Vérification faciale et détection du vivant : le selfie KYC

La vérification faciale et la détection du vivant forment le contrôle qui compare un selfie pris en direct avec la photo de votre pièce d'identité, afin de confirmer que vous êtes bien la personne à qui appartient le document. La détection du vivant (liveness detection) est l'étape qui donne tout son sens à ce contrôle : elle vérifie que le selfie provient d'un être humain réel, présent devant la caméra, et non d'une photo imprimée, d'une vidéo rejouée sur un écran, d'un masque ou d'un deepfake. Ensemble, elles correspondent à ce que la plupart des gens appellent « vérification par selfie » ou « vérification biométrique » lors de l'ouverture d'un compte sur une plateforme crypto, dans une banque ou une application fintech.

Ce guide explique le fonctionnement de ces contrôles, la différence entre détection du vivant active et passive, la manière dont les fournisseurs sont testés selon la norme ISO/IEC 30107-3, pourquoi les deepfakes et les attaques par injection sont aujourd'hui le principal terrain d'affrontement, ce que dit le droit de la protection des données sur l'image de votre visage, et que faire si le contrôle échoue à répétition.

Ce qu'est la vérification faciale, et ce qu'elle n'est pas

La vérification faciale est une comparaison un-à-un : ce visage est-il celui de la personne figurant sur cette photo d'identité ? Elle se distingue de l'identification faciale, qui est une recherche un-à-plusieurs d'un visage dans une base de données pour déterminer qui est une personne. La distinction est juridique autant que technique. Le règlement européen sur l'IA (AI Act) classe les systèmes d'identification biométrique à distance parmi les systèmes à haut risque dans son annexe III, mais en exclut la vérification biométrique dont la seule finalité est de confirmer qu'une personne donnée est bien celle qu'elle prétend être.

Dans l'usage courant, les termes se recoupent :

• La vérification biométrique est le terme générique désignant la confirmation de l'identité à l'aide d'une caractéristique physique ou comportementale. Lors d'une ouverture de compte en ligne, il s'agit presque toujours du visage.
• La vérification par selfie décrit l'expérience utilisateur : vous prenez un selfie ou une courte vidéo dans l'application.
• La correspondance faciale (face matching) est l'algorithme de comparaison qui produit un score de similarité entre le selfie et la photo du document.
• La détection du vivant, appelée dans les normes détection des attaques de présentation (PAD), vérifie que le visage devant la caméra est réel et présent.

Comment se déroule une vérification par selfie

Le parcours exact dépend du fournisseur, mais un contrôle en ligne type se déroule dans cet ordre :

1. Capture du document. Vous photographiez votre passeport, votre carte d'identité ou votre permis de conduire. Le logiciel lit les données, contrôle les éléments de sécurité et extrait le portrait.
2. Capture du selfie ou de la vidéo. L'application ouvre la caméra frontale et vous guide pour cadrer votre visage, parfois avec des consignes.
3. Détection du vivant. Le logiciel analyse la capture à la recherche de signes de fraude, comme la texture du papier, les reflets d'un écran, les bords d'un masque ou des artefacts de synthèse.
4. Correspondance faciale. Si la capture est jugée vivante, le visage est comparé au portrait du document et un score de similarité est calculé.
5. Décision. Les réussites nettes sont validées automatiquement. Les résultats limites sont transmis à un analyste humain, et les échecs nets sont rejetés ou renvoyés pour une nouvelle tentative.

La vérification faciale n'est qu'une couche du KYC, pas sa totalité. Le même parcours d'ouverture de compte comprend généralement le contrôle du document, le filtrage sanctions et PPE, et parfois un justificatif de domicile. Notre article sur ce que signifie le KYC en crypto présente l'ensemble du processus.

Détection du vivant active ou passive

Les contrôles du vivant existent sous deux grandes formes, et de nombreux produits les combinent.

La détection du vivant active vous demande d'agir : cligner des yeux, sourire, tourner la tête, suivre un point ou lire des chiffres à voix haute. Les consignes sont souvent aléatoires afin qu'une vidéo préenregistrée ne puisse pas les anticiper. Elles ajoutent de la friction et peuvent être plus difficiles pour certaines personnes en situation de handicap ou équipées de téléphones anciens.

La détection du vivant passive fonctionne en arrière-plan à partir d'une seule image ou d'une courte vidéo, sans action particulière de votre part. Elle analyse des indices comme la texture, la profondeur, l'éclairage et les reflets. Elle est plus rapide, mais repose entièrement sur la qualité du modèle.

En pratique, les fournisseurs superposent les deux approches et y ajoutent une détection des deepfakes. Le service de vérification biométrique d'iDenfy, par exemple, décrit des consignes actives, une analyse passive de la profondeur 3D et de la texture, ainsi qu'un module distinct de détection des deepfakes intégré au même parcours. Si vous choisissez un prestataire, notre comparatif des fournisseurs de logiciels KYC pour la crypto couvre l'ensemble du marché.

Comment la détection du vivant est testée : ISO/IEC 30107-3, iBeta et NIST

Comme chaque fournisseur revendique une grande précision, les acheteurs recherchent des tests indépendants. Trois références reviennent régulièrement.

ISO/IEC 30107-3. La norme internationale pour tester la détection des attaques de présentation est l'ISO/IEC 30107-3:2023, « Biometric presentation attack detection, Part 3: Testing and reporting ». La deuxième édition, actuellement en vigueur, a été publiée en janvier 2023 et a remplacé la version de 2017. Elle définit les principes et méthodes d'évaluation de la PAD, la manière de présenter les résultats et une classification des types d'attaques connus. Son champ d'application est important : il couvre les attaques au niveau du dispositif de capture lors de la présentation, c'est-à-dire un objet tenu devant la caméra. Les autres attaques en sont exclues.

Tests PAD d'iBeta. iBeta est un laboratoire d'essais indépendant accrédité NVLAP par le NIST, avec l'ISO 30107-3 dans le périmètre de son accréditation. Ses niveaux de test publiés diffèrent selon le temps, l'expertise et l'argent dont l'attaquant est censé disposer. Le niveau 1 utilise des matériaux courants coûtant jusqu'à 30 $ par artefact, et le niveau 2 des artefacts plus élaborés comme des masques, coûtant jusqu'à 300 $. iBeta précise que ses lettres de confirmation attestent la conformité à la méthodologie de test ISO 30107-3 pour une configuration de produit précise ; il ne s'agit pas d'une certification du produit. Lorsqu'un fournisseur annonce « iBeta niveau 2 », demandez la lettre et vérifiez la version du produit et l'appareil qu'elle couvre.

NIST FATE PAD. Le National Institute of Standards and Technology américain a évalué des algorithmes logiciels passifs de PAD faciale dans le rapport NIST IR 8491, publié en septembre 2023. Il a testé 82 algorithmes de 45 développeurs et constaté que la précision variait fortement selon l'algorithme et le type d'attaque. Les attaques par photo imprimée et par rejeu, ainsi que certains types de masques, étaient bien détectées par plusieurs développeurs, tandis que d'autres types d'attaques produisaient des taux d'erreur élevés pour toutes les implémentations testées. De nombreux algorithmes obtenaient de meilleurs résultats sur vidéo que sur une seule image fixe.

Deepfakes et attaques par injection

Les remarques sur le champ d'application ci-dessus désignent la principale faille actuelle. Une attaque de présentation a lieu devant la caméra. Une attaque par injection contourne entièrement la caméra : l'attaquant injecte une vidéo préenregistrée ou générée par IA directement dans le flux vidéo de l'application, par exemple via une caméra virtuelle, un émulateur ou une application modifiée. L'ISO/IEC 30107-3 considère les attaques extérieures à la présentation au dispositif de capture comme hors de son champ, et le rapport du NIST indique ne pas traiter les attaques par injection. Réussir un test PAD ne démontre donc pas, à lui seul, qu'un produit résiste aux deepfakes injectés.

Les régulateurs l'ont remarqué. Dans son alerte FIN-2024-Alert004 du 13 novembre 2024, le Financial Crimes Enforcement Network américain a indiqué avoir constaté depuis 2023 une hausse des déclarations d'activité suspecte décrivant l'utilisation de deepfakes à des fins de fraude, souvent pour contourner la vérification d'identité. Parmi ses signaux d'alerte :

• une photo du client incohérente en elle-même ou qui ne correspond pas à ses autres informations, comme sa date de naissance ;
• l'utilisation d'un plugin de webcam tiers pendant un contrôle de vérification en direct ;
• des « problèmes techniques » répétés ou des demandes de changement de moyen de communication pendant un contrôle en direct ;
• une photo ou une vidéo signalée par un logiciel de détection des deepfakes, ou correspondant à une galerie en ligne de visages générés par IA ;
• des données géographiques ou relatives à l'appareil qui ne correspondent pas aux documents d'identité.

Pour s'en défendre, un meilleur modèle facial ne suffit pas : il faut des contrôles d'intégrité de l'appareil et de la caméra, la détection des caméras virtuelles et des émulateurs, et le recoupement avec d'autres signaux comme les données du document et l'historique de l'appareil. Les deepfakes font aussi partie des outils de la fraude à l'identité synthétique.

Vie privée : ce que deviennent les données de votre visage

Dans l'UE, les données faciales utilisées pour la vérification comptent parmi les données personnelles les plus protégées. Le RGPD définit les données biométriques à l'article 4(14) comme des données personnelles résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne, qui permettent ou confirment son identification unique, et cite les images faciales en exemple. L'article 9 interdit le traitement de données biométriques aux fins d'identifier une personne de manière unique, sauf exception, comme le consentement explicite ou un motif d'intérêt public important fondé sur la loi.

Une plateforme doit vous indiquer qui traite votre selfie (souvent un prestataire de vérification agissant pour le compte de la plateforme), sur quelle base juridique et pendant combien de temps. La réglementation AML impose par ailleurs à la plateforme de conserver les dossiers de vigilance pendant plusieurs années après la fin de la relation, ce qui peut inclure des images. Interrogez la plateforme et lisez notre guide sur ce que deviennent vos données KYC pour connaître les règles de conservation.

Pourquoi les plateformes crypto utilisent la vérification faciale

Les plateformes d'échange crypto accueillent leurs clients à distance, souvent dans de nombreux pays, et les règles AML leur imposent d'identifier ces clients et de vérifier leur identité. Un selfie avec détection du vivant est le moyen le plus courant de rattacher un demandeur à distance à sa pièce d'identité. Il dissuade aussi les prises de contrôle de compte, les mules financières qui revendent leur compte vérifié et les fraudeurs qui ouvrent des comptes avec des identités volées ou synthétiques.

La DeFi non custodiale est différente. Les applications de JewelSwap sur MultiversX, Sui et Radix sont non custodiales et n'effectuent elles-mêmes aucun contrôle d'identité ; voir le KYC dans la DeFi expliqué.

Conseils si votre vérification par selfie échoue sans cesse

• Éclairez votre visage de face. Évitez une fenêtre ou une lampe derrière vous, ainsi que les ombres marquées.
• Retirez chapeau, lunettes et masque sauf s'ils figurent sur votre photo d'identité, et dégagez vos cheveux du visage.
• Utilisez directement la caméra de l'appareil. Fermez les applications de caméra virtuelle, de filtres ou de partage d'écran ; elles peuvent déclencher la détection des attaques par injection.
• Utilisez une connexion stable. Une forte compression vidéo peut ressembler à une fraude pour les modèles passifs.
• Vérifiez la photo du document. Si votre apparence a beaucoup changé, ou si le document est abîmé ou proche de l'expiration, demandez au support une vérification manuelle ou l'utilisation d'un autre document.

N'utilisez jamais le visage ou le document de quelqu'un d'autre, ni d'outils pour contourner le contrôle, même pour « rendre service » : c'est de la fraude. D'autres conseils pratiques figurent dans nos conseils de vérification d'identité pour les plateformes crypto.

Questions fréquentes

Quelle est la différence entre vérification faciale et reconnaissance faciale ?

La vérification faciale est un contrôle un-à-un qui confirme qu'un visage filmé en direct correspond à une photo d'identité précise. La reconnaissance ou identification faciale compare un visage à de nombreux visages enregistrés pour déterminer qui est une personne. L'ouverture de compte KYC utilise la vérification.

Qu'est-ce que la détection du vivant ?

La détection du vivant (liveness detection), ou détection des attaques de présentation, vérifie qu'un selfie provient d'une personne réelle présente devant la caméra et non d'une photo, d'une vidéo rejouée sur un écran, d'un masque ou d'un deepfake. Elle s'exécute avant la correspondance faciale ou en parallèle.

Quelle est la différence entre détection du vivant active et passive ?

La détection active vous demande d'effectuer des actions comme cligner des yeux ou tourner la tête. La détection passive analyse une seule image ou une courte vidéo en arrière-plan, sans action particulière. De nombreux produits combinent les deux et y ajoutent une détection des deepfakes.

Que signifient ISO 30107-3 ou iBeta niveau 2 ?

L'ISO/IEC 30107-3 est la norme internationale pour tester la détection des attaques de présentation. iBeta est un laboratoire accrédité qui teste les produits selon cette norme ; le niveau 2 suppose un attaquant plus compétent, disposant d'artefacts plus coûteux qu'au niveau 1. Une lettre atteste la conformité d'une configuration de produit précise, et non une certification générale, et la norme elle-même ne couvre pas les attaques par injection.

Pourquoi ma vérification par selfie échoue-t-elle sans cesse ?

Les causes fréquentes sont un éclairage insuffisant ou à contre-jour, des lunettes ou un chapeau absents de la photo d'identité, une caméra instable, une connexion faible, des applications de caméra virtuelle ou de filtres, et une photo de document abîmée ou ancienne. Si l'échec persiste, demandez au support une vérification manuelle.

Mes données faciales sont-elles conservées après la vérification ?

Souvent, pendant un certain temps. Dans l'UE, les données biométriques sont des données de catégorie particulière au sens du RGPD, et la réglementation AML impose aux plateformes de conserver les dossiers de vigilance pendant plusieurs années après la fin de la relation. La politique de confidentialité de la plateforme doit préciser qui les conserve, pendant combien de temps et dans quel but.

À lire aussi

• Qu'est-ce que le KYC en crypto ?
• Conseils de vérification d'identité pour les plateformes crypto
• La fraude à l'identité synthétique expliquée
• Justificatif de domicile pour les plateformes crypto
• Ce que deviennent vos données KYC

Cet article est fourni à titre éducatif et ne constitue pas un conseil juridique ou financier. Les références aux normes, aux laboratoires d'essais et à la réglementation ont été vérifiées le 8 octobre 2026 auprès de l'ISO, d'iBeta, du NIST IR 8491, de l'alerte FinCEN FIN-2024-Alert004, du RGPD et de l'AI Act européen, liés dans le texte. Les fournisseurs sont cités à titre d'illustration et non de recommandation.