À mesure que les collectivités numérisent leurs démarches, le portail citoyen devient un point de contact décisif avec l’usager. Malheureusement, il devient également un point d’entrée potentiel pour les cyberattaquants. Toute la difficulté d’une transformation numérique du secteur public est là, ouvrir des services, sans ouvrir en grand le système d’information qui les alimente.
Le portail citoyen, façade utile et surface d’attaque bien réelle
Le portail citoyen est souvent présenté comme une avancée de simplicité, avec un compte unique, quelques démarches dématérialisées, un suivi plus lisible, parfois des paiements ou des dépôts de pièces. Mais, derrière cette interface, transitent des données qui n’ont rien d’anodin : identité, coordonnées, situation familiale, données fiscales, informations sociales, demandes liées à l’état civil ou à la vie scolaire. Dès lors, le portail n’est pas seulement un canal de service, il devient un point d’exposition du patrimoine informationnel de la collectivité.
Le risque ne tient pas seulement à ce que l’usager voit. Il tient surtout à ce que le portail relie.
Plus les services sont intégrés, plus l’interface se branche sur des référentiels métiers et des applications historiques. Une architecture mal cloisonnée peut alors transformer un service apparemment moderne en passerelle vers des briques beaucoup plus sensibles. L’ANSSI rappelle d’ailleurs que la conception ou l’évolution d’une architecture de SI a des conséquences directes sur son niveau de sécurité, et place parmi les bonnes pratiques le cloisonnement, la supervision et la bonne documentation des échanges.
Comme souligné dans cet article, la mise en œuvre d’un portail citoyen ne peut donc plus être considérée comme un simple projet applicatif. Elle constitue un projet d’architecture sécurisée, impliquant segmentation réseau, gestion fine des habilitations (IAM), chiffrement des flux, journalisation exhaustive et supervision continue des échanges inter-applicatifs.
Le portail devient un point d’orchestration entre des référentiels sensibles (état civil, fiscalité, données sociales) et des briques métiers parfois héritées. Sans gouvernance transverse des API et sans contrôle des dépendances applicatives, l’interface moderne peut masquer une vulnérabilité structurelle du SI.
L’authentification forte et l’IAM redessinent la frontière d’accès
Le premier réflexe consiste souvent à penser au mot de passe.
C’est nécessaire, mais très insuffisant.
La vraie question est plus celle de l’identité et des droits. Qui accède à quoi, à partir de quel niveau d’assurance, pour quelle finalité, et avec quelle durée de validité ? C’est là que l’authentification forte et l’IAM, notamment, deviennent des instruments de confiance publique.
FranceConnect a précisément été conçu pour simplifier l’identification et l’authentification sur de nombreux services en ligne, publics ou privés, à partir d’identités reconnues. FranceConnect+ ajoute un niveau supplémentaire pour les démarches plus sensibles, avec un parcours d’authentification renforcé. Il s’agit d’une réponse à la gradation des risques. Tous les services n’appellent pas le même niveau d’exigence, et tous les accès ne doivent pas ouvrir les mêmes portes.
Côté agents et prestataires, la logique est la même, mais avec une vigilance accrue. La CNIL recommande de définir des profils d’habilitation, de faire valider les demandes d’accès, de supprimer rapidement les droits devenus inutiles et de revoir régulièrement les habilitations avec les métiers. Là encore, un portail citoyen bien conçu n’est pas un sas unique vers tout le SI, mais un point d’entrée segmenté, où les privilèges sont limités au strict nécessaire.
Sans journalisation ni traçabilité, la conformité reste incomplète
Une collectivité peut sécuriser ses accès et chiffrer ses flux, mais si elle ne sait pas reconstituer ce qui s’est passé, elle reste vulnérable. La journalisation joue ici un rôle décisif. Elle permet de détecter des accès non autorisés, d’enquêter après un incident, de rechercher des compromissions et, tout simplement, de comprendre. La CNIL, encore une fois, le rappelle : les systèmes de journalisation sont indispensables à la sécurité des données personnelles.
Et l’ANSSI va dans le même sens. Elle insiste sur les prérequis techniques, la sécurisation des flux de logs, la centralisation et la capacité à exploiter ces journaux dans une logique d’investigation. Et elle souligne aussi l’intérêt d’archiver les journaux sur un dispositif dédié, afin de faciliter la détection et d’empêcher un attaquant d’effacer trop facilement ses traces.
Cette exigence rejoint directement le RGPD. La conformité suppose de protéger les données, de limiter les accès, de tracer les actions pertinentes et de pouvoir répondre aux demandes d’exercice des droits.
Pour un portail citoyen, cela veut dire être capable de documenter qui a accédé à quoi, quand, pour quoi faire, et sous quelles règles.
Les API et le chiffrement sont les charnières invisibles du service
Le citoyen voit une démarche fluide. Le SI, lui, voit surtout des appels d’API, des synchronisations, des échanges de données entre applications, parfois entre plusieurs fournisseurs. C’est pourquoi la sécurité d’un portail public se joue largement dans cette sorte de « tuyauterie invisible ». Le Référentiel général d’interopérabilité rappelle d’ailleurs que l’administration doit s’appuyer sur des normes et standards pour assurer l’interopérabilité des systèmes d’information. Et la DINUM met à disposition un cadre de recommandations pour le partage de données par API dans l’administration.
L’enjeu n’est pas seulement de faire circuler les données, mais de le faire proprement. Une API mal gouvernée peut exposer plus que prévu, maintenir des dépendances opaques, ou multiplier les points faibles. À l’inverse, une gouvernance transverse des API permet de clarifier les responsabilités, les périmètres, les schémas d’échange et les contrôles. L’exemple d’API Entreprise, accessible sous habilitation et documentée via des spécifications OpenAPI, illustre cette logique de circulation encadrée plutôt que de simple ouverture technique.
Côté chiffrement, le RGS fixe les règles applicables aux fonctions des SI contribuant à la sécurité des informations échangées par voie électronique. L’ANSSI a, de son côté, publié des recommandations sur la sécurisation d’OpenID Connect et sur l’analyse des flux HTTPS, rappelant que l’authentification, la validation des paramètres, la vérification des parties prenantes et la journalisation des événements liés à l’authentification sont des éléments structurants.
L’hébergement et la souveraineté ne sont plus des sujets périphériques
La question de l’hébergement a longtemps été traitée à part, comme un choix d’infrastructure. Elle revient aujourd’hui au premier plan, notamment dans les services publics. D’abord parce que les portails citoyens manipulent des données personnelles, parfois sensibles. Ensuite parce que les dépendances juridiques et techniques des prestataires cloud sont devenues un sujet de sécurité à part entière.
Sur ce terrain, l’ANSSI fait de la qualification SecNumCloud un repère central. Elle présente cette dernière comme un moyen de reconnaître des offres cloud « de confiance », dont l’utilisation est préconisée pour la protection des données sensibles. Le référentiel vise notamment à garantir un haut niveau d’exigence technique, opérationnelle et juridique, et à mieux résister à certaines formes d’extraterritorialité du droit.
Cela ne signifie pas qu’un hébergement souverain règle tout, mais, pour une collectivité, il devient difficile de dissocier l’expérience usager de la maîtrise de la chaîne technique qui la supporte.
Exposer un service public, c’est aussi choisir un cadre d’identité, une politique d’habilitation, une gouvernance des API, une stratégie de journalisation, une architecture cloisonnée et un hébergement cohérent avec le niveau de sensibilité des données traitées.
Au fond, le portail citoyen résume assez bien la nouvelle équation des collectivités. Elles doivent ouvrir davantage de services, plus vite, avec une exigence croissante de simplicité. Mais cette ouverture ne peut plus se faire au prix d’une exposition croissante du SI. Toute la difficulté consiste à rendre visible le service… tout en gardant invisibles, et maîtrisées, les couches de sécurité qui le rendent possible.