Le service d'identité

Savoir qu'une personne existe et qu'elle est majeure n'apprend presque rien sur elle. Savoir qu'elle se connecte chaque jour à tel service, à telle heure, en dit beaucoup. Tout le service repose sur cette différence :

• une situation, comme « ce compte est vérifié » ou « ce compte utilise Socialmail » : nous la conservons, car elle vous est utile, et vous pouvez la consulter ou l'annuler ;
• un déplacement, comme « connecté à Socialmail le 9 septembre à 14 h 03 » : nous ne le conservons pas.

La vérification d'identité est facultative. Si vous la faites, votre pièce est lue automatiquement, ou par une personne si la lecture échoue, puis détruite dès la décision prise, avec toutes les informations qu'elle contient.

Il n'en reste que deux empreintes, impossibles à retourner en arrière :

• l'une identifie le document, pour qu'une même pièce ne serve pas à ouvrir deux comptes ;
• l'autre identifie la personne, pour qu'on ne puisse pas se vérifier deux fois avec deux pièces différentes, une carte d'identité et un passeport par exemple.

Ces empreintes sont calculées avec une clé secrète qui ne quitte jamais le service. Impossible donc de retrouver le document à partir de l'empreinte, ou de tester une pièce que l'on possède pour savoir si elle est enregistrée chez nous.

La limite, que nous préférons dire : une empreinte ne change pas. Quelqu'un qui volerait à la fois la base et la clé pourrait tester des pièces qu'il possède déjà. Il ne pourrait pas, en revanche, reconstituer les vôtres.

Après une vérification, votre compte contient : votre adresse électronique, votre mot de passe chiffré, votre niveau de vérification, l'indication majeur ou mineur, la date de la vérification, le type de document, les deux empreintes, ainsi que le mois et l'année de naissance.

Ni votre nom, ni votre prénom, ni le jour de naissance, ni l'image de la pièce. C'est le jour qui rend une date de naissance identifiante : le mois et l'année désignent un groupe de personnes, pas une personne.

Un détail technique, que nous signalons nous-mêmes : la base contient encore des colonnes prévues pour le nom, le prénom et la date de naissance complète. Elles ne sont pas remplies et elles sont vides. Leur suppression est prévue.

Quand TousEnsembles demande si une personne est vérifiée, le service d'identité répond par quatre informations seulement : un identifiant, le niveau de vérification, sa date, et majeur ou non.

{
  "user_id":              "identifiant propre à ce service",
  "verification_level":   3,
  "identity_verified_at": "2026-09-30T19:19:00+02:00",
  "is_adult":             true
}

L'identifiant est différent pour chaque service. Deux services ne peuvent donc pas comparer leurs listes : la même personne y porte deux numéros sans lien apparent. Et ces identifiants ne sont stockés nulle part : ils sont recalculés à chaque demande. Ce qui n'est pas stocké ne peut pas fuir.

Votre adresse électronique n'est jamais transmise, et c'est essentiel : deux services qui connaîtraient la même adresse pourraient vous reconnaître immédiatement.

Ils n'en ont d'ailleurs pas besoin, puisque vous étiez déjà connecté chez eux au moment de la vérification. Nous ne transmettons que ce qu'ils ne peuvent pas savoir seuls : vous êtes vérifié, majeur, depuis telle date.

Le service n'enregistre votre adresse IP que dans huit situations, toutes des échecs ou des refus, pour pouvoir bloquer les tentatives répétées :

• une connexion qui échoue ;
• une tentative de connexion à un compte fermé ;
• un accès refusé à quelqu'un qui est pourtant connecté ;
• un lien de nouveau mot de passe qui ne correspond à rien ;
• une demande de nouveau mot de passe pour une adresse inconnue ;
• une demande venue d'un service que nous ne connaissons pas ;
• une tentative de renvoi vers un autre site après la connexion ;
• un justificatif d'identité présenté une seconde fois.

Jamais quand tout se passe bien : une connexion réussie, une vérification validée, un service ajouté ne laissent aucune adresse.

Le navigateur utilisé n'est plus enregistré du tout, car il permet de reconnaître quelqu'un encore mieux qu'une adresse IP : il ne change pas quand on change de réseau.

Chaque nuit, à 4 h 30, le journal du service est nettoyé. Les durées dépendent de ce que l'information révèle :

• 7 jours pour les déplacements : qui s'est connecté à quel service ;
• 30 jours pour tout le reste ;
• 90 jours pour la sécurité : les échecs, les réinitialisations de mot de passe ;
• 365 jours pour les lignes de journal qui disent qu'une vérification a eu lieu, ou qu'un compte a été ouvert.

Ces durées portent sur le journal, pas sur votre statut. Le fait que vous soyez vérifié est inscrit sur votre compte, et n'expire pas : le nettoyage de nuit ne touche jamais les comptes.

La règle « tout le reste » est essentielle : une liste oublie toujours quelque chose. Sans elle, huit types de traces sur dix-huit n'auraient jamais été effacés.

C'est la limite la plus importante de cette page.

Le service d'identité voit les demandes qu'on lui adresse, au moment où elles se font. Il ne les conserve pas, mais il les voit. Pour TousEnsembles, il est sollicité quand vous vérifiez votre identité, et quand vous changez de mot de passe. Votre connexion de tous les jours, elle, se fait sur TousEnsembles et ne passe pas par lui.

Ce que nous pouvons affirmer aujourd'hui, c'est donc : le service ne conserve rien de ce qui passe par lui, et les services ne peuvent pas se recouper entre eux. Pas : il ne voit rien.

Autre limite : changer d'adresse ou retirer un service ne ferme pas une session déjà ouverte ailleurs. Nous supprimons ce que nous pouvons, comme l'option « se souvenir de moi », mais pas davantage.

Cette page décrit du code et une base que vous ne pouvez pas consulter. Trois choses se vérifient pourtant de l'extérieur :

La liste des services liés à votre compte est visible et modifiable depuis votre espace, sans date ni nombre de connexions, puisqu'il n'y en a pas.

Le formulaire d'inscription : ouvrez auth.tousensembles.fr. On vous demande une adresse électronique et un mot de passe, à saisir deux fois. Rien d'autre.

Les en-têtes du service, lisibles comme ceux de n'importe quel site :

curl -sI https://auth.tousensembles.fr/ | grep -iE 'content-security-policy|referrer-policy|x-robots-tag'

C'est la première question qu'on nous pose, alors autant y répondre franchement : le code du service d'identité n'est pas public.

Non par goût du secret, mais parce que le publier ne prouverait pas ce qu'on croit. Rien ne permet de vérifier que le code publié est bien celui qui tourne sur le serveur. Nous préférons ne pas offrir une fausse garantie, et c'est la même logique qui a donné Vérifiez-nous, où tout se contrôle depuis votre propre ordinateur.

Mais le code peut être lu. Si vous souhaitez l'examiner, écrivez-nous à contact@tousensembles.fr en précisant qui vous êtes et ce que vous cherchez : nous vous en enverrons une copie.

L'inconvénient, que nous assumons : une copie reçue en privé ne peut pas être citée, ni comparée entre plusieurs lecteurs. C'est une vraie limite, et elle durera tant que nous n'aurons rien de mieux à proposer.