Qui peut être contraint de remettre vos données d’authentification

Ce que dit le CLOUD Act

Le Clarifying Lawful Overseas Use of Data Act de 2018 a ajouté au droit américain une phrase qui compte ici : un fournisseur doit conserver ou divulguer les données qui se trouvent en sa « possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States » (en sa possession, sous sa garde ou sous son contrôle, qu’elles se trouvent ou non sur le territoire des États-Unis). Ce sont le contrôle des données et la compétence des États-Unis sur la société qui déterminent la portée de la loi, non l’emplacement du serveur. Le ministère américain de la Justice indique qu’une filiale européenne d’une société américaine n’échappe pas automatiquement à ce champ.

Les autorités européennes de protection des données ont pris position en 2019 : à défaut d’un accord international rendant une telle injonction exécutoire, un prestataire soumis au droit de l’Union ne peut pas légalement fonder une divulgation sur elle. L’Union n’a aucun accord de ce type avec les États-Unis. Un fournisseur américain ayant des clients européens peut donc recevoir l’ordre de faire ce que le droit européen lui interdit. Interrogé sous serment par une commission d’enquête du Sénat français en juin 2025 sur sa capacité à garantir que des données du secteur public français ne seraient jamais transmises aux autorités américaines sans l’accord de la France, le directeur des affaires juridiques de Microsoft France a répondu : « Non, je ne peux pas le garantir. »

Ce qu’il ne fait pas

Le CLOUD Act ne crée aucun nouveau type de mandat et n’autorise aucune collecte massive. L’accès au contenu exige toujours un mandat délivré par un juge sur la base d’indices sérieux d’une infraction précise, et la loi est explicitement neutre en matière de chiffrement : elle n’ajoute aucun pouvoir d’imposer le déchiffrement. Lors de la même audition, Microsoft a indiqué qu’aucun client européen, qu’il s’agisse d’entreprises ou du secteur public, n’avait été concerné depuis le début de la publication de ses rapports de transparence.

Le risque réaliste est donc juridique plutôt qu’opérationnel. La crainte n’est pas que quelqu’un lise régulièrement vos journaux d’authentification. La question que pose un régulateur, un auditeur ou une analyse de risque NIS2 est plus étroite : qui peut être contraint, en vertu de quel droit, et votre fournisseur peut-il vous donner une garantie. Pour un service cloud américain, la réponse honnête à ce dernier point est non.

La plupart des MFA sont des services cloud américains

Il ne s’agit pas d’un reproche aux éditeurs ; c’est ce que dit leur propre documentation. Cisco Duo est un service cloud hébergé sur Amazon Web Services, avec des régions européennes disponibles, et son Authentication Proxy installé sur site relaie les requêtes vers ce cloud. Sa fiche de confidentialité recense les noms d’utilisateur, les numéros de téléphone, les identifiants d’appareil, les adresses IP des utilisateurs finaux et les journaux d’authentification parmi les données détenues par le service. Okta est exclusivement cloud ; sa cellule européenne stocke les données clients en Allemagne et en Irlande, tandis que sa liste de sous-traitants ultérieurs cite des prestataires américains pour l’envoi de SMS et d’e-mails. La documentation de Microsoft sur l’EU Data Boundary précise que les notifications push d’Authenticator et les connexions par téléphone peuvent être traitées hors de ce périmètre, et que les adresses IP associées à des fraudes sont publiées à l’échelle mondiale.

Un éditeur européen hébergé chez un hyperscaler américain présente une exposition comparable, une couche plus bas, parce que l’hyperscaler contrôle l’infrastructure. Cela nous concerne aussi lorsque vous choisissez notre cloud, et nous le disons ci-dessous.

Notakey sur site : rien que nous puissions être contraints de produire

L’appliance Notakey est une machine virtuelle que vous exécutez sur votre propre infrastructure. Le serveur d’authentification, sa connexion à votre Active Directory, LDAP ou RADIUS, les certificats des appareils enrôlés et chaque enregistrement d’approbation s’y trouvent. Notakey n’a aucun accès à l’appliance, sauf si vous l’accordez pour une demande de support : il n’y a donc rien à remettre qui soit en notre possession, sous notre garde ou sous notre contrôle. Une injonction visant ces données devrait vous être adressée, en vertu du droit qui s’applique à vous.

La clé privée de chaque utilisateur est générée dans le matériel sécurisé du téléphone et ne le quitte jamais : il n’en existe aucune copie ailleurs, y compris sur l’appliance. Le seul point de contact externe lors d’une approbation est la notification push. Elle contient le même texte lisible que la carte d’approbation dans l’application, par exemple le nom du service, le compte et l’adresse d’origine, selon un modèle que vos administrateurs contrôlent, et rien d’autre : aucune clé, aucun moyen d’approuver. Les services push d’Apple et de Google relaient ce texte. Toucher la notification ouvre l’application, qui récupère la demande via HTTPS auprès de votre appliance, vérifie qu’elle correspond à la notification et ne signe l’approbation qu’à ce moment-là.

Notakey cloud : la version honnête

Notakey Latvia, SIA est une société lettone de droit letton, sans maison mère américaine. Notre service cloud, notakey.cloud, s’exécute sur Oracle Cloud Infrastructure dans la région de Francfort. Oracle est une société américaine : vous devez donc considérer que la couche d’hébergement de notre cloud est à la portée des procédures judiciaires américaines, comme pour tout service européen sur AWS, Azure ou Google Cloud. Nous ne qualifions pas notre offre cloud de souveraine, parce qu’elle ne l’est pas.

Ce que contient une instance cloud : les noms d’utilisateur ou identifiants que vous choisissez, les clés publiques et certificats des appareils enrôlés, les jetons push et les enregistrements d’approbation signés. Jamais les clés privées, et des mots de passe uniquement si vous créez des utilisateurs locaux dans le tableau de bord au lieu de connecter votre propre annuaire. Si l’exposition de la couche d’hébergement vous importe, l’appliance sur site est le même produit avec la même application mobile, et elle coûte moins cher par utilisateur.

Trois questions à poser à tout fournisseur

Le mot « souverain » est accolé à beaucoup de produits. Les questions qui permettent d’y voir clair sont les mêmes pour nous et pour tous les autres.

• ▪De quel droit relève la société qui détient les données, et a-t-elle une maison mère ailleurs ?
• ▪Qui exploite les serveurs, et de quel droit relève cette société ?
• ▪Qu’est-ce qui transite par Apple et Google lorsqu’un téléphone intervient, et cela inclut-il le contenu de la demande ?