Le wallet, lieu de convergence du paiement et de l’identité

On ne présente plus les applications X-pay (Apple Pay, Samsung Pay et Google Pay, pour n’en citer que les plus connues), déployées sur terminaux mobiles en France depuis 2016 et aujourd’hui bien introduites dans l’écosystème des paiements pour particuliers. Ces applications permettent d’assurer des règlements sur points de vente sans contact et sans avoir à physiquement présenter une carte de paiement au commerçant. Présentées sous forme de wallets (portefeuilles) numériques sur mobiles et autres appareils connectés, celles-ci stockent de façon sécurisée les données des cartes de paiement du titulaire, lesquelles sont communiquées au marchand pour réaliser le règlement conformément au schéma de carte applicable. Elles ont pour effet de positionner le wallet au centre des interactions de paiement, dont on connaît bien sûr la fréquence et l’importance pour les citoyens.

Si les wallets de paiement sont une réalité désormais bien établie, leur pendant identitaire – les wallets d’identité numérique – le deviendront bientôt. En France, un très récent décret vient d’en valider une première déclinaison officielle liée à la nouvelle carte nationale d’identité électronique (le Service de garantie de l’identité numérique – SGIN) mais qui présente la particularité d’être structurellement associée à l’écosystème France Connect¹. Par ailleurs, les wallets d’identité numérique annoncés par le projet de refonte du règlement eIDAS (dit eIDAS 2.0), dont la vocation pluri-usages est affirmée, devraient changer la donne en positionnant le smartphone comme support quasi universel de conservation et de communication d’attributs certifiés par des tiers, qu’il s’agisse d’attributs d’identité, de statut ou même d’autres attributs.

Les wallets eIDAS 2.0 offriront des attributs d’identité bénéficiant d’un niveau de garantie (fiabilité) élevé reconnu par l’Etat émetteur du wallet, devront être acceptés par les principaux fournisseurs de services, y compris les banques et autres prestataires de services financiers, permettront une authentification forte conforme aux exigences de la DSP2 et géreront la connectivité hors ligne qui est habituelle pour les interactions de wallets de paiement et nécessaire dans les situations de connectivité internet limitée.

Les univers du paiement et de l’identité ont donc vocation à durablement s’installer dans les wallets numériques, traduisant ainsi une évolution structurelle et sans doute irréversible des usages digitaux vers la dématérialisation générale des moyens de paiement autant que des justificatifs d’identité. Si cet aspect ne fait guère débat, la question de leur rapprochement au sein d’applications unifiées est plus ouverte, mais apparaît aujourd’hui probable car trois facteurs y contribuent de façon structurelle :

– le premier est la diffusion en volume, portée par les grands acteurs du numérique, d’attributs d’identité vérifiés basés sur des solutions de vérification d’identité à distance entièrement automatisées et des process de biométrie faciale au rapport efficacité/coût inégalé. À titre d’illustrations, on notera par exemple les Blue Verified Accounts de Twitter pour les comptes de personnalités, mais aussi les ID checked d’Airbnb ou les vérifications d’identité d’Uber. Les identifiants numériques déjà massivement propagés par les grands acteurs du numérique (de type X – Connect) sont donc en train de progresser en fiabilité et sortent du niveau déclaratif où ils ont été jusqu’à présent cantonnés. Entre les identifiants non vérifiés/non réglementés et les identifiants vérifiés et réglementés (de type eIDAS niveau substantiel ou élevé) apparaît une catégorie intermédiaire : les identifiants vérifiés mais non réglementés qui répondent à un besoin évident de fiabilisation des interactions digitales ;

– le deuxième est un facteur technique, lié à l’importance du mode hors ligne pour les paiements et pour certains cas d’usages de présentation d’attributs d’identité – notamment dans les zones blanches ou de concentration de population (points de vente, rassemblements, etc.). Ce mode est celui où le wallet utilise une connexion de proximité pour communiquer avec un terminal de la partie recevant les attributs de paiement ou d’identité – NFC, BLE (Bluetooth) et/ou QR code – sans passer par internet. C’est bien sûr le mode utilisé par les cartes pour les paiements sans contact et les wallets de paiement, lesquels utilisent une connexion NFC pour s’appareiller aux terminaux de paiement des marchands. Incidemment, deux applications d’un même smartphone ne peuvent pas communiquer l’une avec l’autre sans connexion internet, ce qui favorise en mode hors ligne les applications à spectre large, capables de gérer des attributs diversifiés. Enfin, le mode hors ligne est discriminant vis-à-vis des technologies supportées – il n’est de fait pas supporté par les technologies des registres distribués et reste aujourd’hui mal couvert par les spécifications du W3C sur les Verified Credentials souvent mises en avant pour les schémas d’identité numérique ;

– le troisième est l’impact sur l’expérience client de parcours intégrant nativement attributs d’identité, attributs de statut – par exemple diplôme, qualification ou aptitude (permis de conduire) ou appartenance à un programme de fidélité – et attributs de paiement, tout particulièrement dans les situations où la signature du titulaire du wallet est également requise. En effet, plutôt que d’avoir à gérer plusieurs applications distinctes sur mobile, la gestion commune d’attributs au sein d’un unique wallet permet un parcours entièrement fluidifié et optimisé, susceptible de faciliter l’adhésion des utilisateurs, dont on sait combien elle peut être un facteur puissant d’évolution des usages.

La réponse n’est évidemment pas tranchée et dépendra de facteurs notamment liés à l’évolution de l’environnement réglementaire mais aussi aux modèles économiques à construire pour les schémas de déploiement des wallets. Si le premier, centré sur le futur règlement eIDAS 2.0, favorise incontestablement les wallets d’identité numérique, plusieurs facteurs laissent penser que le jeu reste en fait assez ouvert.

Un premier élément de réponse viendra, dans la mise en place des wallets eIDAS 2.0, de la place que tiendra la fonctionnalité d’autorisation de paiement dans les cas d’usages mis en œuvre. Précisons que celle-ci ne vise pas à créer un nouveau moyen de paiement mais a vocation à mettre en place un schéma d’échange de messages constatant l’accord des parties sur les termes du paiement pour en assurer l’irrévocabilité juridique, actant du choix par le titulaire du wallet du moyen de paiement retenu (règlement par carte ou virement) parmi ceux validés par le marchand et mettant en œuvre l’authentification forte requise par la DSP2. Les procédures d’initiation de paiement, au sens où l’entend la DSP2, et de gestion des flux d’encaissement relevant quant à elles des schemes habituels – essentiellement de carte mais aussi de virement, surtout s’il est disponible en virement instantané. On notera la parenté entre ce schéma et le SEPA Request-to-Pay dont le Rulebook « 2^e version » a été publié par l’EPC (Conseil européen des paiements) en novembre dernier.

Toutefois, si le cas d’usage des wallets eIDAS 2.0 est bien reconnu dans le projet de document d’architecture et de référence les concernant présenté en février 2022² et est expressément visé par l’appel à soumission de propositions de développements financées par la Commission européenne, force est de constater qu’il n’est pas nécessairement en phase avec une vision des wallets d’identité, qui reste souvent orientée vers les services publics, illustrée en France par le projet SIGN intrinsèquement lié à la CNIe et à France Connect. Ajoutons à cela qu’une partie de la communauté bancaire européenne préfère aujourd’hui se concentrer sur le cas d’usage d’ouverture de compte à partir des données du wallet qui relève d’une thématique distincte, celle de la gestion du KYC. De plus, le calendrier de mise en place des wallets eIDAS 2.0, déjà très ambitieux, s’étend sur plusieurs années et dépend en partie de textes complémentaires également en préparation – notamment du futur règlement AML et de ses textes d’application – et suppose de résoudre de délicates questions de modèle économique, de gouvernance et de responsabilité – dont on peut penser qu’elles seront abordées dans une future et probable DSP3. Bref, les jeux ne sont pas faits. Ils le sont d’autant moins au plan technique que le mode hors ligne, qui fait pourtant partie des prérequis officiels des wallets eIDAS 2.0 et s’avère essentiel pour les paiements sur point de vente, n’est pas nécessairement considéré comme tel par les prestataires positionnés sur d’autres cas d’usage (par exemple e-travel, e-health ou e-diploma) et n’est pas toujours compatible avec les solutions technologiques aujourd’hui préconisées pour ces derniers.

Dans un contexte où les wallets d’identité numérique ne couvriraient pas, ou insuffisamment, le cas d’usage d’autorisation de paiement, il est probable que la place sera laissée libre à des wallets de paiement enrichis de fonctionnalités d’identité qui pourraient bien devenir centraux, parce qu’offrant une expérience client inégalée pour des cas d’usage très fréquents dans la vie quotidienne, marginalisant ainsi les wallets d’identité numérique qui seraient alors limités aux situations où un niveau de garantie élevé eIDAS serait exigé par le service utilisateur des données communiquées par le wallet.

Ce scénario n’est sans doute pas théorique au regard du positionnent des grands acteurs des paiements digitaux. On sait par exemple qu’Apple – dont l’application Apple Pay n’est plus à présenter et à l’exceptionnel savoir-faire en matière d’intégration de solutions – est très actif sur l’identité numérique et a lancé en mars dernier aux États-Unis les premiers wallets d’identité numérique basés sur le permis de conduire et reconnus par plusieurs États³. Dans une perspective différente, Mastercard se positionne également comme fournisseur de services d’identité numérique et plus seulement de solutions de paiement par carte. Enfin, Google a annoncé en ce mois de mai 2022 une évolution majeure de son service Google Pay – renommé Google Wallet – pour l’élargir à de nouveaux usages intégrant des données d’identité et de statut.

L’histoire du match entre wallets de paiement et d’identité numérique est donc loin d’être écrite, d’autant plus que se profilent à l’horizon les futures monnaies numériques de banques centrales qui nécessiteront vraisemblablement des wallets partageant des attributs de paiement et d’identité et gèreront le mode hors ligne, à l’instar des wallets e-yuan déjà déployés par la Banque centrale de Chine. Au final, ce qui interpelle aujourd’hui est plutôt la séparation complète des wallets de paiement et d’identité au sein d’un même « équipement terminal de communications électroniques de l’usager », pour utiliser les termes du décret du 26 avril 2022 (comprendre « smartphone »). En effet, si un nombre considérable de parcours d’entrée en relation commerciale impliquent la communication combinée d’attributs d’identité, de statut et de paiement, on voit mal comment durablement résister à des wallets de paiement enrichis de fonctionnalités d’identification portés par des GAFAM/BATX en mesure d’offrir des parcours clients intégrés et attractifs et capables de déployer avec agilité des ressources hors de portée de nombre d’États européens. Le réveil risque d’être abrupt pour ceux qui n’auront pas anticipé cette évolution.

Le règlement eIDAS met en place au niveau européen depuis 2016 un schéma de reconnaissance mutuelle des identités numériques nationales autour de trois niveaux de garantie (faible, substantiel et élevé) ainsi que de certification à partir de standards communs ETSI des services de confiance, dont la signature et le cachet électroniques. Si son bilan est jugé positif sur les services de confiance, il est en revanche plus décevant sur le volet identités numériques, optionnel pour les États membres et centré vers les usages publics, dépendant de spécifications techniques nationales souvent divergentes et basé sur un standard IT inadapté aux applications sur smartphones.

Le scénario suivant n’est pas de la science-fiction puisque les technologies sous-jacentes sont matures et disponibles à des coûts compétitifs. Ayant raté une correspondance de train, Alice souhaite louer une voiture après les heures d’ouverture et se présente à cet effet devant un automate de location de voiture. Elle scanne le QR code de celui-ci avec son smartphone, ce qui ouvre une communication BLE (Bluetooth) et, après validation des conditions de la location (type de véhicule, durée), génère sur son smartphone une demande de l’automate de présentation combinée des attributs d’identité, de permis de conduire, de justificatif de domicile, et de paiement (identifiant carte ou IBAN) et, le cas échéant, de programme de fidélité. Alice valide les attributs demandés ainsi que le prix de la location et signe le tout électroniquement – aujourd’hui avec une signature électronique avancée basée sur un certificat qualifié eIDAS, demain avec une signature qualifiée eIDAS. Le smartphone d’Alice et l’automate de location se sont réciproquement authentifiés et le paiement est automatiquement traité dans le cadre d’un schéma de type carte, mandat SEPA ou SEPA Request-to-Pay après transmission des données par l’automate vers les rails de paiement applicables, mais sans redirection vers le teneur de compte d’Alice pour l’authentification forte puisque celle-ci est directement prise en charge par son smartphone. Dès la réalisation de l’opération, ce dernier récupère une attestation de location permettant le démarrage de la voiture sans clé et conserve une preuve de l’échange des données, notamment celles relatives au paiement exigées par la DSP2 (lien dynamique). Tout ceci sans que le smartphone d’Alice ait eu besoin d’une connexion à internet.