Acceptation transfrontalière du portefeuille EUDI : une seule intégration dans l'UE

Dernière révision : 31 octobre 2026 · Ceci n'est pas un conseil juridique

L'acceptation transfrontière du portefeuille EUDI ressemble à un projet à 27 pays, mais le règlement (UE) 2024/1183 et ses actes d'exécution fixent le modèle de données, les formats et les listes de confiance pour chaque État membre. La difficulté se situe dans vos propres systèmes : le PID d'un client français ne ressemble pas à celui d'un client polonais, un client qui revient n'a pas d'identifiant européen commun, et certains pays arriveront en retard.

Ce guide suppose que vous savez ce que doit faire une partie utilisatrice et comment fonctionne un vérificateur OpenID4VP. Pour choisir votre mode de connexion, lisez notre guide des modes d'intégration du portefeuille EUDI. Les règles ci-dessous proviennent du texte officiel, y compris les modifications de juillet 2026 et l'Architecture and Reference Framework (ARF) 3.0.0.

Ce que signifie juridiquement l'acceptation transfrontière du portefeuille EUDI

Chaque État membre doit fournir « au moins un portefeuille européen d'identité numérique », directement, sur mandat, ou de manière indépendante mais reconnu par cet État, de sorte qu'un pays peut en avoir plusieurs.^[1] Une partie utilisatrice « s'enregistre dans l'État membre où elle est établie », une seule fois, et les portefeuilles doivent pouvoir l'authentifier « quel que soit son lieu d'établissement dans l'Union ».^[1][6] En outre, la partie utilisatrice est « responsable de l'exécution de la procédure d'authentification et de validation » des données qu'elle demande.^[1]

Pour les entreprises privées, l'article 5f(2) exclut les micro et petites entreprises et ne s'applique « que sur demande volontaire de l'utilisateur ».^[1] Notre guide des échéances précise qui est concerné.

1. 11 août 2026Règles PID mises à jourLe règlement 2026/1731, publié le 22 juillet, entre en vigueur et remplace l'annexe PID.
2. 24 décembre 2026Portefeuilles attendusLes règles de mise en correspondance de l'identité et d'enregistrement s'appliquent également.
3. Premier trimestre 2027Référentiel de testObjectif indicatif pour la version candidate de conformité.
4. 24 décembre 2027Acceptation par le secteur privéÉchéance de l'article 5f(2) pour les entreprises concernées.
5. 11 août 2028Portrait, certificatsPortrait dans l'ensemble obligatoire. Les portefeuilles valident les certificats d'enregistrement.

Les dates qui structurent un déploiement transfrontalier. Le 24 décembre 2026 et 2027 sont calculés à partir de l'entrée en vigueur des actes d'exécution le 24 décembre 2024.^{[1][2][5][15]}

Le modèle de confiance : des listes d'entités de confiance (LoTE), pas une seule grande liste

Pour un PID, raisonner en termes de « liste de confiance de l'UE » est une erreur. L'ARF 3.0.0 indique que « les listes de confiance n'existent que pour les fournisseurs de QEAA », les émetteurs d'attestations qualifiées, dont les listes nationales sont accessibles via la liste des listes de confiance (LOTL) de la Commission.^[8] Tout le reste figure dans des listes d'entités de confiance, « signées et publiées par la Commission » après notification des entités par les États membres.^[8]

Rôle de chaque liste, d'après la section 3.5 de l'ARF et l'article 5 du règlement 2024/2980.^[4][8] Les parties utilisatrices elles-mêmes ne figurent sur aucune liste.^[8]

Quand un portefeuille répond, votre vérificateur suit une seule chaîne, la même pour un PID de n'importe quel État membre :

Une seule chaîne de vérification pour tous les pays émetteurs, condensée à partir des sections 6.6.3.6 à 6.6.3.9 de l'ARF.^[9]

L'ARF qualifie les contrôles de révocation et de lien avec l'appareil de « recommandés mais non obligatoires » de manière générale. Pourtant, se fier à l'authentification de l'utilisateur par le portefeuille « implique que les parties utilisatrices doivent vérifier le lien avec l'appareil ».^[9] Pour l'entrée en relation, nous conseillons de traiter les deux comme obligatoires. Ce que le lien avec l'appareil ne prouve pas est une autre question.

Vous ne pouvez pas contrôler le portefeuille lui-même : vous vous fiez au fournisseur de PID, qui révoque le PID si l'unité de portefeuille est révoquée. Le contrôle du statut du PID couvre donc le portefeuille.^[9] Les entités ne sont jamais supprimées d'une liste, seulement passées au statut Invalid. Lisez donc le statut.^[8]

S'enregistrer une fois, et ne demander que ce qui a été enregistré

Vous vous enregistrez uniquement dans votre pays, et n'importe quel portefeuille peut vous authentifier. Le portefeuille compare votre demande avec votre certificat d'enregistrement.^[1][6][9]

S'enregistrer une fois dans son pays, présenter partout. Version simplifiée de la section 6.6.3 de l'ARF et du règlement 2025/848.^[6][9]

Le piège transfrontalier, c'est le résultat. Si vous demandez plus que ce que vous avez enregistré, le portefeuille « avertit clairement l'utilisateur du portefeuille avant toute divulgation », mais chaque fournisseur de portefeuille décide, selon sa propre analyse des risques, si l'utilisateur peut continuer, si seul le sous-ensemble enregistré est partagé ou si la demande est rejetée.^[2] Une même demande excessive peut donc produire trois résultats différents dans trois pays.^[2] Les portefeuilles ne sont tenus de valider les certificats d'enregistrement qu'à partir du 11 août 2028. Testez donc ce comportement portefeuille par portefeuille plutôt que de vous fier à un seul résultat.^[2]

Enregistrez chaque attribut dont vous pourriez avoir besoin dans n'importe quel pays, puis ne demandez, pour chaque parcours, que ce dont il a besoin. Les États membres « peuvent exiger » des certificats d'enregistrement. Vérifiez donc la politique de votre bureau d'enregistrement.^[6] Notre guide des politiques et contrôles en fait un contrôle dont vous êtes propriétaire.

Attributs PID : même schéma, contenus différents

L'annexe PID du règlement 2024/2977 a été remplacée par le règlement 2026/1731 en juillet 2026. Les tableaux plus anciens sont donc obsolètes.^[2] Les noms d'attributs diffèrent aussi entre les deux formats.

Le PID de la personne physique tel que remplacé en juillet 2026.^[2] Métadonnées : issuing_authority et issuing_country sont obligatoires ; expiry_date, issuance_date, document_number et issuing_jurisdiction sont facultatifs.^[2]

Testez chacun de ces points :

• Nationalité inconnue et apatridie. Une nationalité inconnue correspond à la valeur QU, l'absence de nationalité à QS.^[2] Un analyseur strict des codes pays ISO rejette les deux.
• Lieu de naissance. Il « contient au moins un » des éléments suivants : pays, région ou localité.^[2] Vous pouvez recevoir une ville sans pays.
• Plusieurs nationalités. Le fournisseur « peut inclure » toutes les nationalités. Le Rulebook permet aussi d'en indiquer une deuxième dans un attribut national.^[2][11]
• Rue. resident_street inclut désormais le numéro de la maison. L'attribut distinct pour le numéro de la maison a disparu.^[2][3]
• Attributs nationaux supplémentaires. Les pays peuvent ajouter des attributs dans un espace de noms tel que eu.europa.ec.eudi.pid.[country] ou dans un type national, publiés en application du règlement 2025/1569.^[2]

Pour les entités soumises au règlement relatif à la lutte contre le blanchiment de capitaux (AMLR), c'est là qu'un seul portefeuille ne suffit plus. Le projet final de norme de l'autorité européenne de lutte contre le blanchiment de capitaux (AMLA) du 30 septembre 2026, qui reste un projet, prévoit que lorsqu'un moyen ne contient pas tous les attributs, l'entité « prend des mesures pour obtenir et vérifier les attributs manquants par d'autres moyens ».^[14]

D'après l'annexe I du projet de norme de l'AMLA.^[13][14] Ce projet mentionne encore resident_house_number, que l'annexe PID de juillet 2026 a supprimé. Attendez-vous donc à une évolution de la correspondance.^[2][14] Consultez notre guide AMLR pour la position complète.

Normaliser les noms, les adresses et les lieux

Le texte du PID est en UTF-8 avec toute la plage Unicode, et un champ texte mdoc est limité à 150 caractères.^[2] Aucun attribut du PID ne contient de translittération latine : ni l'annexe ni le Rulebook 1.7 n'en définissent.^[2][11] Un client peut donc arriver en écriture grecque ou cyrillique alors que votre filtrage des sanctions et vos dossiers existants utilisent des caractères latins. Le projet de l'AMLA demande aux entités de filtrer les noms « dans leur alphabet d'origine et/ou translittérés en alphabet latin ».^[14]

La norme juridique la plus proche, rédigée pour les organismes publics, prévoit que le résultat de la mise en correspondance « n'est, dans la mesure du possible, pas affecté par les différences de translittération, les espaces, les traits d'union, les concaténations et d'autres variations orthographiques similaires ».^[5] Notre conception recommandée, qui relève du conseil technique et non du droit :

• Conservez l'original. Stockez la valeur signée comme preuve et dérivez une clé de correspondance distincte.
• Normalisez en un seul endroit. Appliquez la normalisation Unicode (NFC), uniformisez la casse, réduisez les espaces et traitez les traits d'union et les apostrophes comme des séparateurs.
• Comparez par niveaux. Essayez la correspondance exacte, puis sans signes diacritiques, puis l'ordre des éléments, et consignez le niveau qui a abouti.
• Traitez les changements d'écriture comme des éléments de preuve. Utilisez la forme latine figurant sur le propre document du client, et non une table de translittération unique.

La langue relève de vous. Aucun attribut du PID n'indique une langue ou des paramètres régionaux : déterminez-la à partir de votre propre parcours.^[2][11] Le portefeuille affiche ses propres écrans, mais votre demande, le texte d'utilisation prévue et vos messages d'erreur doivent être traduits ; pour le portrait, les règles exigent une utilisation prévue formulée « dans un langage clair et compréhensible ».^[2]

Les adresses demandent le même soin. resident_address est un texte libre, tandis que ses composantes sont des attributs distincts, et chacun d'eux peut être absent.^[2] Le projet de l'AMLA demande les éléments pays, ville et rue, et ses considérants veulent des attributs dans des « champs de données structurés ».^[14] Acceptez les deux formes.

Mise en correspondance des identités et clients récurrents

Il n'existe pas de numéro client à l'échelle de l'UE. personal_administrative_number est facultatif et unique uniquement « parmi tous les numéros administratifs personnels délivrés par le fournisseur ».^[2] Lorsque plusieurs PID du format demandé existent, le portefeuille interroge l'utilisateur, sauf si le contexte permet de trancher, et les PID techniques durent généralement quelques jours ou semaines.^[10][11] N'associez donc jamais un compte à une signature de PID, à une clé publique ou à un document_number.

Le règlement (UE) 2025/846 fixe des procédures de mise en correspondance transfrontière des identités, applicables à partir du 24 décembre 2026. Il s'impose aux « organismes du secteur public ou [...] organismes agissant pour le compte d'un organisme du secteur public ».^[5] Les États membres décident si les parties utilisatrices privées peuvent utiliser ces systèmes et, lorsqu'elles le peuvent, les procédures s'appliquent « le cas échéant ».^[5]

Article 2(7)Règlement (UE) 2025/846

« Lorsque la correspondance n'est pas exacte ou concerne plus d'une personne physique, ou que la partie effectuant la mise en correspondance des identités ne peut garantir que la correspondance est univoque, le processus de mise en correspondance des identités est réputé avoir échoué. »

Source : EUR-Lex, Règlement d'exécution (UE) 2025/846^[5]

Le processus du règlement 2025/846, simplifié. Les organismes publics doivent le suivre. Pour les entreprises privées, c'est un modèle, sauf si des règles nationales l'étendent.^[5]

Les journaux sont conservés « pendant une durée minimale de 6 mois et maximale de 12 mois à des fins de sécurité », et plus longtemps à d'autres fins uniquement lorsque le droit de l'Union ou le droit national l'exige.^[5] Conservez-les séparément des registres LCB-FT. Après une première correspondance, enregistrez votre propre association entre la personne et le compte, l'une des options de réutilisation prévues, afin qu'un PID réémis ne vous oblige pas à refaire le travail.^[5]

Formats, protocoles et versions de portefeuille

Un fournisseur de PID « doit émettre tout PID dans les deux » formats. Un vérificateur limité au PID pourrait donc n'en demander qu'un, mais couvrez les deux, sauf si vos tests prouvent le contraire.^[10] Notre comparaison SD-JWT VC vs mdoc explique les différences. La présentation comporte deux profils, chacun avec deux façons d'atteindre le portefeuille.^[2]

Règlement 2024/2982, annexe II, ajoutée en juillet 2026.^[2][7]

Les règles citent des spécifications datées, que des actes modificatifs peuvent faire évoluer, et la récupération serveur ISO est interdite pour tous.^[2][7] Le système d'exploitation est aussi une variable : un portefeuille doit prendre en charge une API de médiation, mais le règlement relève qu'un appareil ou un navigateur peut ne pas prendre en charge les deux protocoles, un cas qu'il traite comme une non-conformité échappant au contrôle du portefeuille.^[2]

Vérifiez le statut de certification séparément de la conformité au protocole. Les États membres déclarent les portefeuilles certifiés pour une liste de la Commission au titre de l'article 5d.^[1] Le cadre de conformité fonctionnelle de la Commission en est encore à sa série 0.x : sa feuille de route, présentée comme indicative, vise « une version candidate au premier trimestre 2027 », avec la version 1.0.0 comme « la première base de référence complète adaptée à la certification ».^[15]

Testez avant l'arrivée des portefeuilles nationaux

L'implémentation de référence de la Commission comprend un exemple de portefeuille, un vérificateur de test et un émetteur de test, avec des dépôts ouverts pour le point de terminaison du vérificateur et la validation de la confiance.^[19] Un test réussi montre l'adéquation au protocole, pas le comportement des portefeuilles nationaux.

Le volet de test de Launchpad 2026 est passé à « valider le fonctionnement conjoint des solutions en conditions réelles, avant le lancement », avec un accès de test aux LoTE sur l'eIDAS Dashboard.^[16] Les parties utilisatrices y participent via les Large Scale Pilots ou sur invitation nationale, et les fournisseurs de solutions y prennent part aussi.^[16] Six pilotes ont été menés, dont POTENTIAL sur l'authentification transfrontière.^[18] APTITUDE et WE BUILD restent actifs, le second sur des cas d'usage professionnels et de paiement.^[17]

Que faire quand un pays est en retard

Notre suivi du portefeuille EUDI indique le statut par pays, et l'Allemagne et l'Italie ont leurs propres guides. Faites de chaque pays une configuration avec l'un des trois états, piloté par les listes, pas par la presse.

Un modèle d'états par pays pour le déploiement. Il s'agit de notre proposition ; la loi ne définit pas ces états.

Vous avez de toute façon besoin des autres parcours. L'utilisation du portefeuille « est facultative », l'accès ne doit pas être « restreint ou rendu désavantageux » pour les personnes qui n'en ont pas, et il « reste possible » d'utiliser d'autres moyens.^[1] Dans l'AMLR, les documents d'identité et l'identification électronique de niveau substantiel ou élevé coexistent comme parcours de vérification.^[13] Votre parcours d'intégration doit faire d'un pays en retard un simple paramètre.

Votre liste de contrôle transfrontalière pour ce mois-ci

• Identifiez les entités et les pays qui relèvent de l'article 5f(2).^[1]
• Confirmez le bureau d'enregistrement de votre État membre d'origine et sa politique d'enregistrement.^[6]
• Listez chaque attribut dont vous pourriez avoir besoin dans chaque pays.
• Construisez un schéma interne unique qui fait correspondre les noms mdoc et SD-JWT VC.^[2]
• Remplacez les anciennes tables PID par l'annexe de juillet 2026.^[2]
• Ajoutez des cas de test pour QU, QS et un lieu de naissance partiel.^[2]
• Développez un chargeur de listes pour ETSI TS 119 602 et ETSI TS 119 612.^[8]
• Rédigez les messages d'échec de correspondance dans la langue de chaque client.^[5]
• Fixez la durée de conservation des journaux de correspondance et comparez-la à la durée de conservation LCB-FT.^[5]
• Interrogez votre coordinateur national sur l'accès aux pilotes, au Launchpad ou aux programmes de la Commission.^[16][20]

Comment Didit facilite l'acceptation transfrontalière

L'acceptation du portefeuille EUDI arrive bientôt chez Didit, et vous pouvez suivre son avancement sur notre page portefeuille EUDI. Dès aujourd'hui, vous pouvez construire les parcours qui l'entourent. Les identifications électroniques nationales (MitID, BankID Sweden, Finnish Trust Network, Smart-ID, Mobile-ID) fonctionnent via la connexion par portefeuille, avec des résultats normalisés car « les noms d'attributs varient selon le portefeuille ».^[21] Vous choisissez les portefeuilles acceptés par pays, et si un échec bascule vers un document ou entraîne un refus.^[21] Le parcours documentaire couvre 14,000+ types de documents.^[22] Pour les lacunes de nom et d'adresse décrites plus haut, il lit le document du client, et le filtrage LCB-FT s'appuie sur 1,300+ sources de sanctions, de PEP et de listes de surveillance.^[23]

Questions fréquentes

Sources

1. Règlement (UE) n° 910/2014 tel que modifié par le règlement (UE) 2024/1183, version consolidée, EUR-Lex.
2. Règlement d'exécution (UE) 2026/1731 de la Commission, modifiant les règlements 2024/2977, 2024/2979, 2024/2980 et 2024/2982, EUR-Lex, 15 juillet 2026.
3. Règlement d'exécution (UE) 2024/2977 de la Commission, données d'identification personnelle, EUR-Lex, texte initial.
4. Règlement d'exécution (UE) 2024/2980 de la Commission, notifications, EUR-Lex.
5. Règlement d'exécution (UE) 2025/846 de la Commission, mise en correspondance transfrontalière des identités, EUR-Lex.
6. Règlement d'exécution (UE) 2025/848 de la Commission, enregistrement des parties utilisatrices de portefeuilles, EUR-Lex.
7. Règlement d'exécution (UE) 2024/2982 de la Commission, protocoles et interfaces, EUR-Lex.
8. Architecture and Reference Framework 3.0.0, chapitre 3, Rôles, Commission européenne.
9. Architecture and Reference Framework 3.0.0, chapitre 6, Modèle de confiance, Commission européenne.
10. ARF Annexe 2, Exigences de haut niveau par thème, Commission européenne.
11. PID Rulebook, version 1.7, Commission européenne, 17 juillet 2026.
12. Liste compilée des fournisseurs de PID, eIDAS Dashboard, Commission européenne, consultée le 31 octobre 2026.
13. Règlement (UE) 2024/1624 (AMLR), EUR-Lex.
14. Rapport final, projet de normes techniques de réglementation au titre de l'article 28(1) AMLR, AMLA, 30 septembre 2026.
15. Feuille de route de la conformité fonctionnelle, cadre de conformité fonctionnelle du portefeuille EUDI, consulté le 31 octobre 2026.
16. Launchpad Testing 2026, Commission européenne, mis à jour le 23 octobre 2026.
17. Que sont les projets pilotes à grande échelle, Commission européenne, mis à jour le 22 juillet 2026.
18. PID Identification Manual, Commission européenne, mis à jour le 11 février 2026.
19. EUDI Wallet Reference Implementation documentation, Commission européenne.
20. Relying Party Engagement Programme, Commission européenne, mis à jour le 18 septembre 2026.
21. Digital ID Wallet Verification API and Coverage, documentation Didit.
22. ID Verification overview, documentation Didit.
23. AML Screening overview, documentation Didit.
24. Data retention, documentation Didit.

Suivez le déploiement sur notre page portefeuille EUDI, découvrez les solutions qui fonctionnent déjà sur notre page de vérification eID et comparez les options sur la page des tarifs.