Pour une collectivité, sécuriser une démarche en ligne ne consiste pas à demander systématiquement le niveau d’authentification le plus élevé. Une connexion trop contraignante peut décourager les usagers, tandis qu’un contrôle insuffisant expose certaines données ou opérations à des risques. Le bon choix dépend de ce que la démarche permet de consulter ou de modifier, et des conséquences d’une erreur. Cette analyse aide à construire un parcours proportionné, compréhensible et accessible.
La première étape consiste à distinguer l’identification, l’authentification et la vérification d’une situation. L’identification désigne la revendication d’une identité, par exemple au moyen d’un compte ; l’authentification vérifie que la personne contrôle bien ce compte, à l’aide d’un mot de passe ou d’un autre facteur. Une démarche peut aussi nécessiter de contrôler un justificatif ou un droit, ce qui relève d’une vérification distincte. Confondre ces besoins conduit parfois à collecter des pièces inutiles ou à imposer des étapes qui n’apportent pas de protection pertinente.
Le choix du niveau d’authentification dépend d’abord de la démarche concernée. Pour consulter des informations générales, l’accès sans compte peut suffire ; pour suivre un dossier personnel, un compte avec authentification est généralement plus adapté. Une demande qui modifie des coordonnées, transmet des données sensibles ou engage une décision administrative mérite une analyse plus poussée des risques et des conséquences d’un accès frauduleux. Des dispositifs comme FranceConnect peuvent faciliter l’authentification auprès de services en ligne, sous réserve que le service soit compatible et que les modalités conviennent au parcours proposé.
Il faut ensuite examiner le parcours du point de vue des usagers. La création d’un compte, la réception d’un code ou la récupération d’un accès peuvent constituer des obstacles pour les personnes peu équipées, en situation de handicap ou en difficulté avec l’écrit. Proposer une solution d’authentification ne dispense donc pas de tester la démarche avec différents profils et technologies d’assistance. La collectivité doit aussi prévoir une voie de recours : accompagnement en guichet, contact téléphonique ou procédure alternative lorsque l’usager ne peut pas utiliser le parcours numérique.
La mise en œuvre repose également sur des choix de gestion des données. La collectivité définit les informations réellement nécessaires, limite les accès internes et documente les échanges avec les prestataires ou services d’authentification. Elle vérifie les responsabilités de chaque acteur, les durées de conservation et les mesures de sécurité, en lien avec son délégué à la protection des données. L’interopérabilité doit être considérée dès le départ : formats d’échange, gestion des comptes et modalités de sortie du prestataire influencent la continuité du service et la capacité à faire évoluer le parcours.
Une authentification adaptée résulte donc d’un arbitrage entre protection, simplicité et inclusion, et non d’un choix technique isolé. En décrivant les risques de chaque démarche, en limitant les données demandées et en testant les alternatives, les équipes peuvent justifier leurs décisions et corriger les points de blocage. Le parcours usager reste ainsi sécurisé sans exclure celles et ceux qui ont besoin d’un autre mode d’accès au service public.
