Portefeuilles d'identité digitale

Tout échange d'attestations implique les mêmes trois parties. Un émetteur formule des assertions sur un sujet et les signe dans une attestation. Un détenteur conserve l'attestation et génère une présentation à partir de celle-ci. Un vérificateur reçoit la présentation et la contrôle. Le W3C Verifiable Credentials Data Model 2.0, recommandation du W3C depuis le 15 mai 2025, définit les rôles exactement ainsi et une attestation vérifiable comme une attestation permettant de détecter une falsification, dont l'auteur peut être vérifié cryptographiquement.

Une banque joue différents rôles selon les processus, ce qu'il faut déterminer avant tout achat. À l'entrée en relation, la banque est vérificateur: elle contrôle une attestation d'identité présentée par le client. Pour une preuve de détention de compte, de solvabilité ou d'habilitation d'un employé, la banque est émetteur. Dans un processus relatif aux employés ou fournisseurs, elle peut jouer les trois rôles simultanément. Un produit qui ne fait que vérifier ne couvre pas l'émission.

Un connecteur relie les systèmes existants d'une organisation aux protocoles des portefeuilles. Il assure l'échange côté portefeuille, demande les attributs nécessaires au processus, contrôle la signature et l'émetteur selon les listes de confiance, et transmet le résultat au système central dans un format déjà compris. L'entrée en relation ou l'IAM de la banque restent en place.

Cette activité est devenue une catégorie de produits plutôt qu'un projet car les portefeuilles seront nombreux. Les analystes présentent le connecteur comme une couche d'intégration permettant une connexion unique, au lieu d'intégrer séparément le portefeuille de chaque État membre, comme l'expose le rapport de KuppingerCole sur cette catégorie. Il énumère les critères d'un acheteur réglementé: compatibilité avec les différentes implémentations, conformité à eIDAS 2 incluant l'authentification forte du client et les signatures électroniques, réduction des efforts d'intégration et de maintenance, déploiement en logiciel-service ou sur site, et participation aux pilotes et organismes de normalisation.

L'identité autosouveraine est une revendication plus ancienne et plus forte: la personne contrôle seule ses identifiants et attestations, sans autorité capable de révoquer l'identité elle-même. Elle est issue de travaux sur les identifiants décentralisés et les formats d'attestations, et une grande partie des logiciels du domaine y trouvent leur origine.

Le portefeuille EUDI utilise les mêmes mécanismes sans revendiquer l'autosouveraineté, car il s'agit d'un dispositif réglementé. Un État membre émet les données d'identification personnelle, des organismes certifiés certifient les portefeuilles, les listes de confiance déterminent les émetteurs reconnus et une supervision encadre l'ensemble. Le détenteur contrôle réellement les informations divulguées pour chaque demande. Il ne contrôle pas la reconnaissance de l'attestation, et cette distinction est utile pour une banque: cette reconnaissance justifie sa vérification. Le portefeuille EUDI présente le dispositif et ses échéances.

Les prestataires développent des portefeuilles d'identité, des services de vérification et les logiciels les reliant aux entreprises.

Lissi GmbH, à Francfort-sur-le-Main, développe une infrastructure logicielle permettant aux organisations d'interagir avec le European Digital Identity Wallet (EUDI Wallet). Lissi Connector est un logiciel API de conformité à eIDAS 2, et Lissi propose aussi Lissi Wallet, un prototype de portefeuille EUDI, EUDI Wallet Starter et Employee Wallet Suite. Lissi fournit les logiciels reliant les organisations à ces portefeuilles d'identité numérique.

walt.id fournit une infrastructure d'identité numérique avec Issuer, Wallet et Verifier sous forme de SDK et API distincts, dans une Community Stack open source et une Enterprise Stack commerciale, en déclarant un alignement sur eIDAS 2.

Procivis AG, à Zurich avec un bureau à Vienne, développe des technologies d'identité numérique depuis 2017 et est une filiale d'Orell Füssli. Procivis One est une technologie modulaire open source pour les identités et attestations numériques, conçue pour eIDAS 2.0, l'écosystème suisse E-ID et le permis de conduire mobile ISO, et Procivis propose aussi mGov Platform.

Scytáles AB, à Täby en Suède, avec des bureaux à Athènes, Boston et Sydney, développe des logiciels sécurisés d'identité mobile, dont le EUDI Wallet & des solutions de vérification d'âge. Ses produits comprennent Digital ID Wallet, ISO mValidator, Derived mID, Age Verification Connector et Mobile Validator for Travel Documents, conçus selon ISO 18013-5, ICAO 9303 et eIDAS 2.0.

esatus AG vient du monde de l'entreprise, avec 35 ans dans les systèmes d'identité critiques pour la sécurité selon ses déclarations, et intègre aujourd'hui les attestations du portefeuille EUDI aux systèmes existants. La plateforme SOWL transforme les décisions des systèmes d'entreprise en attestations utilisables et permet aux entreprises de vérifier et d'appliquer les attestations des portefeuilles dans leurs processus; ses services incluent le KYC pour EUDI et PID.

IDnow GmbH, à Munich, fournit des services de vérification d'identité allant de la vérification documentaire et biométrique aux dispositifs eID et portefeuilles EUDI, au filtrage antiblanchiment et aux signatures électroniques qualifiées, et IDnow cite AMLR, BaFin, eIDAS 2.0 et PSD3 parmi les règles suivies.

Verimi GmbH, à Berlin, développe des solutions de gestion de l'identité numérique pour le quotidien. Son offre actuelle comprend Ident & Sign, des logiciels sur mesure et EUDI Services. Verimi arrêtera le Verimi ID Wallet à la fin de 2026.

Veridian, plateforme d'identité de la Cardano Foundation fondée sur les protocoles KERI et ACDC, est devenue une entreprise indépendante le 8 octobre 2026. Ses actions sont le premier actif émis selon CIP-0113, la norme des jetons programmables sur Cardano.

Le rôle de la banque détermine laquelle des trois voies répond à ses besoins. Développer soi-même la pile n'a de sens que si l'échange avec le portefeuille constitue le produit, car il faut alors assumer la certification et l'évolution des protocoles. Acheter un connecteur est la voie courante pour une banque souhaitant accepter les attestations dans son entrée en relation et son IAM existants: le fournisseur suit les versions du cadre, l'intégration est unique. Recourir à un prestataire de services d'identité revient à acheter le résultat, une identification achevée, le portefeuille étant une méthode du service aux côtés de l'eID et de l'identification vidéo.

Quelle que soit la voie, le travail réglementaire vous incombe. L'obligation d'acceptation et les échéances figurent dans le portefeuille EUDI, les services de confiance et signatures dans eIDAS 2 et la finance, la chaîne de vigilance dans KYC en Allemagne, et la localisation possible des données et clés dans le cloud souverain bancaire.

Les fournisseurs EUDI se distinguent par les fonctions prises en charge par leurs logiciels. Certains vendent un connecteur pour la vérification et l'émission, permettant d'accepter et d'émettre des attestations sans toucher aux systèmes centraux. D'autres vendent une plateforme pour un portefeuille étatique ou d'entreprise destiné aux employés. D'autres vendent les travaux normatifs, permis de conduire mobiles et documents de voyage conformes aux spécifications ISO et ICAO. Certains vendent enfin un service complet d'identification où le portefeuille est une méthode parmi plusieurs. Le déploiement varie aussi, entre logiciel-service et sur site, et les licences entre open source et commerciales.

Une attestation vérifiable est un ensemble signé d'assertions sur un sujet dont l'auteur peut être contrôlé cryptographiquement, ce qui permet de détecter les falsifications. Le modèle de données du W3C définit le format et les trois rôles qui le traitent. Un détenteur peut présenter une attestation sans que le vérificateur contacte l'émetteur, et dans le portefeuille EUDI les attestations restent sur l'appareil du détenteur.

L'identité décentralisée nécessite des signatures, des clés et un modèle de données convenu, sans qu'aucun de ces éléments exige une blockchain. Certaines méthodes d'identifiants décentralisés ancrent les clés dans un registre distribué, d'autres les résolvent par le web ou un registre. Le cadre européen ne construit pas le portefeuille sur une blockchain: émetteurs, portefeuilles et vérificateurs échangent directement des attestations signées, et la décision de confiance provient de listes de confiance publiées.

Pour les données d'identité essentielles, l'État: le portefeuille EUDI allemand est un projet officiel de l'État fédéral, des Länder et des communes, et les données d'identification personnelle proviennent de sources publiques. Le reste est émis par l'entité compétente pour l'attribut, une université pour un diplôme, un employeur pour une fonction, une banque pour une relation de compte, généralement via un connecteur. KYC en Allemagne couvre les méthodes d'identification actuellement utilisées par une banque.