, quel délai, quelle assistance, quel sort des données ? | clause contractuelle et test d'extraction |
Trois de ces lignes départagent réellement les offres. L'exploitation : une administration réalisée depuis un pays tiers relativise fortement un hébergement national. La sous-traitance : l'exposition est celle du maillon le plus contraint, et les briques accessoires — service de notification, envoi de messages, supervision — sont fréquemment omises des réponses. La détention des clés : c'est le paramètre qui détermine ce qu'un tiers peut effectivement obtenir en clair.
Vérifier les affirmations, pas les récits
Quatre réflexes évitent les mauvaises surprises.
Distinguer une qualification obtenue d'une démarche en cours. La formulation « engagé dans une démarche SecNumCloud » ne signifie pas « qualifié SecNumCloud ». Les deux situations sont légitimes — la seconde est même normale pour une solution récente — mais elles n'ont pas la même valeur probante. Vérifiez systématiquement auprès de l'organisme qui délivre la qualification.
Demander la réponse par écrit. Un fournisseur sérieux documente sa chaîne de sous-traitance et ses pays d'intervention. Un refus ou une réponse évasive constitue en soi une information.
Tester la réversibilité. Une clause de sortie n'a de valeur qu'exercée. Un test d'extraction sur un périmètre réduit révèle en quelques jours ce qu'aucun engagement contractuel ne garantit : complétude des exports, exploitabilité des formats, existence des configurations.
Vérifier les affirmations de sécurité. Aucun fournisseur sérieux ne promet l'inviolabilité. Une offre qui garantit une protection absolue signale un problème de rigueur, pas un avantage technique.
Ne pas s'arrêter à la provenance
L'origine nationale facilite l'analyse ; elle ne dit rien de la robustesse du dispositif. Une solution française bâtie sur un facteur relayable en temps réel ne protège pas mieux qu'une solution étrangère reposant sur le même mécanisme. Les deux volets de l'évaluation — souveraineté et résistance aux attaques — doivent être menés ensemble.
Trois questions techniques à poser en parallèle des critères de provenance :
- Le facteur est-il rejouable ? Si un attaquant intercepte l'intégralité de l'échange, que peut-il réutiliser ? C'est le critère qui sépare les méthodes résistantes des autres, détaillé dans l'analyse des MFA résistantes au phishing.
- La validation porte-t-elle sur la session ou sur l'action ? Une authentification qui ouvre une session laisse entière la question de ce qui sera fait ensuite.
- Que devient le dispositif face à la manipulation de l'utilisateur ? Approbation obtenue par lassitude, appel se faisant passer pour le support, fraude au faux conseiller.
Le positionnement de HIAsecure
Pour situer une offre concrète au regard de cette grille : HIAsecure édite une solution d'authentification cognitive ajoutant un quatrième facteur, « je sais faire », qui vérifie une intention humaine consciente plutôt qu'un secret réutilisable. Les éléments vérifiables sont les suivants :
- Solution conçue, développée et hébergée en France.
- Approche passwordless et IDless : ni mot de passe, ni identifiant permanent. Aucune donnée identifiante n'est détenue par l'éditeur.
- Architecture décentralisée, biométrie éventuelle traitée localement sur le terminal.
- Un QR code dynamique à usage unique ouvre un canal éphémère chiffré ; les techniques de Moving Target Defense et de polymorphisme fonctionnel visent à rendre l'observation et le rejeu inopérants.
- Deux brevets, label Finance Innovation 2025, participation à la Nuit de la Sécurité, qualification SecNumCloud en cours.
- Déploiement possible en overlay d'une MFA existante, ou en parcours complet dans un continuum 2FA → 4FA.
Ces éléments sont à confronter à votre propre grille, et à vérifier comme n'importe quelle affirmation fournisseur.
Construire sa décision
Une démarche d'achat efficace se déroule en quatre temps : établir la grille de critères avant de rencontrer les fournisseurs ; demander des réponses écrites ; vérifier les points contrôlables à la source ; puis tester sur un périmètre réel — un parcours sensible, une population restreinte — avant de généraliser. Cette méthode est développée dans la grille d'évaluation d'un fournisseur et dans le guide de choix d'une solution d'authentification.
FAQ
Comment vérifier qu'une solution est réellement conçue en France ?
En demandant la localisation des équipes de développement, l'entité qui détient la propriété intellectuelle et le lieu de dépôt des brevets. Ces éléments sont documentables, contrairement à un argumentaire général.
La qualification SecNumCloud est-elle indispensable ?
Elle est exigée dans certains contextes publics ou sensibles, et constitue ailleurs un repère de sérieux. Son absence n'est pas rédhibitoire si les autres critères sont documentés — mais une qualification annoncée doit toujours être vérifiée à la source.
Une solution française coûte-t-elle plus cher ?
La comparaison de prix unitaires est incomplète. Il faut intégrer le coût de la dépendance : capacité de négociation, réversibilité, exposition en cas de changement unilatéral des conditions du fournisseur.
Peut-on tester avant de s'engager ?
C'est même recommandé. Un pilote sur un parcours sensible et une population restreinte apporte plus d'information qu'un cycle d'appels d'offres, notamment sur l'enrôlement, les parcours de repli et l'acceptation par les utilisateurs.
Aller plus loin : le 4ᵉ facteur cognitif · pourquoi l'authentification est un sujet de souveraineté · héberger ses données en France · choisir une solution d'authentification