Identification et authentification : comment sécuriser le parcours client ?

Dans un parcours client, identification et authentification sont souvent confondues. Ce sont pourtant deux étapes distinctes, complémentaires, et soumises à des exigences réglementaires précises, notamment dans le secteur bancaire. Définitions, enjeux et solutions. 

Identification et authentification : deux notions à ne pas confondre 

L'identification : établir qui est l'utilisateur 

L'identification est la première étape d'un parcours numérique. Elle consiste à établir l'identité d'un utilisateur à partir des informations qu'il fournit : nom, prénom, date de naissance, adresse, pièce d'identité… 

Pour des services courants (abonnements en ligne), ces informations ne sont généralement pas vérifiées. Mais pour les activités réglementées (banque, assurance, services publics, santé), la vérification de leur véracité est une obligation légale. C'est là qu'intervient la vérification d'identité à distance. 

Le dispositif PVID (Prestataire de Vérification d'Identité à Distance), encadré par l'ANSSI, définit les exigences techniques et procédurales pour cette étape : contrôle d'authenticité du document d'identité, reconnaissance faciale, preuve du vivant, vérification automatique complétée par l’œil humain. C'est ce niveau de vérification qui permet d'atteindre le niveau de garantie « substantiel » du règlement européen eIDAS. 

L'authentification : prouver que l'utilisateur est bien celui qu'il prétend être 

L'authentification intervient après l'identification, à chaque accès au service. Elle consiste à vérifier que la personne qui se connecte est bien le titulaire du compte et non quelqu'un qui aurait obtenu ses identifiants. 

Pour les activités réglementées, une authentification simple (identifiant + mot de passe) ne suffit plus. La réglementation impose une authentification forte, qui combine au moins deux facteurs parmi trois catégories : 

• Quelque chose que je possède : un appareil de confiance, une carte bancaire... 
• Quelque chose que je connais : un mot de passe, un code PIN... 
• Quelque chose que je suis : une empreinte biométrique, la reconnaissance faciale... 

Cette combinaison réduit considérablement le risque de fraude et d'usurpation d'identité, même en cas de compromission d'un seul facteur. 

Les enjeux réglementaires pour les banques 

LCB-FT : connaître et vérifier ses clients 

Les établissements bancaires sont assujettis au dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). Ils doivent collecter et vérifier les informations d'identité de leurs clients (nom, prénom, date et lieu de naissance, adresse) et en conserver la preuve. 

Ces obligations s'appliquent à l'entrée en relation, mais aussi tout au long de la relation client via des processus de remédiation périodiques. Un établissement qui ne respecte pas ces règles s'expose à des sanctions financières significatives. 

DSP2 : l'authentification forte comme obligation 

La directive sur les services de paiement (DSP2) impose l'authentification forte du client pour les opérations sensibles : connexion au compte, initiation d'un virement, paiement en ligne. L'objectif est de réduire la fraude sur les transactions électroniques. 

À noter : le code OTP (mot de passe à usage unique) envoyé par SMS, longtemps utilisé comme second facteur, est aujourd'hui considéré comme insuffisant face aux techniques d'attaque actuelles (SIM swapping, interception...). Les solutions d'authentification forte s'appuient désormais sur des applications dédiées ou des mécanismes biométriques. 

L'Identité Numérique La Poste : identification et authentification en une seule solution 

L'Identité Numérique La Poste adresse les deux étapes du parcours client : identification et authentification, dans une solution certifiée par l'ANSSI au niveau de garantie « substantiel » du règlement eIDAS. 

À l'enrôlement, le parcours est 100 % en ligne : vérification du document d'identité par technologie PVID, reconnaissance faciale, activation sur smartphone. La vérification en bureau de poste reste disponible pour les utilisateurs qui le préfèrent. 

Une fois le compte créé, l'utilisateur dispose d'un identifiant unique qu'il peut réutiliser sur l'ensemble des services qui acceptent L’Identité Numérique La Poste, sans ressaisie, sans nouveau téléchargement de pièce justificative pendant 5 ans. Les données transmises sont vérifiées et certifiées conformes. 

Avec plus de 9 millions d'utilisateurs, L'Identité Numérique La Poste est la solution d'identité numérique certifiée la plus utilisée en France. Pour les établissements bancaires, son intégration simplifie l'entrée en relation, allège la remédiation KYC et répond aux exigences LCB-FT et DSP2. 

Et demain : le wallet européen 

Le règlement eIDAS 2 introduit une nouvelle dimension dans l'écosystème de l'identification et de l'authentification : le portefeuille d'identité numérique européen, dit wallet européen ou EUDI Wallet. 

Chaque citoyen européen pourra stocker des attestations d'identité vérifiées et les présenter aux services qui les demandent, sans avoir à reprouver son identité à chaque fois. La logique est la même que celle de L'Identité Numérique La Poste, portée à l'échelle de l'Union européenne. 

Pour les banques, cela ouvre des perspectives : des parcours KYC simplifiés, une remédiation facilitée, une conformité transfrontalière renforcée. Les établissements qui ont déjà intégré des solutions d'identification forte sont les mieux positionnés pour absorber cette transition. 

Docaposte est engagée dans les travaux de préparation du wallet européen, notamment au sein du consortium WE BUILD, avec l'objectif d'assurer la continuité entre les solutions existantes et les futurs standards européens. 

Besoin d’être accompagnés dans la sécurisation de vos parcours ? 

Nos experts sont disponibles pour vous accompagner dans la sécurisation de vos parcours d'identification et d'authentification.