Le bouton bleu ne transporte ni mot de passe ni dossier : il transmet cinq informations d’état civil. La vraie question de sécurité porte sur le compte que vous choisissez pour vous identifier.
FranceConnect n’est pas un compte de plus : c’est un aiguillage. Vous choisissez un compte que vous possédez déjà, impôts, Assurance maladie, MSA ou identité numérique, et ce compte atteste votre état civil auprès du service que vous vouliez atteindre. Le site d’arrivée ne reçoit jamais votre mot de passe, seulement cinq informations d’état civil qui servent à retrouver votre dossier. Conséquence rarement dite : votre niveau de sécurité est celui du plus faible des comptes que vous avez raccordés, puisque l’attaquant choisit la porte.
Vous voulez consulter votre relevé de carrière. Le site vous propose un bouton bleu, « S’identifier avec FranceConnect », puis une liste de logos : impôts, Assurance maladie, MSA, identité numérique. Vous choisissez, vous tapez un mot de passe que vous connaissez déjà, et vous atterrissez sur votre dossier retraite sans avoir créé le moindre compte.
La question qui vient ensuite est légitime : qu’est-ce qui vient de passer d’un service à l’autre ? Beaucoup imaginent un grand fichier central qui saurait tout de tout le monde. D’autres croient à l’inverse que FranceConnect est un compte supplémentaire, avec son propre mot de passe. Les deux représentations sont fausses.
FranceConnect est un aiguillage. Il ne détient pas votre dossier, il ne stocke pas votre état civil, il ne vous délivre aucun identifiant. Il organise une conversation entre deux organismes qui, sans lui, ne se parleraient pas.
Le mécanisme s’appelle la fédération d’identité, et il repose sur un standard ouvert du web. Trois acteurs interviennent. Le fournisseur de service est le site que vous vouliez atteindre. Le fournisseur d’identité est le compte que vous choisissez dans la liste. FranceConnect joue l’intermédiaire de confiance entre les deux.
Le déroulé tient en quatre temps. Le fournisseur de service vous redirige vers FranceConnect. FranceConnect vous redirige vers le fournisseur d’identité que vous avez choisi, où vous vous authentifiez normalement. Le fournisseur d’identité renvoie à FranceConnect une attestation signée, valable une seule fois. FranceConnect transmet au fournisseur de service votre identité pivot, et vous êtes de retour sur le site d’origine, connecté.
Le point décisif est là : votre mot de passe n’est jamais saisi sur le site d’arrivée. Il est tapé sur le site de votre fournisseur d’identité, où il l’était déjà. Un service raccordé à FranceConnect ne peut donc pas fuir un mot de passe qu’il n’a jamais reçu, ce qui écarte tout un pan des conséquences décrites dans notre article sur ce qui rend un mot de passe solide.
Ce que FranceConnect transmet porte un nom précis : l’identité pivot. Elle contient le nom de naissance, les prénoms, la date de naissance, le lieu de naissance et le sexe. Une adresse de courriel peut s’y ajouter. C’est tout.
Ces cinq données ne servent qu’à une chose : permettre au service d’arrivée de retrouver, dans sa propre base, le dossier qui vous correspond. Elles ont été choisies parce qu’elles ne changent pas, ou presque, alors qu’une adresse postale ou un nom d’usage varient.
Autre effet de cloisonnement, souvent ignoré : les fournisseurs d’identité ne communiquent pas entre eux. Utiliser votre compte de l’Assurance maladie pour entrer dans un service fiscal n’apprend rien de fiscal à l’Assurance maladie, et rien de médical à la direction des finances publiques. Chacun sait ce qu’il faisait déjà, comme le rappellent nos articles sur le parcours des impôts en ligne et sur Ameli et Mon espace santé.
L’intermédiaire n’est pas aveugle. Il ne voit pas le contenu de vos dossiers, mais il voit passer les métadonnées de chaque connexion : quel fournisseur d’identité, quel service d’arrivée, quelle date. Ces traces sont conservées, ce qui est à la fois une exigence de sécurité et une donnée personnelle à part entière, soumise aux droits que vous tenez du RGPD.
Cette journalisation a une contrepartie très utile. Votre tableau de bord FranceConnect affiche l’historique de vos connexions, ligne par ligne. C’est le seul endroit qui donne une vue d’ensemble de vos usages des services publics en ligne, et le premier réflexe au moindre doute : une connexion que vous ne reconnaissez pas y apparaît en clair, avec le service visé.
Voici le point que la présentation officielle n’insiste jamais assez à dire. Si vous avez raccordé quatre fournisseurs d’identité, un attaquant qui veut atteindre votre espace retraite n’a pas besoin de casser le compte le mieux protégé. Il lui suffit du plus faible des quatre, puisqu’ils mènent tous au même endroit.
Le raisonnement intuitif est inverse : on croit renforcer sa sécurité en soignant son compte fiscal. En réalité, ajouter un fournisseur d’identité ajoute une porte. Deux conséquences pratiques. D’abord, le mot de passe le plus faible de vos comptes administratifs mérite autant d’attention que le plus important. Ensuite, un compte pivot dont vous ne vous servez jamais reste une porte ouverte : mieux vaut le protéger que l’oublier.
| Compte administratif ordinaire | Identité numérique vérifiée | Carte d’identité électronique | |
|---|---|---|---|
| Comment on l’obtient | Création en ligne, rattachement à un dossier existant | Vérification d’une pièce d’identité, à distance ou en agence | Lecture de la puce de la carte nationale d’identité |
| Ce qui a été vérifié | Que vous détenez un identifiant fiscal ou un numéro d’assuré | Que le document présenté est authentique et que le visage correspond | Un titre régalien et son certificat |
| Niveau de garantie | Faible | Substantiel | Substantiel ou supérieur |
| Protection de la connexion | Mot de passe, second facteur selon les organismes | Code personnel et appareil enrôlé, deux facteurs imposés | Carte physique et code |
| Ouvre FranceConnect+ | Non | Oui | Oui |
Le règlement européen eIDAS classe les moyens d’identification électronique en trois niveaux : faible, substantiel, élevé. Le classement ne mesure pas la solidité du chiffrement mais la confiance dans le lien entre le compte et la personne réelle, c’est-à-dire la qualité de la vérification initiale et la robustesse de l’authentification.
FranceConnect ordinaire relève du niveau faible : ouvrir un espace fiscal prouve que l’on détient un numéro fiscal, pas que l’on est la personne concernée. FranceConnect+ vise le niveau substantiel, ce qui suppose deux exigences cumulées : une identité vérifiée à partir d’une pièce officielle, et une authentification à deux facteurs à chaque connexion.
Le déclencheur a été la fraude. Les droits à la formation professionnelle, exprimés en euros et mobilisables en ligne, ont attiré un démarchage massif puis des détournements de comptes. Le passage de Mon Compte Formation à FranceConnect+, à l’automne 2022, a coupé l’accès aux méthodes fondées sur des identifiants volés. L’Identité Numérique La Poste a longtemps été le seul fournisseur accepté à ce niveau ; France Identité, adossée à la carte nationale d’identité électronique, relève de la même exigence, comme l’explique notre article sur l’identité numérique.
Un dispositif employé par des dizaines de millions de personnes devient un décor d’arnaque. Le scénario classique arrive par courriel ou par SMS : un remboursement d’impôts en attente, une aide non réclamée, une amende à régler. Le lien mène à une copie du parcours FranceConnect, logos compris, qui récupère l’identifiant et le mot de passe de votre fournisseur d’identité.
La mécanique complète de ce type de piège est décrite dans l’anatomie d’un hameçonnage, et la lecture d’une adresse trompeuse dans notre article sur la structure d’une URL. Pour s’exercer sur des cas concrets, notre quiz de reconnaissance d’une arnaque reprend plusieurs de ces montages.
FranceConnect fonctionne mal dans un cas précis : quand l’état civil transmis ne correspond pas exactement à celui que détient le service d’arrivée. Les causes sont toujours les mêmes. Un nom d’usage employé à la place du nom de naissance. Un prénom composé enregistré différemment d’un organisme à l’autre. Une naissance à l’étranger dont la commune n’a pas d’équivalent dans la nomenclature française. Un changement d’état civil répercuté chez l’un et pas chez l’autre.
La correction ne se fait jamais auprès de FranceConnect, qui ne conserve rien : elle se fait auprès de l’organisme qui porte l’erreur, sur justificatif. Tant que le rapprochement échoue, le compte propre au service reste utilisable, et un accompagnement en présence est possible dans les structures décrites par notre article sur les conseillers numériques et France Services.
FranceConnect atteste que la personne connectée est bien celle que désigne l’état civil transmis. Prêter ses identifiants à un proche pour qu’il fasse une démarche à votre place casse cette promesse : du point de vue du service, c’est vous qui avez déclaré, signé ou renoncé. Les conséquences ne sont pas seulement théoriques, puisque certaines démarches engagent des droits ou des sommes.
Les administrations prévoient des voies propres pour l’aide : mandat, procuration, désignation d’un tiers de confiance, habilitation d’un proche sur un dossier précis. Elles sont plus lentes à mettre en place qu’un mot de passe communiqué au téléphone, mais elles laissent une trace de qui a agi et à quel titre. La distinction entre aider et se substituer est développée dans notre article sur l’aide à un proche à distance.
Le cas des aidants familiaux est le plus fréquent, et le plus mal traité par les interfaces. Retenez au moins ce point de repère : accompagner une personne devant son écran, avec ses identifiants saisis par elle, ne pose aucune difficulté. Conserver ses identifiants pour se connecter en son absence en pose une, y compris lorsque l’intention est irréprochable et la personne consentante.
Le point 3 mérite un mot. Les organismes publics n’offrent pas tous le même choix de second facteur, et certains s’en tiennent au code par SMS. Quand une clé d’accès est proposée, elle apporte davantage, pour les raisons exposées dans notre article sur les clés d’accès : elle rend inopérant le faux parcours décrit plus haut.
Avant de cliquer sur un logo dans la liste, posez-vous une seule question : ce compte est-il protégé au niveau du service auquel il va m’ouvrir la porte ? Un espace fiscal qui donne accès à un dossier retraite, à une aide sociale et à un droit à la formation ne doit pas être gardé moins bien que le service le plus sensible qu’il commande. FranceConnect ne fabrique pas de sécurité : il propage celle que vous avez mise, ou celle qui vous manque.
Non. Le service d’arrivée reçoit uniquement l’identité pivot, cinq informations d’état civil qui lui servent à retrouver le dossier qu’il détient déjà sur vous. Il n’apprend rien de vos autres comptes, ni même lequel vous avez utilisé pour vous identifier, au-delà du nom du fournisseur choisi. Quand une administration a besoin d’une donnée détenue par une autre, comme un revenu fiscal de référence, elle passe par un canal d’échange distinct, prévu par le code des relations entre le public et l’administration.
Les deux chemins restent ouverts et mènent au même dossier. FranceConnect évite de créer et de retenir un identifiant de plus, ce qui réduit mécaniquement la réutilisation de mots de passe. Il concentre en revanche le risque sur vos comptes pivots. La position raisonnable consiste à utiliser FranceConnect en protégeant sérieusement les comptes qui servent de porte d’entrée, avec un mot de passe unique et la double authentification partout où elle est proposée.
Ouvrez votre tableau de bord FranceConnect et lisez l’historique des connexions : chaque utilisation y figure avec la date et le service concerné. Si une ligne vous est étrangère, changez immédiatement le mot de passe du fournisseur d’identité concerné, vérifiez les coordonnées bancaires et l’adresse de contact enregistrées sur les services sensibles, puis signalez l’incident à l’organisme et déposez plainte. Les gestes détaillés figurent dans notre marche à suivre après un mot de passe volé.
Presque toujours pour une divergence d’état civil. L’identité pivot est comparée à celle que détient le service d’arrivée : un nom d’usage employé à la place du nom de naissance, un second prénom absent, un lieu de naissance à l’étranger mal codé ou un changement d’état civil non répercuté suffisent à faire échouer le rapprochement. La correction se fait auprès de l’organisme qui détient l’erreur, pas auprès de FranceConnect, qui ne stocke pas votre état civil.
Seulement pour les services qui l’exigent, au premier rang desquels Mon Compte Formation. Ces services manipulent des droits monétisables, donc attirent la fraude organisée. Pour le reste des démarches, FranceConnect ordinaire suffit. Créer une identité numérique de niveau substantiel demande une vérification d’identité avec une pièce officielle, en ligne ou en agence, et reste utile même sans obligation, puisqu’elle devient ensuite le plus solide de vos fournisseurs.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.