Identifier les signataires avec le portefeuille européen d'identité
Le portefeuille européen d'identité numérique (EUDI, règlement eIDAS 2) permet de prouver son identité depuis un téléphone. Dans EZparaph, votre serveur vérifie directement cette preuve, sans service d'authentification tiers, et l'inscrit au dossier de preuve de l'acte.
Fonctionnalités actuelles Pistes à l'étude →En place aujourd'hui : l'identification de vos agents
L'agent présente une attestation d'identité depuis son portefeuille en scannant un code QR (norme OpenID4VP), soit à la connexion à EZparaph, soit au moment de signer.
- Vérification locale, sans intermédiaire : votre serveur contrôle lui-même la chaîne de certificats de l'émetteur (jusqu'à l'autorité de confiance configurée), la signature de l'attestation, les attributs transmis et la liaison cryptographique avec le téléphone. Aucune donnée d'identité ne sort de votre infrastructure.
- Rejet strict des attestations non conformes : toute attestation expirée, mal signée, rejouée ou émise par une autorité inconnue est rejetée.
- Minimisation des données : seuls le nom, le prénom et la date de naissance sont demandés. EZparaph bloque toute requête portant sur un attribut non déclaré par l'exploitant.
- Traçabilité dans le dossier de preuve : le dossier de l'acte consigne la vérification cryptographique de l'identité via le portefeuille EUDI.
Attention à la valeur juridique : présenter une attestation permet d'identifier le signataire, mais ne produit pas une signature électronique qualifiée. Le dossier de preuve mentionne explicitement « signature non qualifiée ». Si votre procédure exige une signature qualifiée, cette vérification d'identité ne la remplace pas.
Détails techniques d'implémentation
Formats. SD-JWT VC et mdoc (ISO/IEC 18013-5). Requête OpenID4VP avec langage DCQL. Algorithmes ES256, ES384 et ES512.
Contrôles. Chaîne x5c jusqu'à l'ancre
fournie par l'exploitant (EUDI_TRUST_ANCHORS_FILE),
signature, empreintes des éléments divulgués, jeton de liaison au
détenteur (nonce, audience, date, sd_hash) pour
SD-JWT VC ; issuerAuth et deviceAuth pour
mdoc. Les sessions sont partagées entre processus ; le nonce est à usage
unique et expire au bout de dix minutes.
Identité du vérificateur. Requête signée, avec
identifiant client dérivé du certificat (x509_hash ou
x509_san_dns). Les attributs réclamés sont limités à
EUDI_REGISTERED_ATTRIBUTES.
Prochaines étapes à l'étude
Ces évolutions ne sont pas encore livrées et ne font l'objet d'aucun engagement de calendrier. Elles dépendront du déploiement effectif des portefeuilles nationaux (voir les prérequis ci-dessous).
Identifier des signataires externes sans création de compte
Aujourd'hui, un signataire extérieur reçoit un lien et s'authentifie par code, certificat ou FranceConnect. Avec EUDI, il pourra prouver son identité depuis son téléphone, directement auprès de votre serveur.
Valider les signatures qualifiées issues du portefeuille
Le portefeuille EUDI a vocation à produire des signatures électroniques qualifiées. Nous étudions leur prise en charge et leur contrôle via le module de validation DSS, afin de les intégrer au dossier de preuve comme les autres signatures.
Accueillir des signataires d'autres pays européens
Chaque État membre devant proposer un portefeuille interopérable, vous pourrez vérifier l'identité d'un cocontractant européen sans dépendre d'un dispositif national spécifique.
Prérequis pour un usage en production
- La disponibilité des portefeuilles nationaux : le règlement (UE) 2024/1183 fixe l'échéance aux États membres au 24 décembre 2026 (24 mois après l'entrée en vigueur des actes d'exécution).
- L'enregistrement de votre structure comme vérificateur : chaque exploitant devra obtenir un certificat d'accès délivré par l'État. Sans ce certificat, les portefeuilles de production refuseront de répondre à votre serveur.
- La vérification de révocation des attestations (développement à venir dans EZparaph).
- La synchronisation automatique des listes de confiance européennes (aujourd'hui, l'exploitant configure manuellement ses ancres de confiance).
EUDI ou FranceConnect et ProConnect ?
| Situation | Voie à privilégier |
|---|---|
| Agents d'une collectivité ou d'un établissement public | ProConnect, ou FranceConnect pour les usagers. Ce sont les dispositifs de l'État et ils sont déjà pris en charge. |
| Signataires extérieurs, partenaires, hors secteur public | Le portefeuille EUDI contrôlé par votre propre serveur, dès que le portefeuille sera disponible et votre serveur enregistré. |
Les deux approches sont complémentaires : vous pouvez conserver ProConnect et FranceConnect (inclus dans la version Communauté) tout en activant le portefeuille EUDI (module de la version Pro) pour d'autres publics. Voir l'offre.
Textes de référence
Le portefeuille EUDI vous intéresse ?
Écrivez-nous pour faire le point sur vos cas d'usage et sur les démarches d'enregistrement comme vérificateur auprès de l'État.
Messages écrits uniquement, pas d'appels. Si le lien ne s'ouvre pas, cherchez @ezparaph.contact dans WhatsApp.