France Identité & preuve de majorité : peut-on croire l’État sur parole ? Spoiler : NON. 🚩 On nous vend le "double anonymat" comme la solution miracle. La presse tech (cc @Frandroid) applaudit sans recul en parlant de "solution propre". J’ai creusé la tech et les certifs. Résultat : c’est une boîte noire validée sans aucun esprit critique. 🧵 1️⃣ Le mirage de l’Open Source Il faut arrêter de confondre "documentation publique" et "code ouvert". À date, le code critique du backend (le SGIN, celui qui tourne sur les serveurs de l'État et génère la preuve) n'est pas public. Sur GitHub, on trouve des morceaux de l'appli mobile ou des SDK, pas le moteur qui tourne réellement en prod. Sans Reproducible Builds et sans accès au code serveur, impossible de vérifier l'absence de télémétrie. Trust needs transparency. There is none. 2️⃣ Des auditeurs... juges et parties ? On nous présente l’ANSSI et la CNIL comme des garanties absolues. Soyons sérieux deux minutes : ▪️ L’ANSSI : Les rapports CSPN-2023/21 et 22 sont explicites : ils portent sur l'appli mobile mais excluent le Backend (SGIN) du périmètre. Pire, la décision de qualification de 2025 (2025_792_np) s'appuie sur un rapport d'évaluation spécifique au serveur (RTC-Backend France Identité-DR-1.00) qui est non public. On demande aux citoyens d'auditer un mur de briques pendant que l'État se délivre ses propres visas en coulisses. ▪️ La CNIL : Sa délibération 2024-067 valide une architecture "sur papier", pas le code qui tourne sur les serveurs à l'instant T. 3️⃣ Le problème des logs (méta-données) L'article affirme : "L’État ne sait pas ce que vous visitez". Faux. L’État déclare ne pas le savoir. Nuance vitale. Techniquement, si le serveur conserve un simple timestamp, l’anonymat saute par corrélation : 🕒 Log État : Token généré pour User X à 22h42:12 🕒 Log site : Connexion avec Token à 22h42:12 👉 Match. L'identité est levée. 💥 La sécurité, ça se prouve, ça ne se déclare pas. 4️⃣ Le journalisme n'est pas un SAV Voir des articles titrer "Une solution propre" en recopiant le communiqué de presse, c’est gênant pour la déontologie. Un journaliste tech devrait exiger : le code source du backend SGIN, un audit sur l'effacement des logs en RAM et des garanties contre la corrélation temporelle. La presse doit exposer les défaillances pour forcer l’État à améliorer sa copie. En résumé : l’archi est peut-être robuste sur le papier, mais sans transparence totale, c'est un acte de foi. En sécu, c'est Zero Trust. Ici, on nous demande du Blind Trust. Posez les bonnes questions. C'est votre job. Alors @Frandroid, on corrige l'article ? Les sources en second tweet. ⬇️