À partir de 2027, l’EUDI Wallet doit entrer dans les parcours d’authentification européens. Mais son raccordement est loin d’être trivial. Protocoles, intermédiaires, pseudonymes et dette IAM : Anne-Lise Poutrel, Customer Success Manager IAM chez Synetis, détaille le chantier qui attend les entreprises.
Code Confiance : Où l’EUDI Wallet viendra-t-il se brancher dans l’architecture d’une entreprise ?
Anne-Lise Poutrel : Pour une plateforme CIAM, le wallet sera un nouveau moyen d’authentification et de présentation d’attributs. L’entreprise continuera à gérer comptes, droits et sessions dans son environnement actuel. Mais elle devra vérifier les preuves reçues, puis traduire leur résultat dans un format exploitable.
Repère : Les architectures installées ont été conçues autour de SAML, OAuth 2.0 ou OpenID Connect. L’EUDI Wallet introduit notamment OpenID4VP et SD-JWT VC. Ce n’est pas exactement le même langage. Il faut faire dialoguer les deux mondes sans reconstruire tout le CIAM.
La “passerelle de confiance” sera-t-elle indispensable ?
Ce sera probablement le choix le plus rationnel pour beaucoup d’entreprises. Une banque, un assureur ou un énergéticien n’a pas forcément intérêt à développer toute la chaîne : dialogue avec les wallets, validation des signatures, gestion des certificats, contrôle de révocation et traduction des attributs.
Un intermédiaire pourra effectuer ces opérations et restituer au système historique des données exploitables. Mais il devient un maillon de sécurité critique. Il faudra déterminer qui vérifie quoi, qui voit les données et qui répond en cas d’erreur.
Ajouter un intermédiaire crée donc aussi un risque ?
Évidemment. Un protocole robuste peut être mal implémenté. Nous le voyons déjà en fédération d’identité : une application qui respecte imparfaitement le standard peut bloquer l’intégration ou créer une fuite de données. Avec le wallet, le nombre d’acteurs et de contrôles augmente.
Repère : Le cadre européen prévoit les intermédiaires, mais l’interface avec l’entreprise utilisatrice reste hors du périmètre de l’architecture de référence. Celle-ci n’impose pas que les attributs soient toujours chiffrés de bout en bout de manière à rester invisibles à l’intermédiaire. La confiance devra donc être auditée et encadrée, pas supposée.
Quel rôle joue le “pairwise pseudonym” ?
Anne-Lise Poutrel : Je préfère être claire. Je découvre encore ce mécanisme et je ne suis pas en mesure d’en détailler aujourd’hui l’implémentation. C’est aussi révélateur de la situation actuelle. Les protocoles définissent des rôles théoriques, mais il reste à les répartir concrètement entre les composants et les acteurs.
Repère : Le pseudonyme propre à chaque partie utilisatrice n’est pas une passerelle vers le CIAM. Il donne à une même personne un identifiant différent pour chaque service afin de limiter le traçage. Pour l’entreprise, les questions restent entières : comment le rattacher à un compte, gérer un changement de wallet ou les cas où l’identité légale doit être connue ? Réclamer systématiquement l’identité complète viderait le wallet de sa promesse de minimisation.
Les plateformes comme Okta, Ping ou Auth0 sont-elles prêtes ?
Chaque acteur cherche encore sa place. Les fournisseurs d’identité se demandent s’ils doivent devenir eux-mêmes des plateformes d’intermédiation. Des spécialistes proposent déjà cette couche et s’interrogent sur la concurrence future des grands IDP. France Connect sera aussi une réponse à certaines implémentations mais ne couvrira probablement tous les cas d’usage comme le contrôle des mandats permettant d’agir pour le compte d’une entreprise et qui pourront être hébergés dans les wallets. Beaucoup d’acteurs sont prêts chacun de leur côté ; ce qui manque encore de visibilité, c’est leur orchestration.
La mauvaise stratégie serait donc d’attendre une case “Activer l’EUDI Wallet”. Les entreprises doivent demander à leurs fournisseurs quels protocoles seront supportés, comment seront gérés les pseudonymes et qui portera les contrôles.
Par quoi une entreprise doit-elle commencer ?
Il ne faut surtout pas mettre le sujet en bas de la pile. Dès maintenant, les entreprises doivent évaluer la capacité de leur écosystème d’identité à intégrer le wallet, tester des solutions et chercher les bons partenaires. La première version ne sera peut-être pas la bonne, mais c’est précisément pour cela qu’il faut commencer avant l’obligation. Comme pour les projets IAM historiques, les principales problématiques ne viennent pas des solutions technologiques à disposition mais de la définition claire des besoins et cas d’usages à couvrir. La nouvelle réglementation ouvre beaucoup de perspectives, à chaque organisation en tirer les meilleurs partis pour s’intégrer dans la modernité.
En pratique, le chantier commence par les usages : ouverture de compte, souscription, preuve d’âge, diplôme, mandat ou signature. Vient ensuite l’état des lieux du CIAM : référentiels, fédération, cycle de vie, consentement, journalisation et nouveaux identifiants. Puis seulement le choix entre intégration native, passerelle ou intermédiaire. Si les fondations IAM sont mauvaises, le wallet ne les réparera pas. Il ajoutera de la complexité à une architecture déjà fragile.
Le marché sera-t-il vraiment prêt en 2027 ?
Les composants peuvent avancer vite, car l’écosystème capitalise sur plus de dix ans de fédération d’identité. Mais une expérience uniforme dès 2027 me paraît peu réaliste. Les entreprises n’ont ni la même maturité, ni les mêmes budgets. Et l’adoption dépendra aussi de la capacité à convaincre les utilisateurs de changer leurs habitudes. Le risque n’est pas que rien ne fonctionne, mais que chaque acteur soit prêt dans son coin tandis que le parcours reste mal orchestré. Il faut tester maintenant et choisir ses partenaires sur des preuves, pas sur une démonstration commerciale.
In fine, l’EUDI Wallet ne remplacera ni le CIAM ni la gouvernance des identités. Il ajoutera une chaîne de preuves à intégrer, sécuriser et expliquer. La promesse est forte : moins de copies de pièces d’identité et moins de données divulguées. Mais sans architecture solide, responsabilités explicites et tests grandeur nature, le wallet européen ne supprimera pas les angles morts. Il les déplacera.
