Dans la foul\u00e9e des \u00e9changes de la journ\u00e9e du 8 avril, je partage quelques r\u00e9flexions compl\u00e9mentaires sur le cas d\u2019usage paiement des portefeuilles\/wallets europ\u00e9ens d\u2019identit\u00e9 num\u00e9rique (wallets eIDAS) orient\u00e9es autour de trois id\u00e9es principales :<\/p>\n\n\n\n
C\u2019est sans doute la donn\u00e9e fondamentale, celle qui fixe le cap g\u00e9n\u00e9ral et part du double constat de la convergence des attributs d\u2019identit\u00e9, de statut et de paiement dans les wallets mais aussi de la capacit\u00e9 des wallets eIDAS de g\u00e9rer de fa\u00e7on autonome et s\u00e9curis\u00e9e l\u2019authentification forte lorsqu\u2019elle est requise par la loi. <\/p>\n\n\n\n
Car l\u2019arriv\u00e9e des wallets eIDAS est un \u00e9v\u00e9nement majeur pour les interactions num\u00e9riques des citoyens europ\u00e9ens, qui sera \u00e9videmment renforc\u00e9 par l\u2019arriv\u00e9e des wallets d\u2019entreprise annonc\u00e9e en janvier 2025<\/a> et la g\u00e9n\u00e9ralisation des attestations d\u2019attributs pour les personnes morales (cette g\u00e9n\u00e9ralisation \u00e9tant notamment pr\u00e9vue par la directive 2025\/25 concernant la num\u00e9risation du droit des soci\u00e9t\u00e9s<\/a>). De fait, les wallets de particuliers et d\u2019entreprise sont au c\u0153ur de l\u2019infrastructure digitale publique europ\u00e9enne en cours de construction.<\/p>\n\n\n\n Ne nous y trompons pas, les attestations d\u2019attributs disponibles au sein des wallets d\u2019identit\u00e9 num\u00e9rique vont s\u2019\u00e9tendre \u00e0 tous les domaines car elles r\u00e9pondent \u00e0 des besoins \u00e9vidents des prestataires de services. Que l\u2019on pense aux attestations de majorit\u00e9, de statut sp\u00e9cifique (\u00e9tudiant, salari\u00e9, retrait\u00e9, mari\u00e9\/pacs\u00e9, etc) ou de r\u00e9sidence (de pays, de r\u00e9gion ou de ville), de tr\u00e8s nombreux cas d\u2019usage b\u00e9n\u00e9ficieront de leur d\u00e9ploiement s\u00e9curis\u00e9. Certains d\u2019entre eux sont express\u00e9ment au menu des travaux des futurs LSP Aptitude et WeBuild.<\/p>\n\n\n\n C\u2019est aussi un changement de paradigme r\u00e9sultant de l\u2019adoption d\u2019un sch\u00e9ma d\u2019interactions digitales \u00e0 vocation d\u00e9centralis\u00e9e et bas\u00e9 sur des attestations v\u00e9rifiables (verifiable credentials) individualis\u00e9es. C\u2019est toute la logique du passage du protocole OpenID Connect<\/a> (sch\u00e9ma centralis\u00e9 \u2013 notamment utilis\u00e9 par France Connect ou, dans un domaine voisin, par B-Connect) \u00e0 OID4VP<\/a> (sch\u00e9ma d\u00e9centralis\u00e9 de pr\u00e9sentation d\u2019attestations inscrit dans la norme ISO 18013-7, elle-m\u00eame act\u00e9e comme standard unique des interactions en ligne des wallets eIDAS dans le r\u00e8glement d\u2019application eIDAS d\u00e9di\u00e9). Ce changement mettant en \u0153uvre la minimisation des donn\u00e9es est respectueux de la privacy et doit \u00eatre encourag\u00e9.<\/p>\n\n\n\n En r\u00e9sum\u00e9, la possibilit\u00e9 pour les wallets eIDAS d\u2019assurer de fa\u00e7on autonome l\u2019authentification forte lorsque celle-ci est requise par la loi, en mode embarqu\u00e9 (embedded<\/em>) sans redirection vers le teneur de compte du payeur et la mise \u00e0 disposition au sein des wallets eIDAS d\u2019attestations s\u00e9curis\u00e9es et individualis\u00e9es d\u00e9finit clairement un nouveau cadre de r\u00e9f\u00e9rence pour les paiements offrant \u00e0 la fois plus de s\u00e9curit\u00e9 (et donc une meilleure lutte contre la fraude) mais aussi, et c\u2019est peut-\u00eatre encore plus structurant, de meilleurs services pour les commer\u00e7ants et autres fournisseurs de services. Certes, de nombreux challenges restent \u00e0 surmonter avant la g\u00e9n\u00e9ralisation de ce nouvel environnement, mais on ne saurait m\u00e9conna\u00eetre l\u2019int\u00e9r\u00eat v\u00e9ritablement strat\u00e9gique que repr\u00e9sente dans des interactions uniques la pr\u00e9sentation combin\u00e9e d\u2019attributs d\u2019identit\u00e9, de statut et de moyens de paiement. C\u2019est le monde de demain qu\u2019il convient de pr\u00e9parer d\u00e8s aujourd\u2019hui.<\/p>\n\n\n\n Si l\u2019arriv\u00e9e des wallets eIDAS annonce une nouvelle \u00e8re des paiements num\u00e9riques, force est de constater que celle-ci ne s\u2019int\u00e8gre qu\u2019imparfaitement dans le cadre r\u00e9glementaire des paiements actuel \u2013 celui de la DSP2, ce qui ne saurait \u00e9tonner pour un texte r\u00e9glementaire bien ant\u00e9rieur au r\u00e8glement eIDAS actuel \u2013 mais \u00e9galement celui du futur r\u00e8glement sur les services de paiement en pr\u00e9paration, ce qui est par contre plus probl\u00e9matique.<\/p>\n\n\n\n Une premi\u00e8re raison structurelle explique ce d\u00e9calage. Elle tient au fait que la r\u00e9glementation europ\u00e9enne des paiements est bas\u00e9e sur le principe cardinal de l\u2019approche par les risques, \u00e9galement au c\u0153ur de la r\u00e8glementation sur la lutte anti-blanchiment, qui veut qu\u2019\u00e0 situation plus risqu\u00e9e corresponde un m\u00e9canisme d\u2019authentification plus rigoureux et, \u00e0 situation moins risqu\u00e9e, un m\u00e9canisme d\u2019authentification plus fluide. Cette notion centrale dans les m\u00e9canismes d\u2019authentification des paiements est \u00e9trang\u00e8re \u00e0 l\u2019environnement eIDAS des wallets d\u2019identit\u00e9 num\u00e9rique, lesquels sont con\u00e7us pour offrir \u00e0 leurs titulaires un sch\u00e9ma offrant un niveau de garantie \u00e9lev\u00e9, imposant de fait des contraintes et frictions d\u2019utilisation qui risquent d\u2019affecter l\u2019exp\u00e9rience client et s\u2019av\u00e9rer m\u00eame r\u00e9dhibitoires pour des paiements quotidiens. Faudrait-il en effet, pour autoriser un paiement, trois utilisations de la touche biom\u00e9trique de son smartphone, une premi\u00e8re fois pour d\u00e9verrouiller l\u2019application, une deuxi\u00e8me fois pour mettre en \u0153uvre l\u2019authentification mutuelle avec le b\u00e9n\u00e9ficiaire du paiement et une troisi\u00e8me fois pour valider le paiement proprement dit ? La comparaison avec les paiements sans contact qui de plus g\u00e8rent sans difficult\u00e9 le mode hors ligne (alors que celui-ci n\u2019est pas pris en compte actuellement pour les wallets eIDAS) risque d\u2019\u00eatre s\u00e9v\u00e8re pour les wallets eIDAS, et d\u00e9courager les utilisateurs, ce qui serait \u00e9videmment tr\u00e8s pr\u00e9judiciable au d\u00e9ploiement \u00e0 grande \u00e9chelle d\u2019un sch\u00e9ma qui repose sur une adh\u00e9sion volontaire des utilisateurs.<\/p>\n\n\n\n Il serait certes envisageable que les wallets eIDAS soient autoris\u00e9s \u00e0 fonctionner sur un mode moins contraignant que celui requis par le niveau de garantie \u00e9lev\u00e9 lorsque le cas d\u2019usage ne justifie pas d\u2019un tel mode \u2013 et on rappellera \u00e0 cet \u00e9gard que le r\u00e8glement LCB-FT europ\u00e9en du 31 mai 2024<\/a> d\u00e9finit, comme aujourd\u2019hui en France, le niveau eIDAS Substantiel (\u00e9videmment moins contraignant que le niveau Elev\u00e9) comme niveau de r\u00e9f\u00e9rence. Ceci dit, la possibilit\u00e9 pour les wallets eIDAS de fonctionner autrement qu\u2019en mode eIDAS Elev\u00e9 fait d\u00e9bat et n\u2019est pas aujourd\u2019hui officiellement arr\u00eat\u00e9e. On pourrait \u00e9galement imaginer que l\u2019initiative d\u2019activer l\u2019authentification forte des wallets eIDAS pour les paiements revienne non plus au titulaire du wallet (le payeur) mais \u00e0 sa banque, \u00e0 l\u2019instar de ce qui se passe en Belgique avec ITSME, ce qui permettrait de limiter l\u2019utilisation des wallets eIDAS aux situations r\u00e9ellement atypiques justifiant des pr\u00e9cautions suppl\u00e9mentaires. C\u2019est sans doute possible mais risque de beaucoup limiter l\u2019int\u00e9r\u00eat des wallets eIDAS en les cantonnant \u00e0 un simple r\u00f4le de moyen d\u2019authentification par redirection. Bref, les jeux ne sont pas faits et les incertitudes demeurent.<\/p>\n\n\n\n Il y a aussi le malencontreux enregistrement obligatoire des parties utilisatrices de wallets eIDAS, qu\u2019on ne retrouve nulle part ailleurs (tous les autres sch\u00e9mas d\u2019identit\u00e9 num\u00e9rique eIDAS en sont exempt\u00e9s !) et qui met en place un r\u00e9gime encore plus contraignant que celui issu du RGPD avec enregistrement et notification pr\u00e9alable aux autorit\u00e9s des attributs demand\u00e9s et de l\u2019usage qui en sera fait. Disons-le franchement, une telle exigence mettant en place un r\u00e9gime de protection des donn\u00e9es personnelles aussi d\u00e9rogatoire risque de peser lourd dans les d\u00e9cisions d\u2019acceptation des wallets eIDAS par les commer\u00e7ants, dont l\u2019immense majorit\u00e9, \u00e0 la diff\u00e9rence des banques, n\u2019a aucune obligation de les accepter.<\/p>\n\n\n\n Ajoutons que les textes eIDAS et DSP2\/projet de RSP ne sont pas en coh\u00e9rence sur des points cl\u00e9s. A titre d\u2019exemple, on citera le fait que le r\u00e8glement eIDAS indique que l\u2019authentification forte est une fonctionnalit\u00e9 du wallet eIDAS qui s\u2019impose aux banques alors que la DSP2 et le projet de RSP indique que c\u2019est justement la banque du payeur (du titulaire du wallet eIDAS) qui d\u00e9finit la proc\u00e9dure d\u2019autorisation du paiement par le payeur. On voit mal comment en pratique s\u00e9parer les deux sujets et la logique voudrait que, puisque le wallet eIDAS doit assurer l\u2019authentification forte des paiements, il d\u00e9finisse \u00e9galement les modalit\u00e9s de consentement au paiement et en fournisse la preuve v\u00e9rifiable, laquelle sera \u00e9videmment communiqu\u00e9e au prestataire de services de paiement charg\u00e9 de valider le paiement et d\u2019assurer le transfert des fonds correspondants. Enfin, l\u2019articulation des r\u00e8gles de responsabilit\u00e9 eIDAS et de la DSP2\/RSP en cas de d\u00e9faillance du m\u00e9canisme d\u2019authentification forte du wallet eIDAS reste \u00e0 d\u00e9finir.<\/p>\n\n\n\n On objectera que cette r\u00e9conciliation devrait \u00eatre assur\u00e9e par l\u2019autorit\u00e9 bancaire europ\u00e9enne dans le cadre de la pr\u00e9paration des futures normes techniques d\u2019application du futur r\u00e8glement sur les services de paiement – l\u2019ABE a en effet pour mandat de tenir compte des wallets eIDAS dans leur pr\u00e9paration, mais celle-ci ne viendra que tardivement \u2013 sans doute pas avant 2027 \u2013 et ne pourra sans doute pas compl\u00e8tement rem\u00e9dier au d\u00e9calage structurel entre les normes de premier niveau (r\u00e8glement eIDAS et futur RSP) si celui-ci devait perdurer.<\/p>\n\n\n\n On l\u2019a dit, les wallets eIDAS feront utilisation du futur standard OID4VP (OpenID for Verifiable Presentations<\/em>) pour les interactions digitales en ligne \u2013 les interactions de proximit\u00e9 feront de leur cot\u00e9 usage du standard ISO 18013-5 con\u00e7u pour les permis de conduire et dont l\u2019application pour les interactions de paiement pose des probl\u00e8mes aujourd\u2019hui non r\u00e9solus.<\/p>\n\n\n\n Ce standard OID4VP est encore en projet aujourd\u2019hui mais repr\u00e9sente clairement l\u2019avenir lorsqu\u2019il s\u2019agit pour un titulaire de wallet eIDAS de pr\u00e9senter des attestations s\u00e9curis\u00e9es en provenance de tiers qui peuvent ensuite \u00eatre directement v\u00e9rifi\u00e9es par les parties utilisatrices auxquelles elles sont communiqu\u00e9es (en pratiques des Verifiable Credentials<\/a><\/em>) . La logique de ces attestations est qu\u2019elles concernent bien s\u00fbr le titulaire du wallet mais ne peuvent \u00eatre modifi\u00e9es par ce dernier (lequel, pour prendre un exemple parlant, n\u2019a pas la facult\u00e9 de se rajouter une mention \u00e0 un dipl\u00f4me d\u2019universit\u00e9 !).<\/p>\n\n\n\n Ce standard est de fait bien adapt\u00e9 \u00e0 la pr\u00e9sentation \u00e0 des tiers d\u2019attestations de moyens de paiement (IBAN ou cartes) \u00e9mis par les \u00e9tablissements payeurs et qui seraient log\u00e9es dans des wallets eIDAS. De telles attestations pr\u00e9sent\u00e9es par les b\u00e9n\u00e9ficiaires des paiements permettraient \u00e9galement de consid\u00e9rablement simplifier la v\u00e9rification des b\u00e9n\u00e9ficiaires de paiements, exigence r\u00e9glementaire issue du r\u00e8glement sur les virements instantan\u00e9s et qui sera \u00e9tendue dans le cadre de la mise en place du prochain r\u00e8glement sur les services de paiement. <\/p>\n\n\n\n Il pr\u00e9sente toutefois deux difficult\u00e9s distinctes dans une utilisation dans le cadre des paiements :<\/p>\n\n\n\n Il serait pourtant techniquement adapt\u00e9 de s\u00e9curiser de telles donn\u00e9es au moyen de signatures \u00e9lectroniques eIDAS car c\u2019est justement la raison d\u2019\u00eatre de ces signatures que d\u2019enregistrer des engagements \u00e0 force probante, avec un fichier de preuve indiquant \u00ab qui a fait quoi \u00e0 quel moment<\/em>\u00bb et pr\u00e9sentable lors de proc\u00e9dures judiciaires. Ce moyen est d\u2019autant plus adapt\u00e9 que les wallets eIDAS doivent offrir \u00e0 leur titulaire une fonctionnalit\u00e9 de signature \u00e9lectronique qualifi\u00e9e assurant un niveau de s\u00e9curit\u00e9 \u00e9lev\u00e9 et une \u00e9quivalence juridique \u00e0 la signature manuscrite. Pourtant, tout indique qu\u2019elles ne seront pas retenues pour la mise en \u0153uvre du cas d\u2019usage paiement dans le cadre du futur Payments Rulebook<\/em> du document d\u2019achitecture et de r\u00e9f\u00e9rence eIDAS (ARF document<\/a>) en cours de pr\u00e9paration.<\/p>\n\n\n\n A ces interrogations d\u00e9j\u00e0 importantes s\u2019ajoute, en France, l\u2019incertitude li\u00e9e \u00e0 la mise en \u0153uvre de la d\u00e9clinaison fran\u00e7aise du wallet eIDAS. En effet, alors que l\u2019architecture m\u00eame des wallets eIDAS est d\u2019assurer la gestion combin\u00e9e dans une application unique des Personal Identification Data (PID) issus du secteur public (en clair, les donn\u00e9es officielles d\u2019identit\u00e9 \u00e9mises par les pouvoirs publics) et des attestations \u00e9lectroniques d\u2019attributs \u00e9mises par des prestataires de services relevant du secteur priv\u00e9, les responsables de France Titres en charge du projet ont exprim\u00e9 le souhait assez net de limiter ces derni\u00e8res au strict minimum, ce qui pourrait conduire \u00e0 emp\u00eacher la gestion d\u2019attestations v\u00e9rifiables repr\u00e9sentant des moyens de paiement du titulaire du wallet, et par extension, la mise en \u0153uvre du cas d\u2019usage paiement. Le contraste est saisissant avec l\u2019approche poursuivie en Allemagne, bas\u00e9e sur une pluralit\u00e9 de wallets eIDAS publics et priv\u00e9s reconnus par le gouvernement allemand et un processus d\u2019\u00e9laboration des sp\u00e9cifications techniques ouvert et comp\u00e9titif.<\/p>\n\n\n\n En conclusion, si la promesse de l\u2019identit\u00e9 num\u00e9rique dans les paiements est \u00e0 la fois r\u00e9elle et tr\u00e8s significative car elle ouvre vers un univers d\u2019interactions num\u00e9riques plus s\u00e9curis\u00e9es et des services enrichis r\u00e9pondant mieux aux besoins des acteurs \u00e9conomiques, les difficult\u00e9s et challenges pour y arriver ne manquent vraiment pas et conduisent \u00e0 une vraie perplexit\u00e9 face \u00e0 certain des choix op\u00e9r\u00e9s et des options retenues.<\/p>\n\n\n\n Dans ce contexte marqu\u00e9 par des incertitudes majeures, une approche plus sp\u00e9cifique aux paiements aurait \u00e9t\u00e9 pr\u00e9f\u00e9rable et une chose appara\u00eet clairement\u00a0: l\u2019\u00e9ch\u00e9ance de mise en \u0153uvre du cas d\u2019usage paiement, fix\u00e9e par le r\u00e8glement eIDAS \u00e0 d\u00e9cembre 2027 semble d\u2019ores et d\u00e9j\u00e0 hors de port\u00e9e. <\/p>\n","protected":false},"excerpt":{"rendered":" Dans la foul\u00e9e des \u00e9changes de la journ\u00e9e du 8 avril, je partage quelques r\u00e9flexions compl\u00e9mentaires sur le cas d\u2019usage paiement des portefeuilles\/wallets europ\u00e9ens d\u2019identit\u00e9 num\u00e9rique (wallets eIDAS) orient\u00e9es autour de trois id\u00e9es principales : C\u2019est sans doute la donn\u00e9e fondamentale, celle qui fixe le cap g\u00e9n\u00e9ral et part du double constat de la convergence des … <\/p>\n\n
\n
\n