Votre identité dans un téléphone, 7/8 : une identité souveraine sur un téléphone américain

La carte d’identité est émise par l’État. Les serveurs de France Identité sont annoncés comme hébergés dans le cloud du ministère de l’Intérieur. Les justificatifs portent un cachet électronique public. Pourtant, pour installer l’application, il faut aujourd’hui passer par Google Play ou l’App Store. Pour protéger les clés, le service utilise nécessairement les fonctions de sécurité du téléphone. Pour décider si une instance de l’application mérite confiance, il doit produire une preuve de légitimité.

La souveraineté ne disparaît pas à cet instant. Elle change de niveau. L’État reste responsable de l’identité, mais il ne fabrique ni l’iPhone, ni Android, ni les composants cryptographiques, ni les magasins qui distribuent son application. Une décision prise sous France Identité dépend donc de plusieurs couches dont certaines appartiennent à Apple, Google ou aux constructeurs de terminaux.

Cette dépendance peut être utile. Les téléphones compatibles apportent un environnement sécurisé, un système de mise à jour et des composants capables de protéger des clés. Le problème commence lorsque le citoyen ne sait pas pourquoi son appareil est refusé, que l’État ne publie pas la matrice de compatibilité et qu’une incompatibilité ferme l’accès rapide à une formation, une aide ou une signature d’entreprise.

Septième volet de l’enquête Votre identité dans un téléphone. Le premier suivait les données et les traces de France Identité. Le deuxième mesurait le prix pratique des alternatives. Le troisième examinait l’identité souveraine sous contrat. Le quatrième suivait la transformation de l’âge en autorisation. Le cinquième testait le jour où l’identité ne répond plus. Le sixième suivait la facture cachée derrière une preuve gratuite.

English version: A sovereign identity on an American phone.

À retenir

• Le site officiel exige une CNI au format bancaire, la majorité et un téléphone fonctionnant au minimum sous Android 11 avec NFC ou sous iOS 16.6.
• Les deux canaux de téléchargement grand public présentés sont Google Play et l’App Store. L0g n’a pas identifié de canal officiel de production hors de ces magasins au 28 août 2026.
• Des témoignages publiés sur Services Publics+ signalent le message « absence de certains mécanismes de sécurité » sur des appareils sous Android 11, 13, 14 ou 15, parfois après une période de fonctionnement normal.
• Ces témoignages ne mesurent pas un taux d’échec. Ils montrent que les conditions publiques ne suffisent pas toujours à expliquer la décision technique.
• Le site de France Identité présente toujours son identité numérique certifiée comme la voie d’accès à FranceConnect+ pour Mon Compte Formation, MaPrimeRénov’ et l’INPI. Un téléphone refusé peut donc déclencher un délai, un déplacement, l’achat d’un certificat qualifié ou le recours à un mandataire.
• Le règlement européen impose aux grands contrôleurs d’accès une interopérabilité effective et gratuite avec les mêmes fonctions du système d’exploitation, du matériel et du logiciel que celles qu’ils utilisent eux-mêmes.
• Le même cadre exige que le code des composants applicatifs du portefeuille soit publié sous licence open source.
• Ces deux droits ne prouvent ni l’existence d’un canal de distribution indépendant, ni celle d’une racine d’attestation publique, ni la possibilité de corriger immédiatement un faux refus.
• Les rapports CSPN de 2023 ont évalué Android 1.2.4 et iOS 1.2.3, développées alors par Atos. Ils ont couvert la preuve de légitimité de l’application et la revue complète du code de ces versions précises.
• Deux décisions ANSSI du 21 mai 2025 ont ensuite qualifié Android et iOS 1.3.X à partir de 1.3.7 au niveau élémentaire, en s’appuyant notamment sur ces rapports. Leur validité s’arrêtait au 7 février 2026.
• La décision iOS désigne toutefois le rapport CSPN comme portant sur la version 1.2.4, alors que le rapport public ANSSI-CSPN-2023/21 indique 1.2.3. L0g traite ce point comme une incohérence documentaire, sans en déduire un effet sur la sécurité du produit.
• Le catalogue ANSSI consulté le 28 août 2026 ne publie pas de décision de renouvellement et la page dédiée classe France Identité parmi les moyens en cours de certification. Cette situation publique ne permet pas de présenter les versions diffusées après cette échéance comme couvertes par une décision encore valide.
• La documentation publique ne confirme pas si France Identité utilise actuellement Play Integrity, Android Key Attestation, App Attest ou une combinaison propre au SGIN.
• L’architecture technique européenne distingue l’intégrité de l’application et la sécurité des clés. Son implémentation de référence sait exploiter la chaîne d’attestation Android et un format fondé sur App Attest côté iOS, mais elle est publiée pour le test et le développement.
• L’App Store affiche « Données non collectées », selon une déclaration non vérifiée par Apple. Google Play affiche une collecte possible d’informations personnelles et d’identifiants d’appareil, ainsi qu’un partage possible d’informations personnelles. Les taxonomies diffèrent et ne permettent pas, seules, de conclure à une contradiction ou à une collecte abusive.
• La souveraineté utile se mesure par une capacité de sortie : distribuer, signer, mettre à jour, attester, expliquer un refus, corriger une erreur et maintenir un parcours alternatif.

Votre carte d’identité se télécharge dans deux magasins privés

La page officielle de France Identité présente aujourd’hui deux parcours de téléchargement : Google Play pour Android et l’App Store pour iOS.

Les conditions visibles sont simples :

Nouvelle carte nationale d’identité
18 ans ou plus
Android 11 avec NFC
ou iOS 16.6 minimum

Cette simplicité est utile pour le public. Elle ne décrit pas toute la chaîne de confiance.

Le sujet couvre presque tout le marché mobile français. Le baromètre 2026 de l’Arcep utilise une répartition de 61 % d’Android et 39 % d’iOS, issue des données collectées début 2025 auprès des quatre principaux opérateurs. L’Insee estime que 84,2 % des personnes de 15 ans ou plus possédaient un smartphone en 2025, contre 48,5 % des 75 ans ou plus. Le portefeuille mobile touche donc une infrastructure de masse sans être universel.

Une application d’identité ne peut pas accepter n’importe quel environnement. Elle doit s’assurer que son code n’a pas été modifié, que les secrets sont protégés, que le téléphone n’est pas dans un état manifestement compromis et que les clés utilisées pour les attestations ne peuvent pas être copiées librement.

Le service doit donc prendre une décision supplémentaire :

Ce téléphone est-il suffisamment digne de confiance pour porter une identité de niveau élevé ?

Cette décision peut dépendre de l’application, du backend SGIN, du système d’exploitation, du constructeur, de la configuration de démarrage, des correctifs de sécurité, d’une puce cryptographique et, selon le mécanisme retenu, d’un service d’Apple ou de Google.

Sources : France Titres, ANSSI, règlement eIDAS, spécifications EUDI. Consultation : 28 août 2026.

Android 11 et le NFC laissent une part de compatibilité inexpliquée

La plateforme gouvernementale Services Publics+ contient plusieurs témoignages d’utilisateurs dont le téléphone semble répondre aux critères affichés mais reçoit le message suivant : l’absence de certains mécanismes de sécurité empêche l’utilisation de France Identité.

Les récits publics concernent notamment :

• un appareil sous Android 13 ;
• un téléphone sous Android 15 ;
• un modèle Android 11 avec NFC ;
• des appareils ayant fonctionné avant de devenir incompatibles.

Ces témoignages ne constituent pas un échantillon statistique. Les utilisateurs confrontés à un problème publient davantage que les utilisateurs satisfaits. Le bouton indiquant qu’une expérience est similaire ne permet pas de calculer un taux d’échec. Certaines incompatibilités peuvent être parfaitement justifiées par la sécurité du terminal.

Ils établissent néanmoins deux faits utiles à l’enquête.

Les critères publics sont incomplets

Une version d’Android et la présence du NFC ne suffisent pas à expliquer pourquoi un appareil est accepté ou refusé.

Le motif est peu actionnable

Le message ne précise pas publiquement si la cause tient :

À la puce cryptographique
Au démarrage vérifié
À la certification du constructeur
Aux correctifs de sécurité
À Google Play Services
À la signature de l’application
À une configuration NFC
À un bootloader déverrouillé
À un faux positif

La différence est importante. Un utilisateur peut réactiver une fonction NFC, installer une mise à jour ou reverrouiller un appareil. Il ne peut pas ajouter une puce absente, réparer une chaîne d’attestation rejetée ou convaincre seul un constructeur de corriger son firmware.

L0g n’a pas retrouvé, dans la documentation publique de France Identité consultée au 28 août 2026, de matrice listant les mécanismes requis, les modèles compatibles, les causes de refus ou les codes d’erreur correspondants.

Le téléphone refusé peut ralentir une opération économique

La version certifiée de France Identité permet aujourd’hui d’accéder par FranceConnect+ à Mon Compte Formation, MaPrimeRénov’ et l’INPI.

Le refus du téléphone ne détruit pas le droit. Les alternatives existent. Leur coût pratique diffère.

Démarche	Alternative publiée	Friction documentée
Mon Compte Formation	Contrôle manuel d’identité	Environ quatre semaines, procédure papier potentiellement plus longue
France Rénov’	Création par courriel et vérification postale	Courrier annoncé sous 12 jours
INPI	Signature avancée fondée sur un certificat qualifié	Prestataire externe, procédure plus technique ; mandataire possible
Procuration de vote	Vérification en personne	Déplacement auprès d’une autorité habilitée

Ces durées ne sont ni des délais garantis, ni des mesures réalisées par l0g. Elles proviennent des parcours officiels, également étudiés dans le deuxième volet.

Le coût financier peut donc prendre plusieurs formes :

Remplacer prématurément un téléphone
Acheter un certificat qualifié
Payer un mandataire
Se déplacer
Attendre un courrier
Manquer une date ou une session
Mobiliser un salarié ou un conseiller

Aucun élément ne permet d’attribuer automatiquement ces coûts à Apple, Google ou France Titres. Le service final, la procédure alternative et la situation de l’utilisateur déterminent la perte réelle.

La question de responsabilité reste pourtant entière :

Lorsqu’un téléphone conforme aux critères publiés est refusé à tort, qui prend en charge le coût de la solution de remplacement ?

Sources : parcours officiels CPF, France Rénov’, INPI, Service-Public ; France Identité. Consultation : 28 août 2026.

Le droit européen reconnaît lui-même la dépendance

Le règlement européen 2024/1183 contient une disposition rarement mise en avant dans la communication destinée au public.

Son article 12 ter impose aux contrôleurs d’accès concernés de permettre aux fournisseurs de portefeuilles une interopérabilité effective et un accès gratuit aux mêmes fonctions du système d’exploitation, du matériel ou du logiciel que celles qu’ils utilisent pour leurs propres services.

Le texte reconnaît ainsi qu’un portefeuille public peut avoir besoin de fonctions contrôlées par un acteur de plateforme :

NFC
Composant sécurisé
Biométrie
Stockage des clés
Interfaces du système
Distribution et installation

Ce droit est important. Il limite la capacité d’un gatekeeper à réserver une fonction critique à son propre portefeuille.

Il ne suffit pas à prouver que toutes les dépendances sont réglées.

L’accès à une interface ne répond pas automatiquement aux questions suivantes :

• qui contrôle la racine cryptographique ;
• quel service atteste le terminal ;
• quel délai s’applique en cas de panne ;
• comment contester un verdict d’intégrité ;
• comment distribuer un correctif sans magasin ;
• comment garantir la compatibilité d’un téléphone ancien ;
• qui paie après un faux refus.

Le droit européen crée une obligation d’ouverture. L’enquête doit encore mesurer son application technique et opérationnelle.

Au-delà du code ouvert, la racine de confiance

Le même règlement impose que le code source des composants applicatifs installés sur le téléphone soit publié sous licence open source. Des exceptions restent possibles pour certains composants non installés sur l’appareil, lorsqu’elles sont dûment justifiées.

France Titres annonce toujours que le code de l’application mobile sera publié « prochainement » sur sa page consacrée à la sécurité.

L’ouverture permettra notamment d’examiner :

Les permissions demandées
Les flux réseau
Les SDK embarqués
La gestion locale des titres
Les contrôles de l’environnement
Les dépendances externes
La logique des messages d’erreur

Elle ne donnera pas automatiquement le contrôle des couches situées sous le code.

Une clé cryptographique peut être générée dans :

• le Keystore Android ;
• un environnement d’exécution de confiance ;
• StrongBox lorsqu’il existe ;
• le Secure Enclave d’un iPhone.

Le serveur qui délivre une identité doit ensuite vérifier que la clé est réellement protégée dans l’environnement annoncé. C’est le rôle d’une attestation.

La spécification européenne des Wallet Unit Attestations distingue deux objets :

• une attestation de l’instance du portefeuille, qui garantit l’intégrité de l’application ;
• une attestation de clé, qui décrit la protection cryptographique disponible.

L’implémentation de référence du fournisseur de wallet sait recevoir une chaîne issue du Keystore Android et un format iOS fondé sur App Attest. Son propre avertissement précise qu’elle est destinée au test et au développement, et qu’elle ne valide par défaut aucune attestation de plateforme.

Cette documentation ne décrit pas automatiquement France Identité en production.

Elle montre le problème de fond :

Code du portefeuille
peut être public et auditable

Clé du portefeuille
peut être protégée par le téléphone

Preuve de cette protection
peut remonter à une racine Google ou à un service Apple

CES DROITS NE PROUVENT PAS ENCORE :

1. UN CANAL INDÉPENDANT Publier et mettre à jour sans store ni notarisation 2. UNE RACINE PUBLIQUE Attester le matériel sans dépendre d’une racine ou d’un service de plateforme 3. UN RECOURS IMMÉDIAT Expliquer et corriger un faux refus avant la perte d’une échéance

Source : règlement (UE) 2024/1183, art. 5 bis et 12 ter. Lecture l0g : droits juridiques contre capacités observables.

Les évaluations ANSSI dessinent un périmètre précis

Les rapports CSPN Android et iOS sont des sources particulièrement utiles parce qu’ils donnent un périmètre exact.

Ils portent sur :

Android 1.2.4
et iOS 1.2.3

Développeur : Atos France
Commanditaire : ministère de l’Intérieur
Centre d’évaluation : AMOSSYS

Les fonctions évaluées comprennent :

• la gestion sécurisée du code personnel ;
• la communication avec le backend ;
• la communication avec la CNI ;
• la génération d’une preuve de légitimité de l’application ;
• la protection des données d’identité ;
• l’autorisation de l’application par le backend.

L’évaluateur a relu l’intégralité du code source des produits concernés. Il a testé la version Android sur un Pixel 6a sous Android 13 et un Pixel 4a rooté sous Android 10. La version iOS a été testée sur un iPhone 11 et un iPhone X jailbreaké sous iOS 16.

Ces rapports sont rassurants pour les versions évaluées. Ils ne suffisent toutefois pas à décrire seuls le statut des versions diffusées en 2026.

Les décisions de qualification Android n° 791 et iOS n° 792, prises le 21 mai 2025, ont étendu le périmètre à la version 1.3.X à partir de 1.3.7. Elles s’appuyaient sur les CSPN de 2023 et deux évaluations AMOSSYS du backend et du produit. Leur niveau était « élémentaire » et leur validité allait jusqu’au 7 février 2026. La certification distincte du moyen d’identification électronique au niveau « élevé » affichait la même date de fin. La décision iOS qualifie le rapport ANSSI-CSPN-2023/21 de rapport sur la version 1.2.4, tandis que ce rapport public identifie la version 1.2.3. Cette divergence est signalée comme une incohérence du corpus officiel, sans extrapolation.

Au 28 août 2026, le catalogue ANSSI ne publiait pas de décision plus récente pour France Identité. La page des moyens d’identification électronique plaçait le service parmi les certifications en cours, tandis que la page France Identité continuait de revendiquer le niveau de sécurité le plus élevé. L0g ne déduit pas de ce décalage que le service serait juridiquement invalide. Il constate qu’aucune décision publique renouvelée n’a été trouvée à la date de collecte.

Six limites restent donc visibles :

1. les CSPN portent sur des versions 1.2 précises ;
2. les décisions de 2025 ont bien couvert les versions 1.3.X à partir de 1.3.7, contrairement à ce que laisserait croire la seule lecture des rapports de 2023 ;
3. la décision iOS et son rapport de référence ne donnent pas le même numéro de version 1.2 ;
4. ces décisions affichaient une fin de validité au 7 février 2026 ;
5. les rapports de 2023 n’établissent pas qui développe et maintient les versions de production diffusées en août 2026 ;
6. les versions évaluées avaient été installées par invitation Firebase, sous forme d’APK ou d’IPA, pas depuis les magasins publics.

Les évaluations établissent donc qu’une preuve de légitimité existait et a été examinée. Elles ne révèlent pas le mécanisme actuel ni toute la chaîne de distribution de production.

Deux canaux, une dépendance de plateforme

Android : une distribution extérieure est techniquement possible

Android permet de signer et distribuer une application sous forme d’APK hors de Google Play. La documentation Android précise aussi que le format App Bundle est ouvert et peut être pris en charge par d’autres magasins.

Le site de France Identité ne propose cependant pas d’APK public ni de magasin alternatif. Aucun canal officiel de production hors Google Play n’a été identifié pendant la collecte.

Une autre question reste ouverte : qui détient la clé de signature de l’application Android ?

Google propose Play App Signing, qui protège et gère la clé de signature utilisée pour les APK distribués par Play. Un développeur souhaitant employer la même clé sur plusieurs magasins peut fournir sa propre clé. La configuration exacte de France Identité n’est pas publiée.

Il faut donc distinguer :

Possibilité technique d’installer un APK
Capacité juridique de le distribuer
Détention de la clé de signature
Acceptation du binaire par le backend
Fonctionnement sans Google Play Services

Un APK officiel ne serait une véritable solution de secours que si les cinq conditions étaient maîtrisées.

iOS : l’alternative reste notarée par Apple

Dans l’Union européenne, Apple permet la distribution par une place de marché alternative ou directement depuis un site web, sous conditions.

Cette distribution continue néanmoins de passer par :

• le programme développeur Apple ;
• App Store Connect ;
• la génération d’un paquet de distribution ;
• la notarisation Apple ;
• les mécanismes d’installation d’iOS.

Apple précise que les applications distribuées hors App Store doivent respecter les exigences de notarisation. Une application identifiée comme contenant un logiciel malveillant peut être empêchée de fonctionner.

Cette sécurité protège les utilisateurs. Elle confirme aussi que quitter l’App Store ne suffit pas à rendre une application iOS indépendante d’Apple.

L’attestation protège le portefeuille et crée un pouvoir de refus

Google décrit plusieurs mécanismes qu’un développeur peut utiliser. L’un d’eux, Play Integrity, traite notamment :

• les paramètres de la requête ;
• le nom, la version et le certificat de signature de l’application ;
• le statut de licence Google Play ;
• un certificat d’attestation de clé ;
• un jeton d’attestation de l’appareil ;
• éventuellement, des informations sur l’environnement de sécurité.

Google indique que ces données sont chiffrées, ne sont pas transmises à des tiers et sont supprimées après une durée fixe. (documentation Play Integrity)

Nous ne savons pas si France Identité utilise ce service.

L’attestation matérielle Android peut aussi produire une chaîne de certificats décrivant une clé stockée dans un environnement sécurisé. La documentation Android indique que cette chaîne peut remonter à une racine détenue par Google. (documentation Android Keystore)

Côté Apple, App Attest permet à un serveur de vérifier qu’une clé est associée à une instance légitime de l’application. Apple indique que la clé privée est stockée dans le Secure Enclave et qu’aucun processus ne peut la lire ou la modifier directement. L’attestation initiale contacte un serveur Apple. Après une réinstallation, une migration ou une restauration, une nouvelle clé doit être créée. (documentation Apple App Attest)

Nous ne savons pas davantage si France Identité utilise App Attest.

Ces mécanismes ont un objectif légitime : empêcher une fausse application ou un appareil compromis de recevoir des titres sensibles.

Ils créent aussi une décision binaire :

Attestation reconnue
→ le backend peut continuer

Attestation absente ou refusée
→ l’identité peut devenir inutilisable

Le point critique n’est pas l’existence de ce contrôle. Il est l’absence de procédure publique décrivant :

• le motif exact transmis à l’utilisateur ;
• l’acteur capable de corriger le verdict ;
• le délai de résolution ;
• le mode dégradé ;
• la prise en charge du dommage.

Deux magasins, deux déclarations de confidentialité

La fiche française de l’App Store indique « Données non collectées ». Apple précise que cette information est déclarée par le développeur et n’a pas été vérifiée par la plateforme.

La fiche Google Play indique que l’application peut :

• recueillir des informations personnelles ;
• recueillir des identifiants d’appareil ou d’autres identifiants ;
• partager des informations personnelles avec des tiers ;
• chiffrer les données pendant leur transfert ;
• permettre une demande de suppression.

Ces deux fiches ne sont pas directement comparables.

Apple et Google utilisent des définitions, des catégories et des questionnaires différents. Les versions iOS et Android peuvent elles-mêmes avoir des dépendances différentes. Un partage avec un service public nécessaire à la fonction peut également être classé différemment d’une collecte publicitaire.

La politique de confidentialité de France Identité confirme que le serveur SGIN traite des données du titre, des coordonnées et un identifiant de l’équipement mobile. Elle affirme également que l’application ne traite pas les données à des fins commerciales ou publicitaires.

Le sujet n’est donc pas d’accuser l’un des magasins de mensonge à partir d’un tableau.

Il faut obtenir une matrice commune :

Donnée
Application iOS
Application Android
SGIN
Apple
Google
Constructeur
Finalité
Durée
Destinataire

Cette matrice expliquerait au citoyen pourquoi deux vitrines officielles présentent la même identité avec des libellés aussi différents.

Outil : votre téléphone ouvre-t-il vos droits ?

Les fiches ci-dessous constituent un diagnostic documentaire, pas un test matériel. Elles distinguent les critères publics, les signaux observés et les informations encore inconnues.

Le test l0g doit distinguer sécurité et exclusion

Une enquête sérieuse ne cherchera pas à contourner les protections de France Identité. Elle doit au contraire mesurer leur effet sans compromettre une identité réelle.

La matrice de test prévue comprend :

Android récent certifié Google
Android 11 ancien mais maintenu
Android sans services Google
Android avec bootloader déverrouillé
Android avec ROM alternative
Huawei avec ou sans services Google
IPhone à la version minimale
IPhone récent
Téléphone sans compte de store configuré

Pour chaque appareil :

Application visible dans le magasin
Installation autorisée
Premier lancement
Message et code d’erreur
Lecture NFC
Création de l’identité
Reconnaissance FranceConnect
Reconnaissance FranceConnect+
Canal de mise à jour
Mode hors ligne
Réponse du support

Les appareils modifiés serviront à vérifier que les contrôles détectent effectivement les environnements non conformes, pas à les déjouer.

L’article final devra publier les modèles, versions, correctifs, états du bootloader et résultats. Un téléphone refusé ne devra jamais être décrit comme « sûr » sur la seule base de son apparence ou de sa version Android.

La souveraineté est une capacité de sortie

Le mot est trop souvent traité comme une étiquette. Pour France Identité, il peut être transformé en questions vérifiables.

Capacité	Test concret
Distribuer	L’État peut-il fournir l’application par un canal officiel hors Google Play ou App Store ?
Signer	Qui détient les clés de production Android et iOS ?
Mettre à jour	Quel délai s’applique à un correctif critique ?
Attester	Quelle racine prouve l’intégrité de l’application et du matériel ?
Expliquer	Le citoyen obtient-il la cause précise du refus ?
Corriger	France Titres peut-il lever un faux positif sans attendre le constructeur ?
Remplacer	Un autre mécanisme de sécurité peut-il être utilisé ?
Continuer	Le service final conserve-t-il un mode dégradé ?
Indemniser	Qui rembourse le coût d’une incompatibilité erronée ?

Aucune administration moderne ne fabriquera seule le processeur, le modem, l’écran, le système et le magasin de chaque téléphone. L’objectif raisonnable n’est pas l’autarcie.

Il est de connaître les dépendances, d’obtenir des droits d’accès, de maîtriser les clés, de tester la sortie et de protéger le citoyen lorsqu’une couche extérieure se trompe.

Les réponses qui doivent être publiées

France Titres peut lever une grande partie de l’incertitude sans dévoiler de secrets exploitables.

Un document public pourrait préciser :

Mécanismes de sécurité exigés
Familles de terminaux acceptées
Niveau minimal de correctifs
Usage ou non de Play Integrity
Usage ou non d’Android Key Attestation
Usage ou non d’App Attest
Données transmises à Apple ou Google
Propriétaire des clés de signature
Canaux officiels de distribution
Codes d’erreur et recours
Taux de refus par cause
Mode dégradé et délais de correction

Il ne serait pas nécessaire de publier les seuils anti-fraude précis ni les détails permettant de contourner un contrôle. Une classification des causes et une procédure de recours suffiraient déjà à rendre le système beaucoup plus intelligible.

Apple et Google doivent également répondre sur les engagements de disponibilité, la conservation des métadonnées, les délais de correction et la possibilité d’utiliser une racine indépendante pour un portefeuille public.

Méthode et limites

Cet article repose sur les sources publiques disponibles au 28 août 2026 : documentation de France Titres, fiches App Store et Google Play, rapports CSPN de 2023, décisions et catalogue ANSSI, règlement eIDAS révisé, documentation Android et Apple, dépôts officiels de l’implémentation EUDI, statistiques Insee et Arcep, ainsi que des témoignages publiés sur Services Publics+.

La méthode l0g sépare cinq niveaux de preuve :

ÉTABLI
Texte, rapport, statistique ou configuration publiée

DÉCLARÉ
Affirmation de France Titres, d’une plateforme ou d’un utilisateur

DÉDUIT
Conclusion raisonnable tirée de plusieurs sources

INCONNU
Information non publiée

À TESTER
Fonctionnement à vérifier sur un terminal contrôlé

Les témoignages Services Publics+ servent uniquement à sélectionner des scénarios de test. Ils ne permettent pas de mesurer une fréquence, une part de marché ou une responsabilité.

L0g n’a pas observé le trafic réseau de France Identité, analysé son binaire de production, obtenu son SBOM, consulté les contrats avec Apple ou Google, ni reçu de confirmation sur Play Integrity, App Attest ou la détention des clés de signature.

Les descriptions de l’attestation Android, d’App Attest et de l’implémentation EUDI documentent les mécanismes disponibles ou proposés. Elles ne prouvent pas que France Identité les emploie actuellement.

Une identité publique doit survivre à son téléphone

Le smartphone apporte à France Identité une sécurité, une distribution et une ergonomie qu’un État aurait beaucoup de mal à reconstruire seul. Apple et Google ne sont pas, par leur seule présence, une anomalie. Ils fournissent une infrastructure industrielle dont le service public tire parti.

Le risque commence lorsque cette infrastructure devient une condition opaque.

Un citoyen peut remplir les critères affichés, posséder une CNI valide et disposer d’un téléphone récent, puis recevoir un refus qu’il ne peut ni comprendre, ni corriger, ni contester avant son échéance. L’identité physique reste valable. Le parcours numérique rapide disparaît.

L’Europe a répondu par deux principes puissants : ouvrir le code et imposer l’accès aux fonctions des plateformes. Il reste à transformer ces principes en capacités de production : un canal de secours, des clés maîtrisées, une attestation explicable, une compatibilité mesurée et un recours rapide.

La souveraineté utile ne se lit pas sur le drapeau de l’écran d’accueil.

Elle se mesure le jour où l’État doit faire fonctionner, réparer ou remplacer son identité numérique sans demander au citoyen de changer de téléphone pour retrouver ses droits.