Le Scan S39 : <b>Spécial sécurité, identité numérique et passkeys</b>

Cette semaine, notre veille se concentre sur un seul terrain : la connexion. D'un côté, le portefeuille européen d'identité numérique, dont le déploiement approche, promet de changer la manière dont on prouve qui on est en ligne. De l'autre, les passkeys, présentées comme la relève du mot de passe, cachent une limite que peu d'articles pointent : elles ne suppriment pas le partage de compte.

Le portefeuille européen d'identité numérique, ce n'est pas de la science-fiction

Nous évoquons le Portefeuille Européen d'Identité Numérique (EUDI Wallet) dans cette veille depuis plusieurs semaines, notamment la semaine dernière à propos d'une étude sur la fin annoncée du mot de passe. Il est temps de poser clairement ce que recouvre ce dispositif, qui va changer nos habitudes de connexion aux espaces clients dans les prochaines années.

Concrètement, il s'agit d'une application sécurisée, gratuite et d'usage volontaire, dans laquelle chaque citoyen européen pourra stocker sa carte d'identité, ses diplômes, son permis de conduire ou d'autres documents officiels, puis choisir précisément quelles informations il partage et avec qui, sans jamais transmettre plus que nécessaire, ce que l'on appelle la divulgation sélective. Le cadre légal existe depuis mai 2024, chaque État membre doit proposer au moins un portefeuille fonctionnel avant la fin de l'année 2026, et son acceptation deviendra obligatoire pour les banques, les grandes plateformes et de nombreux services publics à partir de fin 2027 (Journal du Net, 20 avril 2026).

Ce type de dispositif n'a rien d'une utopie : Singapour a lancé Singpass, son identité numérique nationale, dès 2003, et l'utilise aujourd'hui pour la grande majorité des démarches administratives et privées de ses citoyens (Ministry of Digital Development and Information de Singapour). Vingt ans de recul plus tard, l'exemple singapourien montre qu'une fois l'usage installé, il devient la norme plutôt que l'exception.

Pour nous, ce portefeuille va changer en profondeur les habitudes de connexion aux espaces clients français, bien au-delà des démarches administratives. Le jour où un assuré, un client bancaire ou un adhérent pourra prouver son identité en un geste, sans ressaisir ses informations ni créer un énième compte, les organisations qui n'auront pas anticipé cette bascule dans leurs parcours d'authentification prendront du retard sur celles qui l'auront intégrée en amont. Ce n'est plus une question de si, mais de quand : mieux vaut s'y préparer dès maintenant que de la découvrir en urgence dans deux ans.

Passkeys : la fausse promesse de la fin du partage de compte

Les passkeys s'imposent progressivement comme le successeur naturel du mot de passe : authentification biométrique, résistance au phishing, disparition de la ressaisie fastidieuse d'un mot de passe oublié. Nous sommes convaincus qu'elles vont, elles aussi, transformer la manière dont on se connecte à un espace client. Mais nos confrères de Calipia, cabinet de conseil spécialisé dans les technologies de l'information, ont raison de tordre le cou à une idée reçue dans une analyse publiée le 14 septembre 2026 : non, les passkeys ne suppriment pas le partage de compte.

Dans les faits, la grande majorité des passkeys utilisées aujourd'hui sont synchronisées : elles se copient facilement d'un appareil à l'autre via le trousseau Apple, le gestionnaire de mots de passe Google ou un outil tiers. Le partage de compte reste donc possible, il change simplement de nature. Ce n'est plus un geste universel et gratuit, comme donner oralement un mot de passe à quelqu'un, mais un geste outillé, réservé aux utilisateurs équipés des bons outils de synchronisation (Calipia, 14 septembre 2026). Aucun service grand public ne propose aujourd'hui de véritable délégation d'accès, avec des droits nommés et révocables, pour la personne à qui l'on confie son compte.

Faut-il s'en réjouir ou s'en inquiéter ? Les deux se défendent. Pour un aidant qui gère l'espace client d'assurance, de mutuelle ou d'énergie d'un parent âgé, cette possibilité de partage reste précieuse : elle correspond à un usage réel et légitime, que peu d'espaces clients savent aujourd'hui accompagner proprement. Pour une organisation qui doit garantir que seule la bonne personne agit sur un compte sensible, la même possibilité devient une faille difficile à tracer. Nous ne trancherons pas à la place de nos lecteurs, mais nous sommes convaincus qu'avant de juger, encore faut-il connaître la mécanique réelle des passkeys, plutôt que la promesse marketing qui les entoure.

À retenir cette semaine

Deux dispositifs, deux promesses de simplifier la connexion, et un même enseignement : ni le portefeuille européen d'identité numérique ni les passkeys ne sont les solutions miracles parfois décrites. Comprendre précisément ce qu'ils changent, et ce qu'ils ne changent pas, est la condition pour les intégrer intelligemment dans un espace client plutôt que de les subir.