KYC en ligne avec la puce du document : ce que CodeB apporte aujourd’hui à la vérification des clients
Banques, établissements de paiement et de crypto-actifs, opérateurs télécoms et de jeux doivent connaître leurs clients – en ligne, rapidement et de façon vérifiable. Le point faible de nombreux processus est le contrôle du document : photos et flux vidéo peuvent être retouchés, rejoués ou générés. Chaque passeport et chaque carte d’identité délivrée dans l’UE depuis août 2021 porte une puce dont les données sont signées par l’État émetteur. Cet article montre ce que CodeB fait aujourd’hui avec cette puce, comment les portefeuilles UE et les signatures qualifiées s’y ajoutent – et, tout aussi clairement, ce que CodeB ne fait pas.
Pourquoi la puce et non une photo du document
La photo d’une pièce d’identité montre ce que la caméra a vu – ou ce qu’on lui a injecté. Images retouchées, copies imprimées, deepfakes et attaques par injection rendent les contrôles optiques plus difficiles chaque année. La puce est différente : nom, date de naissance, numéro du document et photo y sont stockés et signés numériquement par l’État émetteur (ICAO Doc 9303). Une lettre modifiée et la signature est rompue. Une puce copiée ne passe pas le test de clé de l’original.
Les puces sont partout : les passeports en ont depuis des années, et chaque carte d’identité délivrée dans l’UE depuis le 2 août 2021 doit en avoir une (règlement (UE) 2019/1157). La plupart de vos clients ont déjà un document à puce en poche.
Ce que fait CodeB aujourd’hui : la vérification de la puce via le téléphone du client
Votre serveur lit, le téléphone ne fait que transmettre. Vous envoyez au client un lien ou un QR code. CodeB Wallet indique qui demande et ce qui sera lu ; le client accepte, saisit le numéro d’accès (CAN) ou scanne la zone de lecture automatique, et pose le document au dos du téléphone Android. Le serveur de phone.codeb.io est le lecteur : il dialogue de bout en bout avec la puce par un canal chiffré et authentifié (PACE, Chip Authentication, Secure Messaging). Une app manipulée peut interrompre la lecture, mais pas inventer un résultat.
Ce qui est vérifié. Authentification passive : les données de la puce doivent être signées par le signataire de documents de l’État émetteur, avec chaîne vers son certificat national de la master list du BSI allemand (115 pays plus l’UE et l’ONU), listes de révocation comprises. Chip ou Active Authentication : la puce prouve avec sa propre clé qu’elle est l’originale et non une copie. App authentique sur appareil authentique : Android Key Attestation et Google Play Integrity.
Ce que vous recevez. Le verdict (authentique ou non, avec motifs), les données du document – nom, date de naissance, nationalité, sexe, type et numéro du document, pays émetteur, date d’expiration – et la photo de la puce. Les empreintes digitales ne sont jamais lues ; elles sont réservées aux autorités frontalières.
Preuve. Chaque lecture est enregistrée dans un journal de preuve chaîné par hachage : méthode, algorithmes, certificats, état de révocation et résultat – pour votre piste d’audit.
D’autres briques qui fonctionnent aujourd’hui
Portefeuilles d’identité numérique européens. Avec le CodeB EUDI Gateway, votre site accepte les données d’identification personnelle (PID) des portefeuilles UE via une seule intégration OpenID Connect – OpenID4VP, SD-JWT VC et ISO mdoc, contrôles de confiance et de révocation, journaux de preuve. Il est testé avec le portefeuille de référence de l’UE ; les portefeuilles nationaux sont testés dès qu’ils sont disponibles.
Signatures électroniques qualifiées. Les clients munis d’une carte de signature – par exemple une eID maltaise, une carte D-Trust ou une carte professionnelle de santé allemande – signent votre contrat dans CodeB Wallet avec une signature qualifiée par NFC. En Allemagne, le § 12 GwG cite la signature qualifiée comme moyen de vérifier l’identité, avec la validation de la signature et un paiement depuis le compte du client. Vous validez la signature – par exemple avec l’outil de validation DSS de l’UE.
Mises à jour. Quand un document expire ou que vos règles de risque l’exigent, envoyez un nouveau lien d’invitation – le client refait la vérification de la puce en une minute.
Seulement l’âge. Quand vous devez seulement savoir « plus de 18 ans ? », ne demandez rien d’autre – vérification de l’âge.
Ce que CodeB ne fait pas – à lire
Une vérification de puce prouve qu’un document authentique était présent – pas qui le tient. CodeB ne compare pas le visage du client avec la photo de la puce et ne fait pas de détection du vivant. Si votre processus exige ce lien entre la personne et le document, vous l’ajoutez – par exemple avec votre propre comparaison faciale contre la photo de haute qualité de la puce que vous recevez.
Pas certifié, pas de niveau de garantie. CodeB est conçu pour suivre eIDAS 2.0 et l’Architecture and Reference Framework de l’UE. Il n’est pas certifié comme service de vérification d’identité, et une vérification de puce via CodeB n’est pas un niveau de garantie eIDAS (« substantiel » ou « élevé »).
Votre droit, votre superviseur. Qu’un processus utilisant ces briques remplisse vos obligations de vigilance dépend de votre secteur, de votre pays et de votre superviseur. La vérification de la puce nécessite un téléphone Android avec NFC ; prévoyez un autre canal pour les clients sans.
Le cadre juridique en bref
Allemagne aujourd’hui : le § 12 (1) GwG énumère les moyens de vérifier l’identité d’une personne physique : pièce d’identité officielle avec photo, fonction eID de la carte d’identité allemande, signature électronique qualifiée (avec validation et paiement depuis le compte du client), schéma eID eIDAS notifié et documents relevant des règles sur les comptes de paiement.
UE à partir du 10 juillet 2027 : le règlement anti-blanchiment (UE) 2024/1624 s’applique directement. Son article 22(6) cite la pièce d’identité, le passeport ou équivalent, ainsi que les moyens d’identification électronique de niveau substantiel ou élevé avec les services de confiance qualifiés pertinents.
Portefeuilles UE : selon eIDAS 2.0 (art. 5f), les parties utilisatrices privées tenues par la loi à une authentification forte – les banques, par exemple – doivent accepter les portefeuilles européens d’ici décembre 2027.
Cas d’usage : ouverture de compte dans un établissement de paiement
Scénario d’exemple. Un établissement de paiement ouvre des comptes en ligne. Lors de l’inscription, la cliente touche « Vérifier ma pièce par la puce ». CodeB Wallet s’ouvre et affiche le nom de l’établissement et ce qui sera lu. La cliente saisit le CAN de sa carte d’identité et pose la carte sur son téléphone.
Quelques secondes plus tard, le back-office voit : document authentique, puce signée par l’État émetteur, pas une copie – avec les données, la photo de la puce et un journal de preuve. L’établissement effectue sa propre comparaison faciale contre la photo de la puce et son filtrage des listes de sanctions. Le contrat de compte est ensuite signé dans la même app.
Comment commencer
- Essayez vous-même : lisez la puce de votre pièce dans le playground.
- Lisez les détails de la vérification d’identité à distance et du CodeB EUDI Gateway.
- Demandez une démo d’intégration : info@aloaha.com.
Sources
§ 12 GwG · AMLR (EU) 2024/1624 · eIDAS 2.0 (EU) 2024/1183 · Regulation (EU) 2019/1157 (ID cards) · ICAO Doc 9303 · BMI: EUDI wallet guidance · EU DSS validation tool
Questions sur le KYC en ligne avec la puce
Que prouve la vérification de la puce ?
Qu’un passeport ou une carte d’identité authentique était présent : les données sont signées par l’État émetteur, inchangées, et la puce n’est pas une copie. Elle ne prouve pas qui tient le document.
CodeB fait-il de la comparaison faciale ou de la détection du vivant ?
Non. Vous recevez la photo de la puce et pouvez effectuer votre propre comparaison faciale. CodeB ne fait ni comparaison faciale ni détection du vivant.
Pourquoi une app manipulée ne peut-elle pas falsifier le résultat ?
Parce que le serveur de phone.codeb.io lit lui-même la puce par un canal chiffré de bout en bout. Le téléphone ne fait que transmettre les messages, sans pouvoir les lire ni les modifier.
Quels documents sont pris en charge ?
Passeports, cartes d’identité et de nombreux titres de séjour à puce conformes à l’ICAO Doc 9303. Un document peut être confirmé authentique si le certificat de son pays figure dans la master list du BSI – 115 pays plus l’UE et l’ONU en octobre 2026.
Une vérification de puce suffit-elle pour les règles anti-blanchiment ?
Cela dépend de votre secteur, de votre pays et de votre superviseur. À partir du 10 juillet 2027, le règlement anti-blanchiment de l’UE s’applique. Clarifiez votre processus avec votre service conformité.
CodeB est-il certifié ?
Non. CodeB est conçu pour suivre eIDAS 2.0 et l’Architecture and Reference Framework de l’UE, mais il n’est pas certifié, et une vérification de puce via CodeB n’est pas un niveau de garantie eIDAS.
De quoi le client a-t-il besoin ?
Du passeport ou de la carte d’identité à puce, de son numéro d’accès (CAN) ou de sa zone de lecture automatique, et d’un téléphone Android avec NFC et CodeB Wallet.