Intégration du portefeuille EUDI : comment choisir votre voie (guide 2026)

Dernière révision : 31 octobre 2026 · Ceci n'est pas un conseil juridique

Le portefeuille européen d'identité numérique (EUDI Wallet) arrive à une véritable échéance cet hiver : chaque État membre doit en fournir un au plus tard le 24 décembre 2026, et les règles d'enregistrement applicables aux entreprises qui l'acceptent s'appliquent le même jour.^[1][2] Pour la plupart des équipes, la question n'est plus « de quoi s'agit-il » mais « comment s'y connecter ».

Ce guide compare les quatre voies d'intégration du portefeuille EUDI, distingue ce que vous pouvez déléguer de ce qui reste à votre charge, et rattache chaque fonction à la règle qui la fonde. Il s'appuie sur le droit en vigueur et sur la version 3.0.0 de l'Architecture and Reference Framework (ARF), le cadre technique de référence, y compris les modifications de juillet 2026 concernant les intermédiaires.^[3][6]

Si vous avez d'abord besoin des bases, lisez Partie utilisatrice du portefeuille EUDI : enregistrement, certificats et obligations et le guide vérificateur OpenID4VP ; pour le cadre juridique, eIDAS 2 expliqué.

Ce qu'une intégration du portefeuille EUDI doit réellement faire

Il y a cinq tâches. Quelqu'un enregistre le service. Quelqu'un détient les clés qui prouvent qui fait la demande. Quelqu'un envoie la demande signée. Quelqu'un vérifie ce qui revient. Quelqu'un conserve l'enregistrement. Chaque voie les répartit différemment.

L'ARF appelle le système qui communique avec les portefeuilles une Relying Party Instance. Dans l'ARF, elle s'authentifie au moyen d'un certificat d'accès dont la clé privée « est stockée de manière sécurisée dans le matériel de la Relying Party Instance ».^[6] Un second objet, le certificat d'enregistrement, indique une utilisation prévue et les attributs enregistrés pour celle-ci.^[1][6] Une partie utilisatrice en insère un dans chaque demande de présentation, par valeur.^[7]

Deux changements intervenus en 2026 modifient la décision d'achat. Le règlement d'exécution (UE) 2026/1730 du 15 juillet 2026 a modifié les règles d'enregistrement. Les États membres doivent désormais habiliter au moins une autorité de certification à délivrer des certificats d'enregistrement, et la délivrance doit être automatisée.^[3] Il a aussi ajouté le point 16 de l'annexe I, le lien vers la partie utilisatrice qu'un intermédiaire sert, que le certificat d'accès doit contenir en vertu de l'annexe II.^[3]

Les dates qui fixent votre plan

1. 11 août 2026Règles modifiées2026/1730 en vigueur, selon notre calcul : 20 jours après sa publication du 22 juillet.
2. 24 décembre 2026Portefeuilles dusLes règles d'enregistrement de 2025/848 s'appliquent.
3. 10 juillet 2027Application de l'AMLRLes règles d'externalisation et de conservation des enregistrements s'appliquent à la plupart des entités assujetties.
4. 24 décembre 2027AcceptationParties utilisatrices privées de l'art. 5f(2) (notre calcul).
5. 11 août 2028Contrôle des certificatsLes portefeuilles doivent authentifier et valider les certificats d'enregistrement.

Dates tirées du règlement (UE) n° 910/2014, de 2025/848, 2026/1730, 2026/1731 et de l'AMLR. Le 24 décembre 2027 résulte de notre calcul : 36 mois après l'entrée en vigueur des actes d'exécution (publiés le 4 décembre 2024, en vigueur 20 jours plus tard).^{[1][2][3][4][5][9]}

Le déclencheur juridique se trouve à l'article 5f(2). Il vise les parties utilisatrices privées tenues par la loi ou par contrat d'utiliser une authentification forte de l'utilisateur pour l'identification en ligne, dans des domaines qui incluent la banque, l'énergie et la santé, et il s'applique « uniquement à la demande volontaire de l'utilisateur ».^[1] Les très grandes plateformes en ligne ont une obligation distincte au titre de l'article 5f(3), sans date distincte dans le texte.^[1] Pour le calendrier complet, consultez toutes les échéances du portefeuille EUDI.

Les quatre voies d'intégration du portefeuille EUDI

Le tableau classe les voies selon qui communique avec le portefeuille, et dans quel rôle juridique. L'effort et le contrôle relèvent de notre évaluation, pas d'un critère juridique.

Option 1 : construire votre propre vérificateur

Vous exploitez l'instance de partie utilisatrice (Relying Party Instance). La Commission européenne publie une implémentation de référence avec des guides pour construire un vérificateur à distance et un vérificateur de proximité, et son point de terminaison de vérification est sous licence Apache 2.0.^[14][15] Il vous reste à gérer les clés conservées dans du matériel, un certificat pour chaque instance et chaque service, le téléchargement des listes de confiance et les mises à niveau lorsque les spécifications évoluent.^[6][7]

Elle convient aux gros volumes de portefeuille, ou à une équipe risques qui refuse qu'un tiers voie les attributs présentés.

Option 2 : un intermédiaire de partie utilisatrice

L'article 5b(10) donne à ce modèle sa forme juridique ; l'ARF précise le reste : un intermédiaire est une « catégorie particulière de partie utilisatrice » qui exécute les tâches de la partie utilisatrice pour son compte, et le client « n'aura pas besoin d'un certificat d'accès ».^[6] Vous devez tout de même vous enregistrer, car l'intermédiaire doit veiller à ce que chaque client soit enregistré dans l'État membre où il est établi.^[7]

Voie 3 : une plateforme d'identité ou d'orchestration

« Plateforme » est un terme commercial, absent de l'article 5b(10). Côté portefeuille, une plateforme est soit un intermédiaire, avec toutes les limites que cela implique, soit l'hébergeur de votre propre instance. Son intérêt est de faire passer plusieurs méthodes par une seule intégration. Le risque est de supposer que ce qu'une plateforme fait pour les documents, comme conserver des preuves pendant des années, vaut aussi pour les portefeuilles. Ce n'est peut-être pas le cas.

Voie 4 : outils de fournisseurs de portefeuille ou de services de confiance

Les fournisseurs de portefeuille et les prestataires de services de confiance vendent aussi des logiciels, utiles lorsque vous avez besoin de signatures qualifiées ou souhaitez délivrer des attestations. Les règles d'enregistrement listent ces activités comme des droits distincts, tels que QEAA_Provider et QCert_for_ESig_Provider, à côté de Service_Provider pour une entreprise ordinaire.^[2] Si l'outil communique avec les portefeuilles pour votre compte, confrontez-le aux règles applicables aux intermédiaires.

Ce qui reste à votre charge et ce que vous pouvez déléguer

Article 5b(10)Règlement (UE) n° 910/2014

« Les intermédiaires agissant pour le compte de parties utilisatrices sont réputés être des parties utilisatrices et ne stockent pas de données sur le contenu de la transaction. »

Source : EUR-Lex, texte consolidé^[1]

Être « réputé » partie utilisatrice ne fait pas disparaître vos propres obligations. L'article 5b(9) rend les parties utilisatrices responsables de l'exécution de la procédure d'authentification et de validation des données d'identification personnelle et des attestations qu'elles demandent.^[1] L'ARF laisse la répartition au contrat : « l'intermédiaire et toute partie utilisatrice recourant à ses services doivent convenir des vérifications que l'intermédiaire effectuera ».^[6] Le registraire peut demander une preuve de la relation, comme un contrat signé ou un mandat.^[6]

Les entreprises réglementées ont trois couches supplémentaires. Le règlement relatif à la lutte contre le blanchiment de capitaux (AMLR) permet aux entités assujetties d'externaliser des tâches, mais elles doivent d'abord en informer le superviseur et restent « pleinement responsables ».^[9] Le règlement sur la résilience opérationnelle numérique maintient les entités financières « pleinement responsables » dans le cadre des contrats de TIC.^[11] Le règlement général sur la protection des données (GDPR) exige des sous-traitants présentant des garanties suffisantes.^[10] Aucun texte que nous avons lu ne précise si un intermédiaire est un sous-traitant ou un responsable du traitement. Consignez donc votre analyse dans le contrat.

Comment fonctionne un intermédiaire, et pourquoi le nombre de certificats compte

Une présentation via un intermédiaire, simplifiée d'après l'ARF §6.6.5 et le Topic 52.^[6][7]

Premièrement, l'utilisateur voit votre nom commercial, pas celui du prestataire, mais le portefeuille journalise l'intermédiaire, de sorte qu'un utilisateur peut le retrouver plus tard.^[6] Deuxièmement, le portefeuille compare les identifiants du certificat d'enregistrement avec ceux du certificat d'accès, et le traitement d'une non-concordance peut arrêter la transaction.^[6] Troisièmement, l'interface entre vous et l'intermédiaire sort du champ de l'ARF, et l'ARF n'exige pas de chiffrement de bout en bout des attributs. Le prestataire peut donc très bien voir chaque attribut.^[6]

Le calcul de l'ARF est l'essentiel. Le règlement d'exécution 2026/1730 ajoute aux données d'enregistrement le lien avec la partie utilisatrice servie, et dans l'ARF v3.0.0 le certificat d'accès porte cette association à la partie utilisatrice servie. Un intermédiaire « reçoit un ensemble distinct de certificats d'accès pour chacune des parties utilisatrices pour lesquelles il intervient ».^[3][6] Un prestataire qui décrivait un modèle de certificat partagé avant juillet 2026 doit vous présenter sa nouvelle conception. L'échelle concentre le risque : si l'autorité de certification des certificats d'accès de votre intermédiaire est suspendue, ses certificats sont révoqués, et vous ne pouvez plus demander d'attributs « même si son enregistrement reste valide ».^[7] Vous devriez passer à un autre intermédiaire ou attendre. Un plan de sortie est donc un contrôle opérationnel.

Le problème de la preuve : supprimer ou conserver

OIA_16 impose à une instance de partie utilisatrice de supprimer tous les éléments uniques, une liste qui inclut la signature du fournisseur d'attestation, et de ne pas les communiquer « à la partie utilisatrice ni à aucune autre partie ».^[7] Une promesse de conserver la réponse signée du portefeuille comme piste d'audit doit donc être vérifiée, quel que soit le fournisseur qui la fait. L'ARF est un cadre, pas un acte juridique, et il ne définit pas « plus nécessaire » au regard d'une obligation de conservation de cinq ans. Interrogez votre conseil juridique et, si vous êtes réglementé, votre autorité de surveillance.

Voici l'architecture que nous suggérons, à valider, et non une règle.

Les capacités qu'un fournisseur doit démontrer, et la règle derrière chacune

Utilisez ce tableau comme annexe technique d'un appel d'offres, ou pour votre propre développement.

L'OpenID Foundation a ouvert ses tests de conformité OpenID for Verifiable Presentations (OpenID4VP) à l'auto-certification le 7 août 2026, et les vérificateurs peuvent les exécuter gratuitement. La publication d'une auto-certification est payante.^[12] Le Functional Conformance Assessment Framework de la Commission est encore « en cours de développement actif », et son premier système testé est la Wallet Solution. N'en attendez donc pas encore de label pour les parties utilisatrices.^[13] Côté formats, une attestation de données d'identification personnelle (PID) doit être délivrée à la fois en mdoc et en SD-JWT VC, mais vérifiez les autres attestations une par une. Notre comparaison des formats explique la différence.^[7]

Orientation avec et sans portefeuille

L'article 5a(15) dispose que l'utilisation du portefeuille « est volontaire » et qu'« il reste possible d'accéder aux services publics et privés par d'autres moyens d'identification et d'authentification existants ».^[1] Le portefeuille ne peut donc jamais être votre seule porte d'entrée. L'article 22(6) de l'AMLR admet de même les documents d'identité ou l'identification électronique au niveau substantiel ou élevé.^[9]

Une conception de l'orientation qui garde toutes les portes ouvertes. VCR_14 régit le parcours à statut inconnu.^[1][7]

Le portrait ne peut devenir une donnée PID obligatoire qu'à partir du 11 août 2028, et les États membres peuvent permettre aux utilisateurs de le refuser. Une conception qui repose sur la comparaison faciale avec le portefeuille ne fonctionnera donc pas toujours.^[5] Notre article sur le lien avec le titulaire explique quand un portefeuille suffit seul et quand ajouter la détection du vivant. Les différences nationales de champs et d'identifiants sont traitées dans accepter plus de 27 portefeuilles nationaux, et l'état du déploiement figure dans le suivi par pays. Pour l'entrée en relation réglementée, lisez l'AMLR et le portefeuille EUDI.

Choisir une voie selon le type d'entreprise

Un point de départ : votre conseil juridique et vos volumes décident.^[1]

Ce qu'il faut demander par écrit à un prestataire

Les règles relatives au registre s'appliquent à partir du 24 décembre 2026 : demandez donc l'inscription au registre qui fonde toute affirmation de service enregistré.^[2]

Ce qu'il faut faire ce mois-ci

• Confirmez par écrit si l'article 5f(2) ou 5f(3) s'applique à chaque entité juridique.^[1]
• Listez chaque cas d'usage avec le minimum d'attributs dont il a besoin.
• Identifiez votre organisme d'enregistrement et sa politique nationale d'enregistrement.^[2]
• Interrogez votre conseil juridique sur OIA_16 au regard de vos obligations de conservation.^[7][9]
• Rédigez la politique applicable à un statut de révocation inconnu.^[7]
• Préparez la notification à l'autorité de surveillance si une entité assujettie compte externaliser.^[9]
• Construisez le parcours de repli avec les méthodes dont vous disposez aujourd'hui.

Notre article complémentaire sur les politiques et contrôles du portefeuille EUDI transforme ces étapes en matrice de contrôles, avec des responsables et des preuves.

Comment Didit facilite l'intégration du portefeuille EUDI

L'acceptation du portefeuille EUDI arrive bientôt, sans date ni prix pour l'instant.^[17] Découvrez notre approche sur la page de la solution portefeuille EUDI, dont la formule est « Intégrez dès aujourd'hui, et conservez-le quand le portefeuille arrivera ».

Ce qui existe aujourd'hui, c'est le reste du parcours décrit dans ce guide. Didit fait fonctionner MitID, BankID Sweden, Finnish Trust Network, Smart-ID et Mobile-ID en complément de la capture de documents, avec un repli documentaire configuré.^[18] Voir vérification eID. Les workflows se ramifient selon le pays et le résultat, les webhooks sont signés et la durée de conservation est configurable de 1 mois à 10 ans.^[19][20][21] Didit agit en tant que sous-traitant et vous restez le responsable du traitement.^[22] Didit dispose de rapports SOC 2 Type 1 et Type 2, de la certification ISO/IEC 27001:2022 et de tests iBeta Level 1 de détection des attaques par présentation.^[23] Pour les prix, consultez la page tarifs.

Questions fréquentes

Sources

1. Règlement (UE) n° 910/2014, texte consolidé du 18 octobre 2024, EUR-Lex.
2. Règlement d'exécution (UE) 2025/848 de la Commission, enregistrement des parties utilisatrices de portefeuilles, EUR-Lex.
3. Règlement d'exécution (UE) 2026/1730 de la Commission du 15 juillet 2026, EUR-Lex.
4. Règlement d'exécution (UE) 2024/2982 de la Commission, protocoles et interfaces, EUR-Lex.
5. Règlement d'exécution (UE) 2026/1731 de la Commission du 15 juillet 2026, EUR-Lex.
6. Architecture and Reference Framework v3.0.0, Commission européenne, juillet 2026.
7. ARF v3.0.0, annexe 2, exigences de haut niveau par thème, Commission européenne.
8. Spécification technique 5, formats et API d'enregistrement des parties utilisatrices, Commission européenne.
9. Règlement (UE) 2024/1624 (AMLR), EUR-Lex.
10. Règlement (UE) 2016/679 (RGPD), EUR-Lex.
11. Règlement (UE) 2022/2554 (Digital Operational Resilience Act), EUR-Lex.
12. OpenID4VP and OpenID4VCI conformance tests are complete and open for self-certification, OpenID Foundation, 7 août 2026.
13. Functional Conformance Assessment Framework, projet EUDI Wallet.
14. Documentation de l'implémentation de référence de l'EUDI Wallet, Commission européenne.
15. Dépôt du point de terminaison vérificateur EUDI, Apache License 2.0.
16. ARF v3.0.0, annexe 5, guide de conception des scénarios de partage de données, Commission européenne.
17. EUDI Wallet, page solution de Didit.
18. Portefeuilles d'identité numérique, documentation Didit.
19. Générateur de workflows, documentation Didit.
20. Webhooks, documentation Didit.
21. Conservation des données, documentation Didit.
22. Sécurité et conformité, documentation Didit.
23. Certifications, documentation Didit.

La voie que vous choisissez aujourd'hui doit résister à un changement de fournisseur, à un portefeuille national en retard et à un audit de conservation des données. Suivez le déploiement et la manière dont Didit aborde l'acceptation sur la page de la solution portefeuille EUDI.