Lukas Schönbächler · 14 janvier 2026 · 8 min de lecture
Pourquoi c’est important
La plupart des organisations européennes font désormais transiter chaque connexion et chaque document par une poignée de fournisseurs cloud américains. Cela place une loi étrangère, une politique étrangère et les opérations d’un tiers entre vos collaborateurs et leur travail. 2025 a montré ce que cela coûte :
- En juin 2025, Microsoft France a déclaré sous serment devant le Sénat français qu’il ne peut pas garantir que les données européennes restent hors de portée des autorités américaines. Le CLOUD Act atteint les données où qu’un fournisseur américain les stocke.
- L’identité cloud est un point de défaillance unique : deux incidents en 2025 (février et octobre) ont interrompu mondialement la connexion à Microsoft Entra ID. Toutes les applications derrière ont cessé d’authentifier.
- Le Schleswig-Holstein retire Microsoft de 30 000 postes de travail gouvernementaux et prévoit d’économiser plus de 15 millions d’euros de coûts de licences en 2026. La souveraineté numérique est passée des prises de position aux appels d’offres.
- La souveraineté se joue sur l’authentification : celui qui opère votre fournisseur d’identité contrôle l’accès à tout ce qui se trouve derrière.
- Le SSO mobile n’exige pas un cloud opéré depuis les États-Unis. Kerberos on-premise avec certificats garde l’intégralité du chemin d’authentification dans votre réseau et votre juridiction, avec n’importe quel MDM.
Pendant des années, la souveraineté numérique est restée un sujet de tables rondes : théoriquement importante, pratiquement ignorée. 2025 a changé la donne. Les avertissements sont devenus témoignages devant les institutions, décrets présidentiels et post-mortems de pannes. Si votre flotte mobile s’authentifie via un service d’identité cloud opéré depuis les États-Unis, l’année écoulée vous a donné trois raisons concrètes de reconsidérer la question, et une issue architecturale.
2025 : l’année où les avertissements sont devenus des preuves
10 juin 2025, Sénat français. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a été interrogé sous serment sur sa capacité à garantir que les données des citoyens français ne seraient jamais transmises aux autorités américaines sans autorisation explicite de la France. Sa réponse : «Non, je ne peux pas le garantir.» Il a ajouté que Microsoft s’oppose aux demandes qu’il juge infondées, et que le scénario ne s’était pas encore produit. L’honnêteté est à son crédit. Le problème est la position juridique qu’elle décrit : en vertu du CLOUD Act américain, un fournisseur américain peut être contraint de remettre des données quel que soit l’endroit où elles sont stockées. L’EU Data Boundary de Microsoft maintient les données européennes en Europe, mais la résidence n’est pas la juridiction. Le Sénat en a obtenu la confirmation officielle.
Février à mai 2025, l’épisode de la CPI. Après qu’un décret présidentiel américain a sanctionné le procureur général de la Cour pénale internationale en février, des articles de presse en mai ont rapporté qu’il avait perdu l’accès à son compte de messagerie Microsoft et migré vers un fournisseur suisse. Microsoft conteste avoir coupé le service. Ce qui n’est pas contesté, c’est l’effet : le gouvernement néerlandais a lancé une réévaluation formelle de sa dépendance aux fournisseurs technologiques américains, et la «souveraineté numérique» est entrée dans les débats parlementaires à travers l’Europe. L’épisode a montré le mécanisme à l’œuvre : le droit des sanctions lie les fournisseurs américains, et l’accès à votre infrastructure peut devenir un dommage collatéral de la géopolitique d’autrui.
Deux pannes d’authentification. Le 25 février 2025, un nettoyage DNS chez Microsoft a supprimé un domaine utilisé par le single sign-on transparent d’Entra ID. Pendant plus d’une heure, la connexion cloud a échoué dans le monde entier ; les contrôleurs de domaine on-premise n’ont été consultés nulle part, car le chemin cloud ne les sollicite pas. Le 29 octobre 2025, une erreur de configuration dans Azure Front Door a mis Microsoft 365 et Entra ID hors service pendant la majeure partie d’une journée de travail, des compagnies aériennes et des distributeurs signalant des systèmes internes paralysés. Aucun des deux incidents n’était une attaque. Les deux étaient des erreurs opérationnelles de routine chez un fournisseur que vous ne pouvez ni auditer ni relancer au-delà d’une page de statut.
Le Schleswig-Holstein vote avec son budget. Le Land du nord de l’Allemagne a décidé en avril 2024 de faire sortir son administration de la pile Microsoft : LibreOffice au lieu d’Office, Linux au lieu de Windows, Open-Xchange et Thunderbird au lieu d’Exchange et Outlook, et un service d’annuaire pour remplacer Active Directory. En octobre 2025, 40 000 boîtes aux lettres avaient été migrées ; en décembre 2025, LibreOffice était le standard obligatoire sur environ 80 pour cent des postes de travail du Land. Le Land prévoit d’économiser plus de 15 millions d’euros de coûts de licences en 2026. Quoi que vous pensiez de l’approche, elle a tranché un débat : une administration publique européenne peut fonctionner sans la pile par défaut.
Figure 1 : Quatre pièces à conviction en une année. Témoignage, sanctions, pannes et une sortie aboutie : le débat sur la souveraineté a produit des preuves en 2025. Les sources sont liées dans les descriptions des événements ci-dessus.
Pourquoi l’authentification est la question de souveraineté
La plupart des débats sur la souveraineté se concentrent sur l’emplacement des fichiers. Cela passe à côté de la dépendance la plus aiguë. Celui qui opère votre fournisseur d’identité décide, opérationnellement, si quiconque peut se connecter. Les fichiers, vous pouvez les sauvegarder et les réhéberger. L’authentification est un service vivant : s’il est en panne, sanctionné ou visé par une injonction, les conséquences arrivent en quelques minutes et touchent toutes les applications derrière.
L’exposition juridique suit l’opérateur, pas le centre de données. Le CLOUD Act de 2018 a formalisé ce que l’ère du Patriot Act avait déjà établi dans la pratique : les autorités américaines peuvent contraindre les fournisseurs américains à produire les données sous leur contrôle, où qu’elles se trouvent. Un centre de données européen exploité par une entreprise américaine ne change pas la juridiction, ce qui est exactement ce que le témoignage au Sénat français a confirmé. La Cour de justice de l’UE est arrivée à la conclusion symétrique dans l’arrêt Schrems II dès 2020, en invalidant le Privacy Shield en raison du droit américain de la surveillance.
La question honnête pour un CISO n’est donc pas «mes données sont-elles chiffrées au repos à Francfort», mais «quelles injonctions juridiques étrangères et quels incidents fournisseur peuvent empêcher mon organisation de s’authentifier». Pour une flotte mobile qui se connecte via un fournisseur d’identité cloud, la réponse les inclut tous.
L’alternative on-premise existe déjà
Voici la partie qui se perd dans le débat sur la souveraineté : pour l’authentification en entreprise, l’architecture souveraine n’est pas quelque chose que l’Europe doit encore construire. C’est Kerberos face à votre propre Active Directory, et la plupart des organisations l’exploitent déjà. Le manque n’a jamais été côté serveur. C’était le mobile : Android et iOS n’ont aucun moyen natif de participer au Kerberos on-premise, et c’est ainsi que les flottes ont fini par s’authentifier via le cloud.
Ce manque se comble au niveau applicatif. Hypergate Authenticator installe un client Kerberos sur les appareils Android et iOS managés : l’appareil obtient son ticket directement auprès de votre contrôleur de domaine grâce à la pré-authentification par certificat (PKINIT), avec des certificats émis par votre propre CA via votre MDM. À partir de là, navigateurs et applications métier bénéficient du single sign-on vers les ressources on-premise. Le chemin d’authentification complet, du credential au ticket jusqu’à l’application, s’exécute dans votre réseau, sous votre juridiction, opéré par vous. Il fonctionne dans des environnements totalement isolés (air-gapped), ce qui règle la question de souveraineté : l’architecture n’a pas besoin d’internet du tout, encore moins d’un cloud étranger.
La souveraineté a aussi un second axe : le verrouillage fournisseur. Une couche d’authentification liée à un seul UEM vous retire discrètement la liberté de changer de solution de gestion des appareils. Hypergate est délibérément agnostique en matière de MDM : il se configure via les managed configurations standard et fonctionne à l’identique sous Intune, Workspace ONE, Ivanti, SOTI ou tout autre UEM Android Enterprise ou iOS. Votre architecture d’identité cesse d’être une raison de ne pas pouvoir quitter un fournisseur, sur l’une ou l’autre couche.
| Chemin identité cloud | Chemin Kerberos on-premise | |
|---|---|---|
| Où les identifiants sont vérifiés | Cloud du fournisseur (opérateur américain) | Vos contrôleurs de domaine |
| Juridiction applicable | États-Unis (le CLOUD Act s’applique à l’opérateur) | La vôtre |
| Rayon d’impact d’une panne fournisseur | Toutes les connexions, toutes les apps (25 fév et 29 oct 2025) | Aucun : pas de dépendance cloud dans le chemin d’authentification |
| Fonctionne en environnement isolé (air-gapped) | Non | Oui |
| Exposition aux sanctions | L’opérateur doit se conformer aux décrets américains | Le logiciel que vous opérez continue de fonctionner |
| Couplage MDM | Souvent lié à l’écosystème du fournisseur | Tout UEM via managed configuration |
Figure 2 : Une seule frontière. Le chemin d’identité cloud la traverse à chaque connexion ; le chemin Kerberos on-premise ne quitte jamais votre réseau.
La souveraineté, c’est le contrôle opérationnel, pas la pureté
Une clarification s’impose, car les débats sur la souveraineté attirent l’absolutisme : Active Directory est aussi un logiciel Microsoft. La différence n’est pas le passeport du fournisseur, c’est qui opère le système et ce qui se passe quand la relation est mise sous tension. Un logiciel que vous exécutez sur votre propre matériel continue de fonctionner pendant une panne du fournisseur, un décret de sanctions ou un litige contractuel. Un service cloud, non. Le Schleswig-Holstein peut prendre des années pour remplacer Active Directory précisément parce que la pile on-premise continue de tourner pendant ce temps ; personne ne peut l’éteindre à distance. C’est la définition pratique d’une souveraineté numérique qui vaut la peine : la capacité d’opérer, et la capacité de partir, selon votre propre calendrier.
La même logique s’applique que votre annuaire reste Active Directory pour la prochaine décennie ou migre vers autre chose : Kerberos est un protocole ouvert, et une architecture d’authentification bâtie dessus, avec des certificats de votre propre CA, vous suit.
Ce que cela signifie pour vous
Vous n’avez pas besoin de copier le Schleswig-Holstein pour tirer les leçons de 2025. Le premier pas pragmatique est plus modeste : inventorier lesquels de vos flux d’authentification dépendent d’un service cloud opéré depuis les États-Unis, en commençant par le mobile. Si vos téléphones et tablettes ne peuvent atteindre les applications on-premise qu’à travers un fournisseur d’identité cloud, vous avez importé la juridiction du CLOUD Act, l’exposition aux sanctions et les pannes d’autrui dans chaque connexion mobile. Faire passer l’authentification mobile sur Kerberos on-premise supprime cette dépendance avec l’infrastructure que vous possédez déjà, fonctionne avec le MDM que vous avez déjà et laisse toutes les options futures ouvertes, y compris une migration d’annuaire.
Vous voulez une authentification qui ne répond qu’à vous ?
Hypergate Authenticator apporte le SSO Kerberos on-premise aux appareils Android et iOS managés : vos contrôleurs de domaine, votre CA, votre juridiction, n’importe quel MDM. Conçu et opéré depuis la Suisse.
