Authentification par questions personnelles (KBA)

Que signifie « Authentification par questions personnelles » ?

L'authentification fondée sur la connaissance, ou KBA (knowledge-based authentication), est un contrôle d'identité qui pose à une personne des questions auxquelles elle seule devrait pouvoir répondre correctement, généralement générées à partir de fichiers de crédit et de registres publics. Dans les processus de signature électronique et de notarisation, la vérification KBA sert à confirmer qu'un signataire est bien celui qu'il prétend être avant qu'il puisse ouvrir ou signer un document. Elle est surtout répandue aux États-Unis, où ces données sont largement accessibles.

Il en existe deux variantes. Le KBA statique repose sur des réponses définies à l'avance par l'utilisateur, comme la classique question secrète sur le nom de son premier animal. Le KBA dynamique, celui utilisé pour la signature, tire les questions à la volée auprès de courtiers en données : dans laquelle de ces rues avez-vous habité, quel organisme détenait un ancien crédit auto. Le signataire reçoit en général quelques questions à choix multiples avec un temps limité, et doit atteindre un seuil de bonnes réponses pour continuer.

Supposons qu'un gestionnaire immobilier traite une caution importante sur un bail, apportée par un garant qu'il n'a jamais rencontré. Avec le KBA, le garant doit répondre à des questions liées à son historique de crédit avant de signer, ce qui donne au gestionnaire davantage de confiance sur son identité. Pour l'avenant animaux de compagnie du locataire, la même étape ne serait que friction.

Idée reçue courante : le KBA serait quasiment infaillible. Une grande partie des données sous-jacentes a fuité lors de piratages au fil des années, et un fraudeur déterminé peut parfois trouver les réponses. Les signataires honnêtes, eux, butent sur des questions concernant des comptes dont ils se souviennent à peine, et les personnes avec peu d'historique de crédit peuvent ne pas obtenir de questions du tout.

Le KBA est l'une des méthodes d'authentification du signataire et occupe une place centrale dans la notarisation en ligne à distance, où de nombreuses réglementations d'États l'exigent en plus d'un contrôle de pièce d'identité. Il est plus lourd qu'un OTP, qui prouve seulement le contrôle d'un téléphone ou d'une boîte e-mail.

Si vous avez besoin du KBA, prévenez les signataires à l'avance. Une courte note expliquant qu'ils devront répondre en temps limité à quelques questions sur d'anciennes adresses ou d'anciens prêts réduit nettement les échecs. Prévoyez aussi une solution de repli, comme un contrôle de pièce d'identité, pour les personnes dont l'historique de crédit est trop mince pour générer des questions. Sans cela, un signataire légitime peut se retrouver bloqué sans aucun moyen de finaliser le document.

Notre avis : le KBA est disproportionné pour les contrats du quotidien. Il a du sens quand une loi ou un prêteur l'exige, mais pour des contrats de freelance, des promesses d'embauche ou des baux, une piste d'audit propre et un lien de signature unique font le travail avec beaucoup moins de friction.

eSignSimple n'utilise pas le KBA aujourd'hui ; la vérification d'identité, y compris des méthodes comme le KBA, figure sur notre feuille de route. Nous nous appuyons sur des liens uniques envoyés par e-mail, une piste d'audit avec horodatage, IP et détails de l'appareil, et un certificat de signature pour chaque document signé.

« Authentification par questions personnelles » : un exemple concret

Une emprunteuse immobilière rejoint une session de notarisation en ligne à distance. Avant l'arrivée du notaire, la plateforme lui pose cinq questions à choix multiples tirées de données de crédit et de registres publics, par exemple dans laquelle de quatre rues elle a habité, et elle doit répondre correctement à la plupart dans un temps limité. eSignSimple ne propose ni KBA ni aucune vérification d'identité.

Quels sont les termes associés ?

• Notarisation (acte notarié): La notarisation est la procédure par laquelle un notaire vérifie l'identité et le consentement du signataire, puis certifie la signature par son sceau.
• Notarisation en ligne à distance (RON): La notarisation en ligne à distance (RON) permet à un notaire habilité de notariser un document lors d'une session audio-vidéo en direct, avec signature et sceau électroniques.
• Authentification du signataire: L'authentification du signataire désigne la manière dont une plateforme de signature électronique confirme que la personne qui signe est bien le destinataire prévu.
• Code à usage unique (OTP): Un code à usage unique (OTP) est un code court envoyé au signataire par SMS ou e-mail, à saisir avant de pouvoir ouvrir ou signer un document.