FranceConnect+ est la version du processus d'authentification renforcée.
Ce service permet l'accès aux services de l'administration publique française et d'entreprises privées en réutilisant l'identifiant et le mot de passe d'un compte partenaire choisi par l'utilisateur.
Histoire du projet
Le projet FranceConnect prend le relais en d'Idénum[1],[2], projet d’identité numérique de niveau élevé (certificat électronique), lancé par Nathalie Kosciusko-Morizet en 2010 avec une vingtaine de partenaires du secteur privé[3], puis relancé par Fleur Pellerin en 2013. Le projet Idénum n’abouti pas à un ralliement de la part des acteurs économiques : il n’est utilisé en 2016 que par La Poste dans une version aux mots de passe de niveau faible pour le suivi en ligne des lettres recommandées en ligne[2].
FranceConnect est officiellement créé en 2018 par un arrêté, qui le définit comme un téléservice ayant pour finalité de proposer au public de s'identifier et de s'authentifier, auprès de services en ligne, au moyen de dispositifs mis en œuvre par des fournisseurs d'identité partenaires. FranceConnect repose sur une fédération d'identités et propose la simplification de démarches administratives[4].
En , FranceConnect compte huit millions d'utilisateurs et cinq millions de connexions mensuelles[5].
En , les 30 millions d'utilisateurs sont dépassés et plus de 900 services en ligne y sont raccordés[6].
En , FranceConnect est utilisé par plus de 37 millions d'utilisateurs sur plus de 1 000 services en ligne.
En , est lancé FranceConnect+, plateforme de FranceConnect, qui fédère des identités plus sécurisées, de niveau substantiel et élevé au sens du règlement eIDAS[7],[8].
En , le code de cette nouvelle plateforme est ouvert sous licence libre et est disponible sur GitHub[9].
Durant l'été 2022, l'hameçonnage sur les comptes Ameli se multipliant, la connexion sur les sites de l'assurance maladie et des impôts via FranceConnect est suspendue, suspensions en vigueur depuis le pour le site des impôts et le pour le site Ameli.fr[10].
Lorsqu'un utilisateur clique sur le bouton FranceConnect, le téléservice FranceConnect se charge de faire le pont entre le fournisseur d’identité et le fournisseur de service en générant un identifiant technique unique. Ainsi, à la suite de l’identification et de l’authentification réussie auprès du fournisseur d’identité choisi, ce dernier envoie au téléservice les données d’identité (nom de naissance, prénoms, date et lieu de naissance, sexe). Le téléservice interroge alors le Répertoire national d'identification des personnes physiques (RNIPP) de l'Institut national de la statistique et des études économiques (INSEE) pour vérifier l’existence de l’utilisateur et l'absence d'homonymes. Si cette identification/authentification est validée, les données d’identité sélectionnées peuvent être transmises du fournisseur d’identité vers le fournisseur de service en ligne et la connexion au service en ligne se poursuit.
Fournisseurs d’identité
Les fournisseurs d'identité proposent leurs identités au travers de FranceConnect. Ils respectent un cahier des charges fonctionnel et sont notamment capables de fournir des données d'identité vérifiées.
FranceConnect compte 7 fournisseurs d’identité en 2024[11] :
l’identité numérique Yris de la société Ariadnext[8],
le compte France Identité, géré par le gouvernement, disponible uniquement avec une carte nationale d'identité au format européen,
l’identité numérique TrustMe de la société A3CB.
Fournisseurs de services
Les fournisseurs de services proposent aux citoyens des démarches en ligne pour faciliter leur vie quotidienne. Si l’utilisateur s'est déjà connecté sur un premier site avec FranceConnect, il n’a plus besoin de ressaisir ses identifiant et mot de passe pour être connecté sur un autre site qui présente aussi le bouton (cette fonctionnalité peut être assimilée à de l'authentification unique). Le fournisseur de services peut définir le niveau d’authentification et d’identification des fournisseurs d’identité présentés par FranceConnect en s'appuyant sur le règlement européen electronic identification and trust services (eIDAS), qui définit trois niveaux d’authentification :
FranceConnect+ propose depuis une identité annoncée comme étant de niveau « substantiel », celle de l’Identité numérique La Poste[8], alors qu'elle n'a obtenu que la certification de niveau « essentiel » de l'ANSSI, et cela avec un niveau de recommandation « modéré »[12]. Ce service est réservé aux utilisateurs qui satisfont un certain nombre de conditions[13] :
il faut posséder un smartphone Android ou Apple;
il faut avoir un compte Google ou Apple pour installer l'application;
il faut être majeur;
il faut disposer d'une pièce d'identité française ou d'un permis de séjour de cinq ans au moins.
Comme FranceConnect+ est devenu en pratique obligatoire pour un certain nombre de démarches (notamment le CPF et le guichet unique de l'INPI[14]), FranceConnect+ prive de facto un certain nombre de personnes de leurs droits, notamment les mineurs, les ressortissants européens n'ayant pas besoin de permis de séjour pour travailler en France, les résidents disposant d'un permis de séjour de 4 ans, ainsi que les personnes ne désirant pas communiquer leurs données personnelles à Google ou Apple ou simplement ne désirant pas posséder un smartphone.
Marie Alauzen, « L’État plateforme et l’identification numérique des usagers : Le processus de conception de FranceConnect », Réseaux, no 213, , p. 211–239 (DOI10.3917/res.213.0211, HALhal-02176434).
