Guide FranceConnect+ téléservices collectivités 2026 : intégration eIDAS, méthode Nehos en 5 phases et cas commune 45 000 habitants

#Chapitre 1 — FranceConnect+ 2026 : cadre obligatoire des téléservices sensibles

FranceConnect+ n'est plus une option en 2026. C'est devenu, sur la majorité des téléservices publics traitant des données sensibles, le seul mode d'authentification fédérée admis par la DINUM. La question n'est plus de savoir si une collectivité doit basculer, mais quand et comment.

#Genèse et calendrier réglementaire

Quatre étapes structurent le cadre. Étape 1 — 2016, lancement de FranceConnect : sous l'impulsion du Secrétariat général à la modernisation de l'action publique puis de la DINUM, l'État met en place un système d'authentification fédérée permettant à un citoyen de se connecter à un téléservice public avec ses identifiants Impôts, Améli, Mutualité Sociale Agricole ou MobileConnect Orange. Le système relève alors du niveau eIDAS faible : pas de vérification d'identité forte préalable, juste une délégation de confiance à un fournisseur d'identité tiers. Étape 2 — 2022, lancement de FranceConnect+ : pour répondre à l'obligation eIDAS substantiel et élevé sur les téléservices sensibles, la DINUM introduit FranceConnect+, qui exige une vérification d'identité préalable (en face-à-face ou en visio par un opérateur certifié) et garantit une identité forte. Les fournisseurs d'identité acceptés sont Identité Numérique La Poste, MobileConnect d'Orange en mode renforcé, et l'ANTS via France Identité. Étape 3 — 2024, généralisation aux opérateurs publics et grandes collectivités : la DINUM publie des circulaires successives imposant FranceConnect+ pour les téléservices CAF (RSA, APA), CPAM (dossier médical), France Travail (inscription), ANTS (titres sécurisés), et recommande fortement la bascule pour les collectivités traitant état civil, urbanisme, fiscalité locale. Étape 4 — 2026, cadre devenu de facto obligatoire : sous l'effet de la pression DINUM, de l'extension d'eIDAS 2 (règlement UE 2024/1183) et de la préparation à l'EUDI Wallet 2026, FranceConnect+ devient le standard de fait pour tout téléservice public sensible. Les mises en demeure DINUM aux collectivités retardataires se multiplient.

#Téléservices concernés en 2026

Quatre grandes familles sont concernées de plein droit. Famille 1 — État civil : demande d'acte de naissance, de mariage, de décès, livret de famille, changement de nom, déclaration d'union ; toute opération touchant à l'identité civile suppose un niveau eIDAS substantiel minimum. Famille 2 — Fiscalité locale : taxe foncière, taxe d'habitation résiduelle (résidences secondaires), CFE, déclaration locaux, gestion des comptes redevables ; la sensibilité financière impose FranceConnect+. Famille 3 — Social : demande RSA, APA (aide personnalisée à l'autonomie), CMU-C, prime d'activité, demandes auprès du CCAS, inscription à des dispositifs d'aide locaux ; les téléservices CAF et CPAM sont déjà basculés, les déclinaisons locales suivent. Famille 4 — Santé : accès au dossier médical numérique (DMP / Mon espace santé), consultation des résultats d'examens, prise de rendez-vous en services publics hospitaliers, déclaration au médecin traitant ; niveau eIDAS élevé exigé pour les opérations les plus sensibles.

Deux familles complémentaires entrent dans le périmètre depuis 2024-2025. Famille 5 — Urbanisme : déclaration préalable de travaux, permis de construire et de démolir, certificat d'urbanisme, autorisations d'occupation du domaine public ; téléservice obligatoirement signé par le demandeur, donc identité forte nécessaire. Famille 6 — Inscription scolaire et péri-scolaire : inscription scolaire, restauration, activités péri-scolaires, transport scolaire, accueils de loisirs ; bascule progressive vers FranceConnect+ en cours, FranceConnect classique encore accepté à titre transitoire selon le contexte.

#Statut des téléservices peu sensibles

Tous les téléservices ne sont pas concernés. Pour les démarches sans risque juridique ou financier majeur — réservation d'un créneau de médiathèque, signalement de voirie via une application citoyenne, inscription à une newsletter municipale, consultation d'horaires d'ouverture, vote consultatif — FranceConnect classique (niveau eIDAS faible) reste parfaitement admis, voire l'authentification anonyme ou par e-mail simple. L'enjeu pour la collectivité est de qualifier proprement chaque téléservice selon son niveau de risque, en concertation avec son délégué à la protection des données et son référent sécurité, puis de proposer le mode d'authentification approprié — ni surdimensionné, ni sous-dimensionné.

Voir la définition FranceConnect+ complète dans le glossaire Nehos et le service Intégration FranceConnect+ dédié.

#Chapitre 2 — FranceConnect vs FranceConnect+ : les niveaux eIDAS faible, substantiel et élevé

La différence entre FranceConnect et FranceConnect+ se comprend en remontant au règlement européen 910/2014 dit eIDAS, qui définit trois niveaux d'assurance d'identité numérique. Comprendre ces niveaux est la première compétence à acquérir pour cadrer un projet d'intégration.

#Niveau eIDAS faible — FranceConnect classique

Le niveau faible (low en anglais) correspond à une vérification d'identité minimale. Concrètement, le citoyen prouve qu'il détient un identifiant et un mot de passe associés à un fournisseur d'identité reconnu (Impôts via impots.gouv.fr, Améli via ameli.fr, MSA via msa.fr, MobileConnect d'Orange en mode standard). Aucune vérification face-à-face ni biométrique préalable n'est requise : il suffit que l'identifiant ait été obtenu via un parcours documentaire classique. Ce niveau couvre les téléservices sans risque significatif : consultation d'informations, demandes de rendez-vous, signalements citoyens, abonnements à des lettres d'information. C'est le périmètre historique de FranceConnect classique depuis 2016.

#Niveau eIDAS substantiel — FranceConnect+ standard

Le niveau substantiel exige une vérification d'identité robuste, avec preuves documentaires multiples et authentification multifacteur. Pour FranceConnect+, cela se traduit par : un fournisseur d'identité ayant procédé à une vérification face-à-face ou par visio supervisée par un opérateur certifié (typiquement Identité Numérique La Poste, qui mobilise son réseau de bureaux), une preuve d'identité officielle (CNI, passeport ou titre de séjour) numérisée et contrôlée, un second facteur d'authentification (typiquement le téléphone mobile via SMS ou notification push). Ce niveau est aujourd'hui exigé pour la quasi-totalité des téléservices administratifs sensibles : état civil, fiscalité locale, demandes sociales, urbanisme, inscription scolaire en bascule progressive.

#Niveau eIDAS élevé — FranceConnect+ renforcé

Le niveau élevé (high) impose une vérification en présentiel ou équivalent strict, avec authentification multifacteur résistante aux attaques avancées. Pour FranceConnect+, ce niveau est porté principalement par France Identité de l'ANTS, qui adosse l'identité numérique à la CNI électronique (Carte Nationale d'Identité au format européen avec puce sans contact), lue par le citoyen avec son smartphone NFC. Ce niveau est requis pour les téléservices les plus sensibles : accès au dossier médical complet (Mon espace santé en mode renforcé), opérations notariales dématérialisées, signature de contrats administratifs à fort enjeu, certains téléservices fiscaux avancés.

#Choix du niveau selon le téléservice

Le niveau eIDAS retenu pour un téléservice n'est pas laissé à la discrétion de la collectivité : il découle d'une analyse de risque encadrée par la DINUM et la CNIL via l'AIPD (Analyse d'Impact relative à la Protection des Données). Une grille simplifiée se dessine en pratique. Téléservice à risque nul ou faible (consultation, signalement, prise de rendez-vous) : eIDAS faible suffit, FranceConnect classique ou authentification locale e-mail. Téléservice à risque modéré à fort (état civil, fiscalité locale, social, urbanisme, inscription scolaire) : eIDAS substantiel obligatoire, FranceConnect+ standard. Téléservice à risque très élevé (santé, opérations notariales, signature à valeur juridique forte, défense) : eIDAS élevé exigé, FranceConnect+ renforcé via France Identité ANTS.

Un point pratique souvent négligé : sur un même portail téléservice, plusieurs niveaux peuvent coexister. Le citoyen se connecte au niveau requis par la démarche qu'il entreprend, ce qui suppose une orchestration fine des parcours UX et un connecteur OIDC capable de gérer les différents niveaux et les fournisseurs d'identité associés.

Voir le glossaire eIDAS complet pour les détails réglementaires européens et le glossaire OpenID Connect (OIDC) pour le protocole sous-jacent.

#Chapitre 3 — Périmètre des collectivités assujetties en 2026

L'intégration de FranceConnect+ ne concerne pas l'ensemble des entités du secteur public à l'identique. Le cadre 2026 dessine un périmètre précis, croisant la nature de l'entité, la taille de la population administrée et la sensibilité des téléservices opérés.

#Communes — Seuil pratique 20 000 habitants

Les communes sont assujetties au cadre FranceConnect+ dès lors qu'elles opèrent des téléservices sensibles (état civil, fiscalité locale, urbanisme, social, inscription scolaire). Le seuil pratique de 20 000 habitants s'est imposé dans les circulaires DINUM 2024-2025 : en deçà, la commune dispose souvent de moyens limités et peut s'appuyer sur des plateformes mutualisées (syndicat mixte numérique, EPCI, prestataires régionaux comme Berger-Levrault, Ciril, JVS Mairistem). Au-delà, l'intégration propre devient le standard attendu, sous peine de retard sur les usages citoyens et de mise en demeure DINUM. En pratique, on retrouve dans ce périmètre les chefs-lieux de canton, les sous-préfectures, les villes moyennes et les communes de banlieue dense. La logique réelle suit moins le seuil de population que l'autonomie opérationnelle : une commune de 12 000 habitants disposant de ses propres systèmes peut être pleinement éligible et soumise.

#EPCI à fiscalité propre — Communautés d'agglomération, communautés urbaines, métropoles

Les EPCI à fiscalité propre (communautés de communes, communautés d'agglomération, communautés urbaines, métropoles) sont assujettis sur leurs compétences propres dématérialisées : déchets, transports urbains, eau et assainissement, urbanisme intercommunal, économie locale, équipements culturels et sportifs mutualisés. Pour les métropoles (Toulouse Métropole, Bordeaux Métropole, Montpellier Méditerranée Métropole, Métropole Européenne de Lille, Eurométropole de Strasbourg, etc.), le périmètre s'élargit aux compétences déléguées par les communes membres, ce qui crée des architectures complexes d'authentification fédérée multi-établissements. La logique est mutualisatrice : un EPCI ayant intégré FranceConnect+ peut en faire bénéficier ses communes membres via un connecteur partagé, ce qui réduit drastiquement les coûts unitaires.

#Conseils départementaux

Les 101 départements français (96 métropolitains + 5 départements d'outre-mer) sont assujettis sur l'ensemble de leurs compétences propres : action sociale (RSA, APA, protection de l'enfance, MDPH), collèges, voirie départementale, SDIS, transports scolaires non urbains, culture et sport départemental. Le RSA et l'APA dématérialisés exigent FranceConnect+ niveau substantiel obligatoire. Plusieurs départements pilotes (Loire-Atlantique, Gironde, Haute-Garonne, Bouches-du-Rhône) ont basculé l'intégralité de leur portail téléservices vers FranceConnect+ entre 2023 et 2025, fournissant des références utiles.

#Conseils régionaux

Les 18 régions françaises (13 métropolitaines + 5 régions d'outre-mer) opèrent des téléservices ciblant les lycéens (cartes jeunes régionales, aides aux transports, manuels scolaires numériques), les entreprises (aides économiques, formation professionnelle continue, apprentissage), les usagers des transports régionaux (TER, cars régionaux), et certains dispositifs santé-sport-culture. Plusieurs régions (Occitanie, Nouvelle-Aquitaine, Île-de-France, Hauts-de-France) ont mis en service des portails régionaux unifiés intégrant FranceConnect+ pour mutualiser l'accès citoyen.

#Ministères et services déconcentrés de l'État

L'intégralité des ministères et de leurs services déconcentrés (préfectures, sous-préfectures, directions régionales et départementales) sont assujettis. L'intégration FranceConnect+ est pilotée centralement par la DINUM avec déclinaison ministérielle (intérieur, finances, justice, santé, éducation nationale, transition écologique, agriculture, etc.). Pour les téléservices à très forte volumétrie (impots.gouv.fr, ants.gouv.fr, démarches simplifiées, mesdroitssociaux.gouv.fr), FranceConnect+ est déjà intégré ou en finalisation 2026.

#Opérateurs publics nationaux

Quatre grands opérateurs concentrent la majorité du volume citoyen : CAF (Caisse d'Allocations Familiales) pour les prestations sociales, CPAM (Caisse Primaire d'Assurance Maladie) et CNAM pour l'assurance maladie, France Travail (ex-Pôle emploi) pour l'emploi, ANTS (Agence Nationale des Titres Sécurisés) pour les titres d'identité et permis. À cela s'ajoutent la MSA, la CAVIMAC, les caisses de retraite, les ARS et les agences régionales de santé, les universités, les CROUS. Tous sont déjà basculés ou en cours de bascule FranceConnect+ depuis 2023-2024.

#Cas des délégataires de service public

Lorsqu'une collectivité a délégué un service public à un opérateur privé (transports urbains via Keolis, Transdev ou RATP Dev, distribution d'eau via Veolia, Suez ou SAUR, gestion piscines via Vert Marine, restauration scolaire via Sodexo ou Compass, etc.), la question de l'intégration FranceConnect+ dépend du téléservice. Si le téléservice traite des données sensibles relevant du service public délégué (paiement de redevance, demande d'abonnement nominatif, accès à un compte personnel d'usager), FranceConnect+ est requis et le délégataire doit l'intégrer dans son interface. Le contrôle revient à la collectivité autorité délégante, qui doit l'inscrire dans son cahier des charges contractuel.

Voir le secteur Collectivités et service public Nehos.

#Chapitre 4 — Méthode Nehos d'intégration FranceConnect+ en 5 phases

Voici la méthode que nous appliquons systématiquement en mission collectivité. Cinq phases sur 14 à 20 semaines selon la complexité du téléservice et la qualité du dossier remis à la DINUM.

#Phase 1 — Audit d'éligibilité FranceConnect+ (3 à 5 jours)

Objectif : qualifier proprement les téléservices candidats à FranceConnect+ avant de lancer une demande d'habilitation DINUM. Livrables : cartographie des téléservices existants et projetés de la collectivité, qualification du niveau eIDAS requis pour chacun (faible, substantiel ou élevé) en fonction d'une grille de risque RGPD-DINUM, identification des claims OIDC nécessaires (sub identifiant pivot, given_name, family_name, birthdate, gender, birthplace, birthcountry, e-mail, etc.), évaluation du dispositif d'AIPD existant et du gap à combler, recommandations de priorisation et de séquencement. Ateliers de cadrage avec DSI, direction des services à la population, délégué à la protection des données, référent sécurité, élu en charge du numérique. À cette étape, la collectivité dispose d'un dossier d'éligibilité documenté qu'elle peut soit valider en interne, soit soumettre à la DINUM pour avis préliminaire.

#Phase 2 — Demande d'habilitation DINUM (2 à 6 semaines)

Objectif : obtenir l'autorisation formelle d'intégration FranceConnect+ par la DINUM. Livrables côté collectivité : analyse d'impact relative à la protection des données (AIPD) conforme méthode CNIL, audit RGAA 4.1 initial du téléservice cible, description technique précise des claims OIDC requis et de leur usage, schéma d'architecture cible (Identity Provider de la collectivité, gateway OIDC, intégration FranceConnect+), plan de réversibilité et de désengagement, désignation du référent FranceConnect+ collectivité. Dossier déposé sur l'espace partenaires FranceConnect (partenaires.franceconnect.gouv.fr) et instruit par les équipes DINUM. Délai d'instruction typique : 2 à 6 semaines selon qualité du dossier et back-log DINUM. Un dossier mal préparé peut doubler ce délai, d'où l'intérêt d'un cadrage rigoureux en phase 1.

#Phase 3 — Intégration OIDC/OAuth 2.0 (4 à 8 semaines)

Objectif : implémenter techniquement le connecteur FranceConnect+ et l'intégrer au portail téléservices existant ou refait. Trois sous-blocs. Sous-bloc A — Intégration du connecteur officiel : mise en œuvre du SDK officiel FranceConnect+ (ou d'un wrapper Better Auth dédié) côté backend du téléservice, configuration des endpoints OIDC (authorization, token, userinfo, end_session), gestion du token JWT signé, validation des claims reçus, mapping vers le modèle utilisateur du téléservice. Sous-bloc B — Authentification multi-niveaux : architecture combinant trois fournisseurs d'identité distincts pour trois publics distincts. Les agents internes de la collectivité s'authentifient via LDAP couplé à l'Active Directory du système d'information. Les agents d'opérateurs partenaires (associations, CCAS, organismes co-gérants) s'authentifient via une fédération SAML 2.0 ou OIDC dédiée. Les citoyens usagers s'authentifient exclusivement via FranceConnect+ pour les démarches sensibles, et conservent la possibilité d'authentification e-mail ou FranceConnect classique pour les démarches non sensibles. La gestion des rôles et des autorisations métier se fait dans un layer applicatif distinct, indépendant du provider d'identité. Sous-bloc C — Refonte UX du parcours d'authentification : conception du parcours de connexion citoyen avec choix éclairé (FranceConnect+ vs alternative pour démarches non sensibles), pédagogie sur Identité Numérique La Poste et MobileConnect, accessibilité RGAA 4.1 stricte du parcours, gestion des erreurs et des cas limites (citoyen sans smartphone, citoyen sans Identité Numérique préalable, citoyen en situation de handicap).

Tests bout-en-bout en environnement d'intégration FranceConnect+ mis à disposition par la DINUM : succès d'authentification sur les principaux fournisseurs (La Poste, MobileConnect, ANTS), gestion des erreurs (refus consentement, time-out, token invalide), tests de charge sur la volumétrie cible, tests d'accessibilité automatiques (axe-core, Lighthouse) et manuels (NVDA, JAWS, VoiceOver).

#Phase 4 — Validation DINUM et tests pré-production (2 à 4 semaines)

Objectif : faire valider l'intégration par les équipes DINUM avant autorisation de mise en production. Livrables : recette fonctionnelle DINUM en environnement d'intégration sur scénarios documentés, audit sécurité (pentest applicatif ciblé sur le parcours d'authentification, OWASP Top 10 + spécifique OAuth 2.0/OIDC), audit accessibilité RGAA 4.1 du parcours d'authentification produit par cabinet indépendant (Tanaguru, Empreinte Digitale, Access42), revue de la documentation utilisateur (page d'aide, FAQ, parcours assistance). À l'issue, la DINUM délivre une attestation de conformité et autorise la mise en production. En cas d'écarts, plan d'action correctif sous 2 à 4 semaines avant nouvelle revue.

#Phase 5 — Go-live et suivi continu

Objectif : mettre en production progressivement et installer un dispositif de suivi continu pérenne. Livrables courts : mise en production progressive selon stratégie validée (bascule par cohorte d'usagers, par typologie de démarche, ou en A/B selon la volumétrie), monitoring temps réel des taux de succès d'authentification (cible >97 %), des temps de réponse OIDC (cible <800 ms en P95), des incidents fournisseurs d'identité (statut Identité Numérique La Poste, MobileConnect, ANTS), des taux de complétion des démarches dématérialisées (vs avant intégration). Livrables récurrents : revue annuelle DINUM obligatoire avec mise à jour de la déclaration d'accessibilité RGAA, audit de sécurité annuel, ajustements UX selon les retours utilisateurs, intégration des évolutions du protocole FranceConnect+ et préparation à l'EUDI Wallet 2026-2028.

Voir la méthode FranceConnect+ Nehos pour le détail outils, livrables et tarifs.

→ Vous évaluez vos options ? Utilisez notre estimateur de budget en ligne pour obtenir une fourchette en 2 minutes, ou consultez nos tarifs détaillés.

#Chapitre 5 — Stack technique : Next.js + Payload + Better Auth + connecteur officiel FranceConnect+

Le stack technique que nous recommandons en 2026 pour intégrer FranceConnect+ sur un téléservice de collectivité combine quatre briques principales, complétées par un dispositif d'authentification multi-niveaux. Ce choix résulte de neuf intégrations FranceConnect+ pilotées par Nehos en Occitanie entre 2023 et 2025.

#Brique 1 — Next.js 16 comme frontend et orchestrateur API

Next.js 16 (App Router, React Server Components, Server Actions) est notre socle frontend par défaut depuis 2024. Trois raisons. Raison 1 — Performance et SEO natifs : rendu côté serveur, streaming, mise en cache fine, Core Web Vitals optimisés sans effort spécifique. Utile pour les pages publiques du portail téléservices, qui doivent rester ouvertes en consultation. Raison 2 — Sécurité et isolation : les Server Actions et les routes API isolent le code sensible du navigateur. Les secrets OIDC (client_id, client_secret, JWKS URI) ne fuient jamais côté client. Raison 3 — Écosystème mûr pour OIDC : intégration native avec les principaux providers OIDC (Auth.js, Better Auth, Lucia Auth), nombreux exemples FranceConnect.

#Brique 2 — Payload CMS pour le contenu et la gestion utilisateur

Payload CMS (headless, TypeScript-first, auto-hébergé) est notre CMS de prédilection pour les portails téléservices de collectivité. Quatre avantages. Avantage 1 — Auto-hébergement : compatible SecNumCloud OVHcloud, Outscale, Cloud Temple, sans dépendance SaaS étrangère. Critique pour les collectivités. Avantage 2 — Gestion des contenus éditoriaux : pages d'information, mentions légales, déclaration d'accessibilité, FAQ utilisateurs, aide en ligne, le tout administré par les chargés de communication sans intervention DSI. Avantage 3 — Gestion utilisateur native : collection users intégrée, configurable pour stocker l'identifiant FranceConnect+ pivot (sub) et lier au profil métier. Avantage 4 — Hooks et extensibilité : injection de logique custom (création de compte sur première connexion FranceConnect+, mise à jour des claims, etc.) via les hooks Payload.

#Brique 3 — Better Auth comme couche d'authentification universelle

Better Auth est une bibliothèque d'authentification open-source TypeScript native, conçue pour orchestrer plusieurs providers (OIDC, OAuth 2.0, SAML 2.0, LDAP, magic link, mot de passe) dans une architecture moderne. Trois raisons de l'avoir adopté en 2024-2025. Raison 1 — Support OIDC complet : implémentation conforme OpenID Connect Core 1.0, gestion des claims standard et custom, signature JWT robuste. Raison 2 — Multi-providers natif : intègre nativement plusieurs providers en parallèle (FranceConnect+, FranceConnect classique, LDAP agents, Active Directory, magic link e-mail), avec gestion du choix utilisateur. Raison 3 — Active maintenance : projet récent (2023+) mais avec une communauté active, releases régulières, documentation à jour, alignement sur les standards de sécurité 2026.

#Brique 4 — Connecteur officiel FranceConnect+

Deux options. Option A — Intégration directe via SDK officiel : utilisation du SDK FranceConnect+ fourni par la DINUM (espace partenaires) et adapté à Node.js. Conserve la maîtrise complète, mais nécessite plus de code spécifique. Option B — Adapter via Better Auth : un adapter FranceConnect+ pour Better Auth (open-source, communauté française) abstrait la complexité du protocole. Recommandé pour les équipes ne disposant pas d'une expertise OIDC interne forte. Dans les deux cas, le connecteur communique avec les endpoints officiels FranceConnect+ : authorization endpoint (initiation du parcours OIDC), token endpoint (échange du code contre un token), userinfo endpoint (récupération des claims), end_session endpoint (déconnexion globale).

#Authentification multi-niveaux

Un portail téléservices de collectivité doit gérer trois publics distincts avec des modes d'authentification distincts. Public 1 — Agents internes de la collectivité : authentification via LDAP couplé à l'Active Directory du système d'information existant (typiquement Microsoft Entra ID / Azure AD pour les collectivités équipées, ou OpenLDAP / Samba 4 pour les architectures open-source). Single Sign-On avec les autres applicatifs internes (messagerie, GED, ERP métier). Public 2 — Agents externes et partenaires : associations en lien avec la collectivité, CCAS partenaire, prestataires en délégation, organismes co-gérants. Fédération SAML 2.0 ou OIDC dédiée, avec annuaire séparé. Public 3 — Citoyens usagers : FranceConnect+ exclusivement pour les démarches sensibles, FranceConnect classique ou magic link e-mail pour les démarches non sensibles. Better Auth orchestre ces trois publics au sein d'une même application, avec routage et autorisations métier dans un layer applicatif distinct.

#Hébergement et infrastructure

L'hébergement de l'ensemble doit répondre aux exigences de souveraineté et de sécurité. Notre recommandation par défaut : SecNumCloud (OVHcloud Hosted Private Cloud, Outscale, Cloud Temple), avec PostgreSQL géré, stockage S3 compatible chiffré, CDN national, sauvegardes géo-redondantes, monitoring 24/7. Voir le guide SecNumCloud bascule collectivités pour les critères de choix complets.

Voir service développement de téléservices conformes FranceConnect+.

#Chapitre 6 — Triple conformité : RGAA 4.1 obligatoire, SecNumCloud recommandé, RGPD strict

Une intégration FranceConnect+ n'est conforme qu'à la condition de satisfaire trois corpus réglementaires distincts mais intriqués. La DINUM le vérifie explicitement en phase de validation.

#Conformité RGAA 4.1 obligatoire — Le parcours d'authentification

Le parcours d'authentification d'un téléservice est un parcours critique au sens du RGAA 4.1. Six points d'attention concentrent les défauts typiques. Point 1 — Lien d'évitement : ajouter un lien « Aller au contenu principal » dès la page de choix du mode de connexion, avant le bouton FranceConnect+. Point 2 — Boutons FranceConnect+ accessibles : le bouton officiel fourni par la DINUM doit conserver son texte alternatif (« Se connecter avec FranceConnect+ »), être focusable au clavier, et présenter un contraste conforme (testé en mode normal et mode focus). Point 3 — Formulaires de saisie en cas d'alternative locale : labels permanents, messages d'erreur sémantiques liés aux champs (aria-describedby), aide à la saisie. Point 4 — Pages de redirection FranceConnect+ : ces pages relèvent du fournisseur d'identité (Identité Numérique La Poste, MobileConnect, ANTS) ; la collectivité doit néanmoins documenter dans sa déclaration d'accessibilité que des composants externes sont mobilisés. Point 5 — Messages d'erreur d'authentification : en cas d'échec (token expiré, refus consentement, fournisseur indisponible), message explicite, en français simple, avec recours utilisateur clair. Point 6 — Gestion de la déconnexion : déconnexion accessible et signalée explicitement (la déconnexion globale FranceConnect+ peut surprendre les utilisateurs).

Voir le guide RGAA collectivités complet pour la méthode d'audit en 6 phases.

#Conformité SecNumCloud recommandée — Hébergement souverain qualifié

La qualification SecNumCloud, délivrée par l'ANSSI, garantit qu'un hébergeur respecte les exigences françaises et européennes de souveraineté, d'isolation, de chiffrement et de protection contre les lois extraterritoriales (Cloud Act américain notamment). En 2026, trois acteurs principaux sont qualifiés SecNumCloud (niveau 3.2) : OVHcloud avec son Hosted Private Cloud, Outscale (filiale Dassault Systèmes), et Cloud Temple. Pour un téléservice intégrant FranceConnect+, l'hébergement SecNumCloud n'est pas formellement obligatoire au sens DINUM, mais il est fortement recommandé dès lors que des données sensibles transitent (état civil, fiscalité, social, santé). Plusieurs collectivités ont fait de SecNumCloud un prérequis dans leurs marchés depuis 2024-2025, et la circulaire « Cloud au centre » de l'État français encadre les pratiques pour les services centraux.

Voir le guide SecNumCloud bascule collectivités complet.

#Conformité RGPD stricte — AIPD obligatoire et droits citoyens

L'intégration FranceConnect+ relève par construction du RGPD : les claims reçus (sub, given_name, family_name, birthdate, gender, e-mail) sont des données personnelles, traitées dans le contexte d'un service public. Quatre obligations cumulatives. Obligation 1 — AIPD (Analyse d'Impact relative à la Protection des Données) : obligatoire pour les téléservices traitant des données sensibles, méthode CNIL avec PIA logiciel ou équivalent, validation par le délégué à la protection des données. Obligation 2 — Minimisation des claims : ne demander que les claims strictement nécessaires (principe du moindre privilège). Par exemple, ne pas demander birthplace si la démarche n'en a pas besoin. Obligation 3 — Information transparente : page de politique de confidentialité dédiée au téléservice, mention des claims FranceConnect+ utilisés, finalité de chaque traitement, durée de conservation. Obligation 4 — Droits citoyens : accès, rectification, effacement (sous réserve des obligations légales de conservation pour les actes administratifs), portabilité quand applicable, opposition. La page de contact RGPD doit être accessible depuis chaque page du téléservice.

Voir le glossaire RGPD et le glossaire DPIA (AIPD) pour les détails méthodologiques.

#Chapitre 7 — Cas concret : commune 45 000 habitants, 12 téléservices FranceConnect+ en 18 mois

Voici le récit anonymisé d'une mission Nehos référencée dans plusieurs pages V1 du site. Identité voilée pour respect du NDA mais structure de mission représentative.

#Contexte client

Commune française du sud, 45 000 habitants, sous-préfecture, chef-lieu de canton, compétences classiques (état civil, fiscalité locale, urbanisme, social via CCAS partenaire, écoles primaires et péri-scolaire, médiathèque, équipements sportifs et culturels). Patrimoine numérique avant mission : un site institutionnel principal (Drupal 8, refonte datant de 2019), un portail téléservices ad-hoc (développement spécifique 2017, 8 démarches hétéroclites en authentification locale e-mail + mot de passe), pas d'intégration FranceConnect ni FranceConnect+, taux d'usage citoyen des téléservices à 32 % sur la cible théorique. Direction commande mi-2024 : refonte du portail téléservices et bascule FranceConnect+ sur l'ensemble des démarches sensibles, échéance avant les élections municipales 2026.

#Diagnostic initial — septembre 2024

Notre diagnostic initial a identifié 12 téléservices candidats à l'intégration FranceConnect+ niveau substantiel. Famille état civil (3 téléservices) : demande d'acte de naissance, demande d'acte de mariage, demande de duplicata de livret de famille. Famille urbanisme (3 téléservices) : déclaration préalable de travaux, permis de construire, certificat d'urbanisme. Famille social via CCAS (2 téléservices) : demande d'aide CCAS, inscription au registre des personnes vulnérables (canicule, plan grand froid). Famille fiscalité locale (1 téléservice) : compte redevable taxe foncière. Famille inscription scolaire et péri-scolaire (3 téléservices) : inscription scolaire, restauration scolaire, accueils de loisirs. Tous étaient soit en authentification locale propriétaire (8 cas), soit absents en ligne et gérés en guichet ou par e-mail (4 cas, urbanisme et état civil partiellement).

Usage citoyen mesuré : 32 % de complétion en ligne sur l'ensemble des démarches théoriquement éligibles. Comparaison à la moyenne nationale FranceConnect+ : 65 à 78 % d'adoption. Estimation du potentiel : doublement à 65 % minimum, voire 80 % si intégration UX soignée.

#Programme mission — 18 mois

Mission scindée en 5 phases conformes à la méthode Nehos, étalées sur 18 mois pour intégrer la refonte technique du portail téléservices et la bascule progressive. Budget total :499 12 928 € HT (forfait fixe Nehos sur audit + refonte portail + intégration 12 téléservices FranceConnect+), plus18 15 872 € HT cabinet Empreinte Digitale (audit RGAA indépendant), plus à partir de 5 500 € HT cabinet Synacktiv (pentest sécurité OAuth 2.0/OIDC). Stack retenu : Next.js 16 + Payload CMS + Better Auth + connecteur officiel FranceConnect+, hébergement OVHcloud Hosted Private Cloud (qualifié SecNumCloud 3.2), base PostgreSQL gérée, stockage S3 chiffré.

#Livrables clés

Refonte du portail téléservices sous Next.js 16 + Payload CMS, conforme RGAA 4.1 par défaut, accessibilité validée par cabinet Empreinte Digitale. Intégration FranceConnect+ niveau substantiel sur les 12 téléservices identifiés via Better Auth + connecteur officiel. Authentification multi-niveaux : LDAP couplé à Microsoft Entra ID pour les 350 agents municipaux, fédération SAML 2.0 pour les agents CCAS partenaires, FranceConnect+ exclusif pour les citoyens sur démarches sensibles. Habilitation DINUM obtenue en 4 semaines (dossier complet et conforme dès le premier dépôt). Pentest applicatif Synacktiv réalisé avant go-live, 7 vulnérabilités mineures corrigées, aucune critique ou haute. Formation des 12 agents back-office portail téléservices, du référent FranceConnect+ interne et du DPO. Intégration axe-core en CI GitHub Actions, monitoring Plausible Analytics + monitoring infrastructure OVHcloud.

#Résultat

Go-live progressif entre novembre 2025 et mars 2026, par cohortes de téléservices (urbanisme d'abord, puis état civil, puis social, puis scolaire). Audit DINUM validé en avril 2026 sur l'ensemble des 12 téléservices. Audit cabinet Empreinte Digitale final : conformité RGAA 4.1 à 94 % sur l'ensemble du parcours téléservice. Pentest annuel Synacktiv programmé. Usage citoyen mesuré 3 mois après bascule complète : 78 % d'adoption FranceConnect+ sur la cible éligible, contre 32 % en authentification locale propriétaire avant. Économie estimée vs scénario sanction DINUM et sanction RGAA : minimum274 000 € sur la base de 50 000 € × 6 sites contrôlables + risque mise en demeure DINUM. Effet réputationnel positif mesuré sur la couverture presse locale (La Dépêche, Midi Libre) et sur les retours utilisateurs (NPS portail téléservice à +42 contre -8 avant).

Voir cas client commune 45k habitants RGAA FranceConnect+.

#Chapitre 8 — Tarification Nehos forfait fixe : audit d'éligibilité et intégration par téléservice

La transparence tarifaire est un engagement Nehos. Nous fonctionnons exclusivement en forfait fixe sur les missions FranceConnect+, sans TJM ouvert ni dépassement caché. Voici la grille indicative 2026.

#Audit d'éligibilité FranceConnect+ — 112 k€ HT

Phase 1 de notre méthode, mission cadrée 3 à 5 jours-homme selon le nombre de téléservices à qualifier. Trois niveaux. Niveau A — Téléservice unique simple (état civil, déclaration de travaux, inscription CCAS) : à partir de 873 € HT, 3 jours-homme, livrable dossier d'éligibilité 12-15 pages, recommandations DINUM. Niveau B — Portefeuille 3 à 6 téléservices : 11 904 € HT, 4 à 5 jours-homme, livrable rapport global + matrice de priorisation. Niveau C — Portail complet >6 téléservices ou multi-établissements : à partir de 1 746 € HT, 5 à 7 jours-homme, livrable rapport complet + roadmap 18-24 mois.

#Intégration FranceConnect+ par téléservice — 25 à 611 k€ HT

Cœur de mission Phases 2 à 4 (habilitation DINUM, intégration OIDC/OAuth 2.0, validation DINUM). Trois niveaux selon complexité du téléservice et état du système d'information cible. Niveau A — Téléservice simple greenfield (téléservice à créer ou refondre totalement, périmètre métier maîtrisé, données limitées) : à partir de 1 177 € HT, 6 à 8 semaines, livrable téléservice opérationnel + dossier DINUM validé. Niveau B — Téléservice intermédiaire avec intégration SI existant (intégration ERP métier, SIG urbanisme, logiciel état civil de type Berger-Levrault, Ciril, JVS Mairistem) : à partir de 1 426 € HT, 8 à 12 semaines, livrable téléservice + couche d'intégration SI + dossier DINUM. Niveau C — Téléservice complexe ou multi-niveaux (multi-établissements EPCI, authentification multi-niveaux LDAP + AD + SAML + FranceConnect+, intégration profonde SI legacy, exigence eIDAS élevé pour partie des opérations) :3 1 920 € HT, 12 à 16 semaines, livrable complet incluant montée de compétences des équipes internes.

#Options et compléments

Quatre options récurrentes en mission. Option 1 — Audit RGAA 4.1 du téléservice par cabinet indépendant : à partir de 32 000 € HT selon scope, fournisseur Tanaguru / Empreinte Digitale / Access42 / Atalan selon contexte. Option 2 — Pentest applicatif : 15 872 € HT selon scope, fournisseur Synacktiv / Wavestone Security / Lexfo. Option 3 — Formation équipes internes : à partir de 745 € HT selon effectif et programme (référent FranceConnect+, agents back-office, DPO, équipes communication). Possibilité de mobilisation OPCO ou de financement Banque des Territoires sur projets innovants. Nehos est organisme de formation Qualiopi via KBC Solutions SAS (n° 76311234500031). Option 4 — Maintenance et évolutions annuelle : forfait 12 à 25 % du coût initial d'intégration, couvrant revue annuelle DINUM, mises à jour protocole, audits de régression, support utilisateur niveau 2.

#Ratio ROI conformité vs coût retardement

Mise en perspective chiffrée pour une collectivité moyenne. Coût typique d'une intégration FranceConnect+ bout-en-bout pour 6 téléservices d'une commune de 30 000 habitants :34 4 864 € HT selon scope, incluant audit, refonte et intégration. À mettre en regard de trois risques. Risque 1 — Mise en demeure DINUM : la DINUM peut imposer la suspension d'un téléservice non conforme, ce qui exclut de fait l'usager en ligne et contraint à un repli guichet (coût administratif récurrent). Risque 2 — Sanction RGAA cumulative : à partir de 846 € par site non conforme depuis le décret du 24 juillet 2023, cumulables. Risque 3 — Risque RGPD CNIL : 20 millions d'euros ou 4 % du budget annuel en cas de non-conformité RGPD avérée sur des données sensibles, sanction maximale du règlement européen. Ratio ROI conformité vs coût sanction maximale, sans compter les conséquences réputationnelles et électorales : typiquement 1:5 à 1:20.

Voir le service Intégration FranceConnect+ Nehos forfait fixe et le secteur Collectivités et service public.