La connexion unique consiste à utiliser un seul compte, chez un fournisseur d'identité, pour se connecter à de nombreux sites sans créer un mot de passe pour chacun. OpenID, apparu au milieu des années 2000, en a été l'une des premières versions ouvertes. Aujourd'hui, l'idée vit surtout à travers les boutons « Se connecter avec Google, Apple ou Microsoft » et, pour les services publics français, à travers FranceConnect.
Comment fonctionne la connexion unique ?
Le site sur lequel vous voulez entrer ne reçoit pas votre mot de passe. Il vous renvoie vers le fournisseur d'identité, qui vérifie que c'est bien vous, puis lui transmet une confirmation et quelques informations (nom, adresse e-mail) que vous acceptez de partager. Les standards actuels, OpenID Connect en tête, reposent sur ce principe.
Quels avantages ?
- Moins de mots de passe à créer et à retenir, donc moins de mots de passe réutilisés.
- Une sécurité centralisée : si le compte fournisseur est protégé par une double authentification, tous les sites qui en dépendent en profitent.
- Une identité vérifiée pour certains usages : FranceConnect permet d'accéder aux services publics avec un compte déjà contrôlé par une administration (franceconnect.gouv.fr).
Quels sont les risques de la connexion unique ?
Le principal est la dépendance. Si le compte fournisseur est piraté, suspendu ou perdu, l'accès à tous les sites qui en dépendent devient fragile. Le second est la collecte : le fournisseur sait à quels services vous vous connectez, et le site peut recevoir plus de données que nécessaire si vous acceptez tout sans lire.
Le troisième est plus discret : en reliant tous vos comptes à une même identité, vous facilitez le rapprochement de vos activités. Pour un usage professionnel et personnel séparés, ce n'est pas toujours souhaitable.
Bonnes pratiques
- Protégez le compte fournisseur avec une double authentification ou une passkey. C'est la clé de toutes les autres portes ; notre article sur l'authentification détaille les options.
- Lisez l'écran de consentement et refusez les données inutiles.
- Séparez les usages : un fournisseur pour le professionnel, un autre pour le personnel.
- Faites l'inventaire des applications connectées à vos comptes, une ou deux fois par an, et révoquez celles que vous n'utilisez plus.
- Gardez un moyen de récupération à jour : téléphone, adresse de secours, codes de secours imprimés.
Et l'agrégation d'identité ?
À la même époque, des services proposaient de rassembler tous ses profils sur une page unique. L'idée reste valable, sous une forme simple : une page personnelle qui renvoie vers vos profils actifs, et que vous contrôlez. Elle sert de point de référence quand on cherche votre nom, et elle se déplace avec vous, ce qui rejoint la logique de la portabilité des données.
