🎬Démo-ProConnect : un levier pour sécuriser les connexions entreprises dans l’écosystème des SI de la formation professionnelle

🎬 ProConnect : un levier pour sécuriser les connexions entreprises dans l’écosystème des SI de la formation professionnelle

Retour sur la présentation de ProConnect et les échanges avec les participants

À l’occasion de cette présentation, Félix Gaudé, en charge des partenariats chez ProConnect, est revenu sur les grands principes du service, son positionnement dans l’écosystème public numérique et les usages qu’il ouvre pour les démarches professionnelles.

L’enjeu est particulièrement fort pour les interfaces de l’écosystème des SI de la formation professionnelle, où les besoins de connexion ne concernent pas seulement des individus, mais aussi des entreprises, des employeurs, des organismes de formation et, plus largement, des acteurs amenés à réaliser des démarches engageantes ou sensibles.

Cette restitution ne reprend pas pas à pas toute la démonstration, puisque la vidéo permet de la revoir. Elle met en avant :

• les messages clés de la présentation ;
• les questions les plus structurantes posées par les participants ;
• les réponses apportées sur les points les plus concrets : vérification d’identité, rattachement à l’entreprise, dirigeants, salariés, délégation, associations, petites structures ou encore articulation avec les habilitations métier.

Mettre la Video et la presentation (Ouvre une nouvelle fenêtre) ProConnect - HedgeDoc

ProConnect, le “FranceConnect des démarches professionnelles”

ProConnect a été conçu par la DINUM pour répondre à un besoin devenu central : simplifier et fiabiliser l’accès aux services numériques pour les usages professionnels.

Là où FranceConnect est pensé pour les démarches citoyennes, ProConnect cible les démarches réalisées dans un cadre professionnel. L’ambition est de proposer une expérience aussi simple qu’un bouton de connexion unique, tout en absorbant la complexité propre au monde professionnel : diversité des organisations, multiplicité des fournisseurs d’identité, niveaux de droits différents selon les usages, et nécessité de sécuriser certaines actions.

Autrement dit, ProConnect cherche à rendre simple, pour l’usager, ce qui est techniquement et juridiquement complexe pour les services.

Une logique de connexion pensée pour les organisations

Le fonctionnement présenté repose sur une logique différente de celle de FranceConnect.

Au lieu de partir d’un fournisseur d’identité associé à une identité citoyenne, ProConnect s’appuie sur l’adresse e-mail professionnelle. Selon le domaine de cette adresse, l’utilisateur est redirigé :

• soit vers le fournisseur d’identité de son organisation ;
• soit, lorsqu’aucun raccordement n’existe, vers ProConnect Identity, qui permet de créer et d’utiliser une identité numérique.

Ce point est important pour les services de l’écosystème formation-emploi : ProConnect ne se contente pas d’authentifier une personne, il cherche aussi à qualifier dans quel cadre professionnel elle agit.

Un enjeu clé pour les SI de la formation professionnelle : fiabiliser le lien entre une personne et une entreprise

Dans l’écosystème des SI de la formation professionnelle, cette question est loin d’être secondaire.

Lorsqu’un employeur, un salarié ou un organisme de formation intervient sur une interface, il ne s’agit pas seulement de vérifier qu’une personne est bien connectée. Il faut aussi pouvoir apprécier, selon les cas :

• pour quelle organisation elle agit ;
• avec quel niveau de légitimité ;
• et si elle peut engager des actions à portée juridique, administrative ou financière.

C’est précisément là que ProConnect apporte une réponse intéressante : le service permet d’aller au-delà de la simple authentification et d’introduire, selon les besoins, des niveaux de confiance plus élevés.

La certification de dirigeant, au cœur des démarches sensibles

L’un des points centraux de la présentation portait sur la certification de dirigeant.

Ce mécanisme peut être déclenché lorsqu’une application signale qu’une démarche est sensible. C’est le cas, par exemple, pour :

• des opérations financières ;
• des déclarations de coordonnées bancaires ;
• des actes engageants comme la fermeture d’une entreprise ;
• ou plus généralement toute action nécessitant de s’assurer que la personne dispose bien d’un niveau d’habilitation fort.

Le principe présenté est simple dans son intention : vérifier que la personne est bien celle qu’elle prétend être, et qu’elle correspond bien à l’un des dirigeants de l’entreprise concernée.

Pour cela, le parcours repose sur :

• une vérification d’identité ;
• un croisement avec les données officielles relatives à l’entreprise et à ses dirigeants.

Félix Gaude a présenté ce mécanisme comme l’équivalent fonctionnel d’un rapprochement entre une pièce d’identité et un extrait KBIS : si la correspondance est établie, l’application peut recevoir un niveau d’assurance lui permettant d’autoriser une démarche sensible.

Deux usages possibles côté applications

Deux grandes configurations ont été distinguées pendant la présentation.

La première concerne les services dans lesquels seules certaines actions nécessitent un niveau de vérification renforcé. Dans ce cas, l’utilisateur peut naviguer normalement dans l’application, mais un parcours de certification spécifique est déclenché au moment d’une opération sensible.

La seconde concerne les services entièrement réservés à certaines catégories d’acteurs, par exemple des dirigeants. Dans cette configuration, la vérification renforcée intervient dès l’entrée dans le service.

Cette distinction est utile pour les acteurs de la formation professionnelle, car elle permet d’imaginer différents niveaux d’intégration selon la nature des démarches à sécuriser.

Une couverture déjà large, mais encore incomplète

La présentation a aussi permis de poser clairement les limites actuelles du service.

Certaines situations ne sont pas encore pleinement couvertes, notamment :

• les entreprises étrangères ;
• les associations ;
• certaines structures dans lesquelles les dirigeants identifiés sont eux-mêmes des personnes morales ;
• des montages plus complexes de type groupes ou holdings.

Ces limites n’annulent pas l’intérêt du service, mais elles rappellent qu’il faut penser les parcours de manière réaliste, avec parfois des voies alternatives lorsque ProConnect ne couvre pas encore toute la situation.

Une feuille de route qui intéresse directement l’écosystème

Plusieurs perspectives ont également été évoquées.

Parmi elles, un point retient particulièrement l’attention pour les SI de la formation professionnelle : la possibilité, à terme, de mieux certifier le lien entre un salarié et son entreprise, notamment en s’appuyant sur la DSN.

Ce sujet est majeur. Dans de nombreux parcours métier, l’enjeu n’est pas seulement de vérifier un dirigeant, mais aussi de fiabiliser le rattachement d’un salarié ou d’un représentant d’entreprise à une structure donnée, avec un niveau de confiance exploitable pour des démarches administratives ou financières.

Les questions des participants : ce que les échanges ont permis de clarifier

La seconde partie de la séance a été particulièrement utile, car elle a fait émerger des questions très concrètes, directement liées aux réalités des services et des parcours utilisateurs.

Le SIRET : un choix technique plus qu’une vérité métier

Un premier échange a porté sur la place du SIRET dans le parcours.

Il a été expliqué que, dans le cas d’une certification de dirigeant, demander un SIRET peut sembler imparfait d’un point de vue métier, puisque la qualité de dirigeant est en principe attachée à l’unité légale davantage qu’à l’établissement. En ce sens, le SIREN pourrait paraître plus cohérent.

Mais le choix du SIRET répond à une logique opérationnelle : il permet aux applications qui travaillent à ce niveau de précision de conserver cette granularité. Il reste ensuite possible d’en déduire le SIREN si nécessaire.

Autre précision utile : selon les cas, c’est soit ProConnect qui demande le SIRET dans le parcours, soit l’application qui peut déjà connaître l’organisation concernée et forcer le parcours sur un SIRET déterminé.

La création du compte ProConnect : un préalable

Une participante a posé une question simple mais essentielle : faut-il d’abord créer un compte ProConnect avant de bénéficier du service ?

La réponse a été claire : oui.
Comme pour d’autres services d’identité, il existe une première étape de création de compte. Une fois ce compte créé, l’utilisateur peut ensuite s’en servir pour accéder aux services raccordés.

En revanche, cela ne signifie pas qu’une qualité comme celle de dirigeant est acquise une fois pour toutes. Cette qualité est vérifiée dans le cadre du parcours et peut être redemandée si la situation a évolué.

Vérification d’identité : comment cela fonctionne-t-il ?

Autre interrogation forte : la vérification d’identité passe-t-elle par un dépôt de document ? Une carte d’identité ? Un contrôle manuel ?

Dans le parcours présenté, la vérification repose sur FranceConnect, combinée avec l’exploitation de données officielles comme celles de l’INSEE et du RNE.
L’idée n’est donc pas seulement de vérifier qu’une personne sait se connecter, mais de produire une garantie suffisante pour des démarches plus sensibles.

ProConnect est-il réservé aux dirigeants ? Non, mais tous les usages ne se valent pas

Une clarification importante a été apportée sur ce point.

ProConnect n’est pas réservé aux seuls dirigeants. N’importe quel professionnel peut, en principe, créer un compte, dès lors qu’il entre dans le périmètre couvert.

En revanche, le niveau de garantie n’est pas le même selon les cas :

• pour certains usages simples, une authentification peut suffire ;
• pour des démarches sensibles, il faut un niveau de confiance plus élevé ;
• et dans ce cas, la certification de dirigeant devient une réponse adaptée.

Pour les salariés, la difficulté est connue : il n’existe pas encore aujourd’hui de mécanisme universel, simple et entièrement fiable permettant d’attester qu’une personne travaille bien pour l’entreprise qu’elle déclare représenter. C’est précisément ce qui explique l’intérêt des travaux en cours autour de la DSN.

Petites structures, adresses Gmail, associations : des cas très présents sur le terrain

Les échanges ont bien montré que, dans les réalités de terrain, tous les acteurs n’ont pas une adresse mail de domaine bien structurée ni une organisation facilement qualifiable.

Plusieurs participants ont fait remonter des cas fréquents :

• petites structures utilisant des adresses génériques de type Gmail ;
• associations ;
• acteurs pour lesquels le lien entre la personne et la structure est plus difficile à établir automatiquement.

Sur ces sujets, la réponse a été pragmatique. Oui, ProConnect peut apporter quelque chose, mais le niveau de garantie reste plus faible lorsque le rattachement ne peut pas être établi avec la même robustesse. Dans ces cas, il peut être nécessaire de conserver ou de concevoir des parcours alternatifs.

Délégation : le sujet que tout le monde attend

C’est sans doute l’un des thèmes les plus structurants de la discussion.

Dans de nombreux cas métier, ce n’est pas le dirigeant lui-même qui réalise l’action : il peut s’agir d’un comptable, d’un gestionnaire, d’un avocat, d’un collaborateur ou d’un autre représentant.

La question posée était donc simple : ProConnect permet-il de gérer nativement la délégation ?

La réponse a été nette : pas à ce stade.

Le sujet est identifié comme majeur, mais il n’est pas aujourd’hui traité comme une fonctionnalité métier complète dans ProConnect. En pratique, la logique recommandée est la suivante :

• ProConnect identifie et, le cas échéant, certifie le dirigeant ;
• ensuite, le système métier gère lui-même les délégations et les habilitations internes.

Autrement dit, ProConnect apporte un socle de confiance initial, mais ne remplace pas les règles propres à chaque application.

Pour l’écosystème des SI de la formation professionnelle, ce point est fondamental : il confirme que l’intégration de ProConnect doit être pensée en articulation avec les dispositifs existants de gestion des droits.

Entreprises détenues par d’autres entreprises : une limite encore ouverte

Autre cas évoqué : les situations dans lesquelles les dirigeants formellement identifiés d’une entreprise sont eux-mêmes d’autres entreprises.

Dans ces configurations, la vérification devient plus complexe, car il faut remonter plusieurs niveaux pour retrouver les personnes physiques effectivement habilitées. Félix Gaude a indiqué que cette logique “par étages” n’est pas encore complètement implémentée.

C’est donc un cas de vigilance, en particulier pour certains groupes ou structures de type holding.

ProConnect et habilitations internes : quelle articulation ?

Plusieurs échanges ont porté sur la bonne manière d’articuler ProConnect avec un système métier déjà doté de sa propre gestion d’habilitations.

Le schéma qui ressort est le suivant :

1. l’utilisateur se connecte via ProConnect ;
2. l’application récupère l’identité et le niveau de confiance associé ;
3. elle vérifie ensuite, dans sa propre base, si cette personne est autorisée à réaliser l’action demandée ;
4. si nécessaire, elle peut demander un parcours complémentaire, par exemple une certification de dirigeant.

La réponse apportée a conforté cette approche : ProConnect gère l’authentification et certains niveaux de certification ; l’application métier reste responsable de l’autorisation et des règles d’accès.

C’est une distinction structurante pour tous les services qui manipulent des droits fins, des rôles métier ou des délégations.

Peut-on être alerté lorsqu’un dirigeant ne l’est plus ?

Un participant a également posé une question très opérationnelle : ProConnect pourrait-il notifier une application lorsqu’une personne certifiée n’est plus dirigeante ?

À ce stade, la réponse est non. La logique retenue est celle d’une vérification au moment de la connexion, et non celle d’une surveillance continue ou d’un mécanisme de notification.

Autrement dit, si la personne n’est plus dirigeante au moment où elle tente une action, la certification ne sera pas accordée. En revanche, ProConnect n’a pas vocation, dans son périmètre actuel, à maintenir un flux permanent d’information sur les changements de qualité juridique.

Comment suivre les évolutions du service ?

Les participants ont aussi demandé comment rester informés.

Plusieurs canaux ont été mentionnés :

• une chaîne d’échange pour les agents publics ;
• un webinaire trimestriel pour les fournisseurs de services ;
• des relais d’information vers les partenaires engagés.

Le sujet suscite manifestement un intérêt croissant, et pas seulement sur le plan technique : beaucoup cherchent aussi à se repérer dans la trajectoire du service et à anticiper les évolutions utiles pour leurs propres projets.

Une adoption déjà significative

À la question sur l’adoption, Félix Gaude a indiqué que plusieurs centaines d’applications utilisent déjà ProConnect, ce qui représente aussi plusieurs centaines d’organisations.

Dans l’écosystème emploi-formation, deux références ont été mentionnées :

• France Travail ;
• l’écosystème de l’inclusion.

Ces exemples ont immédiatement suscité l’intérêt des participants, avec l’idée d’organiser un retour d’expérience pour mieux comprendre les conditions concrètes de mise en œuvre.

Des délais d’intégration très variables

Enfin, sur les délais de mise en œuvre, aucun chiffre unique n’a été avancé.

Et pour cause : tout dépend du type de parcours envisagé, du niveau de sécurité attendu, de la présence ou non d’une certification de dirigeant, de la complexité du SI existant, et des arbitrages internes.

Le retour d’expérience partagé est parlant : certaines intégrations ont été réalisées en une après-midi sur des parcours simples, tandis que d’autres ont demandé beaucoup plus de temps.

Ce qu’il faut retenir pour l’écosystème des SI de la formation professionnelle

Cette présentation confirme que ProConnect constitue une piste sérieuse pour répondre à un besoin bien identifié : mieux sécuriser et simplifier les connexions des acteurs professionnels sur les interfaces de l’écosystème.

Trois enseignements ressortent particulièrement.

1. ProConnect va au-delà d’un simple bouton de connexion

Le service ne se limite pas à authentifier une personne : il peut, dans certains cas, produire un niveau de confiance renforcé, notamment avec la certification de dirigeant.

2. Il ne remplace pas la gestion métier des habilitations

C’est un point central. ProConnect apporte un socle d’identité et de certification, mais les applications doivent continuer à gérer leurs propres règles de délégation, d’autorisation et de contrôle d’accès.

3. Le service est prometteur, mais doit encore composer avec des cas terrain très fréquents

Petites structures, associations, adresses génériques, salariés, groupes d’entreprises, délégations : tous ces cas rappellent que l’intégration de ProConnect doit être pensée avec lucidité, en tenant compte des limites actuelles et des parcours alternatifs nécessaires.

En conclusion

Cette présentation a permis de mieux comprendre ce que ProConnect peut apporter à l’écosystème des SI de la formation professionnelle : un cadre plus homogène, plus simple et potentiellement plus robuste pour gérer les connexions des entreprises, employeurs et organismes de formation.

Elle montre aussi que la promesse ne se résume pas à un sujet de connexion. Derrière le bouton, il y a en réalité des questions beaucoup plus larges : preuve du lien à l’organisation, niveau de confiance, articulation avec les habilitations métier, délégation, gestion des cas non standards.

C’est précisément pour cela que le sujet mérite d’être suivi de près : non comme un simple composant technique, mais comme un élément structurant pour la fiabilisation des parcours numériques professionnels.