<!-- Generated from prerendered index.html. HTML SHA-256: 05f90a8345dcd71aeb6525c36f71f515de66e6ba7a6bfbd6ffe3fdb07a1509be -->

# 05 · Identification, authentification, signature : ce que chacune produit

> Section autonome du guide [eIDAS 2, échange par échange](https://signature.codethelaw.eu/).

Cadre et définitions

Trois opérations voisines utilisent les mêmes primitives mais ne produisent pas la même chose. La différence tient à ce qui est signé, par qui, et à ce que la trace permet de prouver à un tiers.

## Trois opérations, trois résultats

| Opération | Ce qui est établi | Matériel utilisé | Ce qui est signé | Preuve transférable à un tiers | Exemple sur cette page |
| --- | --- | --- | --- | --- | --- |
| Identification | Qui est la personne : attributs liés à une personne réelle | Attestation signée par un émetteur (PID) ou assertion d'une fédération | Les attributs, par l'émetteur | Oui, la signature de l'émetteur | Section 3 (PID), section 4 (userinfo) |
| Authentification | Que le détenteur légitime est présent maintenant | Clé privée de l'utilisateur ou de son dispositif, débloquée par PIN ou biométrie | Un défi frais (nonce), lié au destinataire | Selon le protocole : oui avec une signature de défi (KB-JWT), non avec Chip Authentication ou un MAC | Section 3 (KB-JWT), section 1 (anti-clonage) |
| Signature | Que la personne s'engage sur un contenu | Clé de signature avec certificat d'usage contentCommitment | Le condensat d'un document | Oui, c'est son objet | Sections 7 et 8 |

## Niveaux de garantie des moyens d'identification

Les niveaux sont définis par le règlement d'exécution (UE) 2015/1502 : ils portent sur l'enrôlement, la gestion du moyen, l'authentification et l'organisation de l'émetteur. FranceConnect les expose dans le claim acr.

| Niveau eIDAS | Valeur acr FranceConnect | Plateforme | Exemple de moyen |
| --- | --- | --- | --- |
| Faible | `eidas1` | FranceConnect | Comptes des fournisseurs d'identité historiques |
| Substantiel | `eidas2` | FranceConnect+ | France Identité avec identité certifiée |
| Élevé | `eidas3` | FranceConnect+ | Moyens proposés pour le niveau élevé ; seuls ceux-ci sont présentés quand eidas3 est demandé |

**NOTE.** HAIP 1.0 précise qu'il remplit certaines exigences du niveau élevé mais pas toutes : le niveau dépend aussi de l'enrôlement, de la certification du WSCD et de l'organisation du fournisseur, hors du protocole.

## Le point qui sépare authentification et signature

Les deux opérations peuvent utiliser la même primitive ECDSA. Si une même clé servait aux deux, un service malveillant pourrait présenter comme défi d'authentification le condensat d'un contrat. D'où la séparation des clés et des usages de certificat : la carte d'identité estonienne, par exemple, porte une clé d'authentification (PIN1) et une clé de signature (PIN2) distinctes, et le portefeuille européen ne signe des documents que via un parcours de signature qualifiée dédié.

## Sources

-   [Règlement d'exécution (UE) 2015/1502 (niveaux de garantie)](https://eur-lex.europa.eu/eli/reg_impl/2015/1502/oj)
-   [FranceConnect, niveaux de garantie eIDAS et ACR](https://docs.partenaires.franceconnect.gouv.fr/fs/fs-technique/fs-technique-eidas-acr/)
-   [OpenID4VC HAIP 1.0, note sur le niveau élevé](https://openid.net/specs/openid4vc-high-assurance-interoperability-profile-1_0.html)