Attestations vérifiables (verifiable credentials) : ce qu'il faut comprendre

En bref : une attestation vérifiable (verifiable credential) est un justificatif numérique signé cryptographiquement par un émetteur de confiance. N'importe quel tiers peut en contrôler l'authenticité et l'intégrité, sans avoir à recontacter l'émetteur. C'est le socle technique de l'identité numérique moderne et du portefeuille européen (EUDI Wallet).

‍

Une attestation vérifiable, c'est quoi ?

‍

Une attestation vérifiable est une donnée ou un justificatif numérique (identité, diplôme, justificatif d'adresse, mandat) auquel un émetteur de confiance a apposé une signature cryptographique. Cette signature permet à celui qui la reçoit de vérifier deux choses : d'où vient l'information, et qu'elle n'a pas été modifiée.

‍

La différence avec un simple PDF ou un scan est décisive : un document classique se falsifie, une attestation vérifiable se contrôle. Là où une facture ou une pièce d'identité en image peut être retouchée, une attestation vérifiable révèle immédiatement toute altération.

‍

Les trois rôles : émetteur, détenteur, vérifieur

‍

Le modèle repose sur trois acteurs :

‍

L'émetteur (issuer)

L'entité de confiance qui délivre l'attestation et la signe : un État, une administration, une université, une banque, une entreprise certifiée.

‍

Le détenteur (holder)

La personne qui reçoit l'attestation et la conserve, le plus souvent dans un portefeuille d'identité numérique (wallet). C'est elle qui décide de la présenter, et à qui.

‍

Le vérifieur (verifier)

L'entreprise ou le service qui reçoit l'attestation et en contrôle la validité. C'est le rôle qu'une entreprise doit apprendre à jouer pour exploiter le wallet européen.

‍

Ce qui rend une attestation fiable

‍

Trois propriétés font toute la valeur d'une attestation vérifiable :

• La preuve d'origine. La signature de l'émetteur prouve que l'attestation vient bien de lui.
• L'intégrité. Toute modification de la donnée casse la signature, donc rend l'altération détectable.
• La divulgation sélective. Le détenteur peut ne montrer qu'un attribut précis, par exemple prouver qu'il est majeur sans révéler sa date de naissance.

Résultat : la confiance ne repose plus sur ce qui est affiché, mais sur ce qui est prouvé cryptographiquement.

‍

Le lien avec l'EUDI Wallet et l'identité numérique

‍

Les attestations vérifiables sont le fondement du portefeuille européen d'identité numérique prévu par eIDAS 2.0. Les données d'identité de base (le PID) comme les attestations d'attributs (EAA et QEAA) sont, techniquement, des attestations vérifiables.

‍

Autrement dit, comprendre ce concept, c'est comprendre comment fonctionnera concrètement le wallet : un émetteur signe, le citoyen stocke, l'entreprise vérifie.

‍

Ce que ça change pour votre vérification d'identité

‍

Pour une entreprise, l'enjeu est double. D'abord, savoir recevoir et vérifier ces attestations, c'est-à-dire devenir vérifieur et contrôler les signatures. Ensuite, garder une couche de détection de fraude pour ce que l'attestation ne couvre pas.

‍

Car une attestation vérifiable prouve que la donnée est authentique, pas que la personne qui la présente en est le titulaire légitime, ni que son comportement est sain. L'usurpation du détenteur, la fraude comportementale ou les parcours à risque restent à surveiller. Une couche de détection de fraude et de vérification d'identité reste donc nécessaire, en complément.

‍

En conclusion

‍

L'attestation vérifiable remplace la confiance déclarative par une preuve contrôlable. C'est la brique de base de l'identité numérique et du wallet européen. Pour les entreprises, deux réflexes à prendre : apprendre à vérifier ces attestations, et continuer à détecter la fraude sur ce qu'elles ne prouvent pas.

Sources : Règlement (UE) 2024/1183 (eIDAS 2.0) ; W3C, Verifiable Credentials Data Model ; Commission européenne, European Digital Identity Wallet.

‍