Comment la confiance distribuée fonctionne dans les secteurs réglementés

En 1961, des diplomates de dozens de pays se sont réunis à La Haye pour résoudre un problème étonnamment persistant : comment un document émis par les autorités d’un pays peut-il être accepté comme authentique par les autorités d’un autre ? La réponse qu’ils ont produite — la Convention d’Apostille — est élégante par sa simplicité. Un certificat standardisé, attaché au document, confirme que la signature et le sceau sont authentiques. Le pays destinataire vérifie le certificat indépendamment. Pas d’appels téléphoniques à l’autorité émettrice. Pas de base de données partagée. Pas d’« Autorité mondiale des documents » centralisée en laquelle tout le monde doit avoir confiance.

Soixante-cinq ans plus tard, le monde numérique ne peut pas faire ce qu’un tampon en caoutchouc réalise pour le papier.

Lorsqu’un hôpital de Zurich doit vérifier qu’une demande de consultation d’une clinique de Berne a été envoyée par quelqu’un qui détient réellement une licence médicale valide, il n’existe pas d’Apostille numérique. Les systèmes recourent à la sécurité périmétrique — « ce message a été reçu via un canal authentifié, il est donc probablement légitime » — ou à des processus de vérification manuelle qui sont lents, coûteux et ne s’adaptent pas à grande échelle.

C’est le déficit de confiance auquel tous les secteurs réglementés sont confrontés : non pas gérer l’accès au sein d’une organisation, mais vérifier l’identité et l’autorité au-delà des limites organisationnelles.

Le même déficit, des noms différents

Le vocabulaire change. La structure ne change pas.

Dans le secteur de la santé, la question est : « La personne qui envoie cette demande de consultation est-elle réellement un médecin autorisé à l’institution qu’elle prétend représenter ? » En finance, cela devient : « La personne qui autorise cette transaction est-elle réellement habilitée à agir au nom de cette entité juridique ? » En pharmacie : « Cette livraison a-t-elle été manipulée exclusivement par des distributeurs autorisés avec une traçabilité ininterrompue ? » Dans les services gouvernementaux : « Cette accréditation citoyenne confirme-t-elle réellement ce qu’elle prétend, et est-elle toujours valide ? »

Chacun de ces cas est une question de confiance aux limites institutionnelles. Chacun nécessite que la partie destinataire vérifie quelque chose qui a été affirmed par une organisation différente, sous une structure de gouvernance différente, en utilisant des systèmes différents. Et dans chaque cas, la partie destinataire doit effectuer cette vérification indépendamment — sans appeler l’autorité émettrice, sans partager une base de données, sans faire confiance à un seul courtier central.

Comment le secteur de la santé gère-t-il cela aujourd’hui ? Comment la finance ? Comment la pharmacie ?

Principalement, ils ne le font pas. Ils contournent le déficit avec des accords bilatéraux, des processus manuels, ou en convergeant vers des fournisseurs de plateformes qui deviennent l’autorité centrale de facto. Les contournements sont coûteux. La dépendance aux plateformes est un risque stratégique. Et les processus manuels sont exactement le type de goulet d’étranglement que la réglementation était censée éliminer, et non créer.

Pourquoi les autorités de certification échouent aux limites

La réponse standard de l’informatique d’entreprise est : « Nous avons l’infrastructure de clé publique pour cela. Les autorités de certification vérifient l’identité. Problème résolu. »

Pas tout à fait.

Les autorités de certification fonctionnent bien pour une chose : confirmer qu’un serveur est celui qu’il prétend être. Votre navigateur fait confiance au fait que vereign.com est réellement Vereign parce qu’une autorité de certification l’a confirmé. Mais toute autorité de certification est un tiers qui détient la confiance en otage — une entité qui peut être compromise, coercée par des gouvernements, ou tout simplement échouer. Let’s Encrypt seule détient environ 60 % de part de marché pour les certificats TLS. Une seule institution américaine comme unique point de défaillance structurel pour la majorité de la sécurité du transport internet.

Pour la confiance inter-institutionnelle entre organisations, les problèmes se aggravent. Si l’Hôpital A et la Clinique B veulent vérifier les accréditations les uns des autres, ils ont besoin soit d’une autorité de certification partagée — qui la gouverne ? — d’accords bilatéraux de confiance d’autorités de certification qui évoluent en O(n²), soit de converger vers un fournisseur de plateformes. Dix mille institutions signifie jusqu’à cinquante millions de négociations bilatérales. Ce qui recréé exactement le problème de centralisation qui était censé être évité.

Le problème structurel de l’infrastructure de clé publique n’est pas la gestion des certificats. C’est de déléguer la confiance à des tiers dont vous ne contrôlez pas les incitations, la juridiction et la fiabilité opérationnelle.

Le secteur de la santé a prouvé que la solution fonctionne

Health Info Net AG de Suisse — HIN — gère l’infrastructure de messagerie médicale sécurisée depuis trente ans. Aujourd’hui, SEAL traite plus de 800 000 livraisons chiffrées par mois sur ce réseau, reliant plus de 30 000 cabinets de médecine générale avec des hôpitaux, des spécialistes, des pharmacies et des laboratoires.

SEAL est le point de départ de ce qui devient une toute nouvelle infrastructure de confiance. Verimesh, le tissu de confiance issu du projet Stargate, place la fonction d’Autorité de certification au bord — à chaque institution participante plutôt qu’à un tiers centralisé — et sa passerelle et son autorité de certification centrale exécutent la gestion de clés décentralisée en production chez HIN. Chaque organisation maintient sa propre identité cryptographique ancrée à un identifiant auto-certifiant. N’importe quel tiers vérifie la confiance en lisant directement le journal des événements clés de cette organisation. Pas de négociation bilatérale. Pas d’autorité de certification partagée. Pas d’accord de confiance intermédiaire.

La transformation en cours de HIN est le remplacement en direct de trois décennies d’infrastructure de passerelle, avec une architecture conçue de sorte que l’ajout du participant numéro dix mille n’est pas plus difficile que l’ajout du participant numéro dix.

C’est l’Apostille numérique. Une accréditation qui voyage avec l’acteur, porte la preuve cryptographique de qui l’a émise et si elle est toujours valide, et peut être vérifiée par n’importe quelle partie destinataire indépendamment.

L’architecture est générale

La Global Legal Entity Identifier Foundation (GLEIF) a reconnu le même besoin structurel lorsqu’elle a sélectionné la même catégorie d’infrastructure cryptographique comme fondation du programme d’Identifiant d’entité juridique vérifiable (vLEI), désormais codifié selon la norme ISO 17442-3:2024. Les banques vérifient l’identité des contreparties. Les représentants autorisés prouvent leur autorité d’action. Le même pattern : accréditations vérifiables, gestion de clés décentralisée, vérification indépendante.

Les chaînes d’approvisionnement pharmaceutiques ont besoin d’une traçabilité ininterrompue du fabricant au patient. Les procédures judiciaires ont besoin de chaîne de contrôle pour les preuves numériques. Les plateformes de négociation d’énergie ont besoin de vérification de contreparties entre juridictions. Les initiatives d’identité numérique gouvernementale — y compris Swiyu en Suisse — sont construites sur des accréditations vérifiables que les citoyens détiennent et présentent, plutôt que sur des données d’identité verrouillées dans un registre gouvernemental central.

Chacun de ces cas est le même problème avec un vocabulaire réglementaire différent. Et l’architecture qui le résout est la même : gestion de clés décentralisée qui distribue la confiance aux bords plutôt que de la concentrer dans les intermédiaires. Ce qui change entre les secteurs est le schéma d’accréditation, pas l’infrastructure de confiance.

Retour à La Haye

Les diplomates qui ont conçu la Convention d’Apostille en 1961 ont compris quelque chose que l’informatique d’entreprise a été lente à internationaliser : la confiance inter-limites fonctionne quand chaque partie peut vérifier indépendamment, sans dépendre d’une autorité centrale en laquelle les deux parties doivent avoir confiance.

Ils l’ont résolu pour le papier. Le secteur de la santé prouve que cela fonctionne pour l’infrastructure numérique — à grande échelle, en production, avec 800 000+ livraisons vérifiables par mois.

Le problème de confiance n’est pas spécifique au domaine. La solution ne l’est pas non plus. Chaque secteur réglementé qui nécessite la reddition de comptes aux limites institutionnelles — ce qui est, en pratique, tous les secteurs — a besoin de la même fondation architecturale.

La seule question est : qui la construira ensuite ?