Le 2 septembre 2026, World, la société d’identité numérique cofondée par le patron d’OpenAI Sam Altman, a publié en open source ProveKit, une boîte à outils de preuve à divulgation nulle censée éviter aux internautes d’envoyer leur passeport à chaque vérification en ligne. Dix jours plus tard, Revolut confirmait la fuite de données KYC de centaines de clients après une usurpation d’organisme gouvernemental. Le calendrier ne doit rien au hasard éditorial : il illustre une tension devenue centrale en Europe entre la multiplication des contrôles d’identité en ligne et l’incapacité chronique des entreprises à protéger les documents qu’elles collectent pour les réaliser.
ProveKit ne règle pas tout. Mais l’outil arrive au moment où Bruxelles pousse les 27 États membres à généraliser un portefeuille européen d’identité numérique d’ici la fin de l’année, et où le marché mondial de la vérification d’identité doit franchir les 15,78 milliards de dollars en 2026, selon Mordor Intelligence. Voici ce que change concrètement ce lancement, ce qu’il ne change pas, et pourquoi la fuite Revolut lui donne une résonance particulière.
Une fuite de plus, un lancement qui tombe à point nommé
La séquence de septembre 2026 résume à elle seule le problème que ProveKit cherche à résoudre. World publie son code le mardi 2 septembre. Dix jours plus tard, Revolut confirme avoir été victime d’une fraude sophistiquée : un tiers non autorisé a utilisé le domaine de messagerie authentique d’un organisme gouvernemental pour réclamer des informations sur des clients, selon Reuters. La néobanque britannique a précisé qu’un nombre limité mais non communiqué de comptes avait été touché, sans que ses systèmes ou les fonds des clients ne soient compromis.
Un porte-parole de Revolut a résumé l’incident ainsi : « Revolut a récemment identifié une escroquerie sophistiquée par usurpation d’identité externe, au cours de laquelle un tiers non autorisé a utilisé le domaine de messagerie d’un organisme gouvernemental légitime pour soumettre des demandes d’informations frauduleuses » (TheJournal.ie). Les données concernées incluent des copies de passeports, des selfies, des dates de naissance, des IBAN et l’historique complet des retraits et transactions de certains clients.
Ce n’est pas un cas isolé. C’est la troisième fuite documentée en un an impliquant des documents d’identité collectés pour prouver un fait aussi simple qu’un âge ou une identité, avant d’être stockés quelque part où ils finissent par fuiter.
ProveKit : l’outil open source que World vient de livrer
ProveKit est une boîte à outils de preuve à divulgation nulle (zero-knowledge) conçue pour générer des preuves d’identité directement sur l’appareil de l’utilisateur, sans transmettre le document original à un serveur. World le présente comme prêt pour la production : « Nous sommes ravis de présenter ProveKit, un outil de preuve à divulgation nulle prêt pour la production qui permet aux utilisateurs de générer leurs preuves directement sur leur propre appareil », écrit l’entreprise sur son blog technique.
Le principe : plutôt que d’envoyer une copie de passeport à une plateforme pour prouver qu’on a plus de 18 ans, le téléphone calcule localement une preuve cryptographique qui répond « oui » ou « non » à la question posée, sans révéler la date de naissance, le numéro de document ni aucune autre donnée. World précise que le code est entièrement public : « Le code source ouvert est disponible sur github.com/worldfnd/provekit, avec la documentation et les benchmarks sur provekit.org », selon la même publication.
Le dépôt GitHub existe en réalité depuis novembre 2024, avec une version taguée v1.0.0 publiée en mai 2026 et une v1.0.1 sortie le 3 septembre 2026, au lendemain de l’annonce publique. ProveKit tournait donc déjà en coulisses dans World ID depuis un accès anticipé ouvert en avril 2026, avant cette bascule en accès public sous licence MIT.
Comment une preuve zero-knowledge remplace l’envoi d’un document
Concrètement, ProveKit s’appuie sur Noir, un langage de description de circuits développé pour écrire des programmes de preuve à divulgation nulle sans maîtriser les mathématiques sous-jacentes. Un développeur définit une règle, par exemple « la date de naissance figurant dans ce document donne un âge supérieur à 18 ans », et Noir compile cette règle en un ensemble de contraintes R1CS (Rank-1 Constraint System), le format standard utilisé par la plupart des systèmes de preuve modernes.
Le téléphone ou le navigateur exécute ensuite ce circuit localement, avec le document réel comme donnée d’entrée privée, et produit une preuve cryptographique compacte. Cette preuve peut être vérifiée par n’importe quel tiers, un site de rencontre, une banque ou un opérateur de jeux d’argent en ligne, sans que celui-ci n’ait jamais accès au passeport, au selfie ou à la date de naissance exacte de l’utilisateur. C’est la même logique que celle qui sous-tend les portefeuilles d’identité numérique européens, mais appliquée ici à un outil que n’importe quel développeur peut intégrer dans son application, indépendamment de World ID.
ProveKit fournit des liaisons pour Rust, JavaScript, Swift, Kotlin et les environnements compatibles C, ce qui couvre l’essentiel des piles technologiques mobiles et web utilisées par les entreprises européennes de vérification d’identité.
Noir, WHIR, Spartan : l’anatomie cryptographique de ProveKit
Sous le capot, ProveKit combine trois briques distinctes. Noir sert de langage de circuit. WHIR, un schéma d’engagement fondé sur des fonctions de hachage, assure la partie polynomiale de la preuve. Spartan, un système de preuve développé initialement dans le monde académique, gère la génération et la vérification effective. World résume cette architecture ainsi, selon une synthèse reprise par CryptoDaily : « ProveKit combine Noir, WHIR et une preuve fondée sur Spartan, vise une sécurité post-quantique de 128 bits, ne nécessite aucune configuration de confiance et a été audité de façon indépendante par Least Authority. »
Le choix de WHIR, un schéma fondé sur du hachage plutôt que sur des courbes elliptiques classiques, explique la résistance annoncée aux ordinateurs quantiques. Contrairement à RSA ou à l’ECC, dont la sécurité repose sur des problèmes mathématiques que l’algorithme de Shor pourrait un jour casser, les fonctions de hachage utilisées par WHIR restent considérées comme robustes face au calcul quantique, à condition d’utiliser des tailles de sortie suffisantes. C’est la même famille d’approches que celle retenue par le NIST pour SLH-DSA, l’un des quatre standards de signature post-quantique publiés en 2024.
L’audit indépendant par Least Authority, cabinet connu dans l’écosystème cryptographique pour ses revues de code de protocoles blockchain et de systèmes de préservation de la vie privée, apporte une garantie que peu d’outils zero-knowledge open source proposent au moment de leur premier lancement public.
128 bits post-quantiques et zéro configuration de confiance
Deux détails techniques méritent d’être expliqués pour un public non spécialiste. D’abord, la « sécurité post-quantique de 128 bits » signifie que casser une preuve générée par ProveKit nécessiterait, même avec un ordinateur quantique suffisamment puissant, un nombre d’opérations comparable à 2 puissance 128. C’est le niveau de référence recommandé par les agences de cybersécurité occidentales, dont l’ANSSI dans ses recommandations sur la transition post-quantique, pour les systèmes destinés à rester sûrs au-delà de 2030.
Ensuite, l’absence de « configuration de confiance » (trusted setup) écarte un point faible classique des systèmes de preuve à divulgation nulle de première génération, comme certaines variantes de zk-SNARK, qui exigent une cérémonie cryptographique initiale où des participants génèrent des paramètres secrets qui doivent ensuite être détruits. Si cette cérémonie est compromise ou mal exécutée, l’ensemble du système de preuve perd sa garantie de sécurité. Des architectures comme WHIR ou STARK évitent ce problème par construction, au prix de preuves généralement plus volumineuses que celles produites par les schémas à configuration de confiance.
La fuite Revolut du 16 septembre 2026, en détail
Revenons sur l’incident qui donne tout son relief au lancement de ProveKit. Selon Reuters, Revolut a confirmé le week-end du 12 septembre 2026 que des informations sensibles avaient été communiquées à un tiers non autorisé après réception de demandes frauduleuses provenant d’un domaine de messagerie appartenant à un organisme gouvernemental légitime : « Revolut a confirmé samedi que des informations sensibles sur ses clients avaient été divulguées à un tiers non autorisé après avoir reçu des demandes frauduleuses provenant d’un domaine de messagerie appartenant à un organisme gouvernemental légitime. »
La méthode d’attaque n’a rien de sophistiqué sur le plan technique. Elle repose sur de l’ingénierie sociale et sur la confiance qu’une entreprise accorde par défaut à une adresse email provenant d’un domaine gouvernemental authentifié, plutôt que sur une faille cryptographique. C’est précisément ce type de scénario que les partisans du zero-knowledge mettent en avant : tant qu’un document d’identité complet transite entre systèmes et repose dans des bases de données centralisées, une seule erreur de vérification côté humain ou une seule requête frauduleuse convaincante suffit à exposer des passeports, des selfies et des IBAN.
Selon les éléments rapportés par Cryptonomist, Revolut a insisté sur le fait que ses systèmes et les fonds des clients n’ont pas été compromis, l’incident se limitant à des données de connaissance client (KYC) transmises via ce canal frauduleux.
Tea, Discord, Revolut : une liste de fuites qui s’allonge
Revolut n’est que le dernier nom d’une liste déjà longue. L’application de sécurité pour rencontres Tea demandait à ses nouvelles utilisatrices un selfie et une pièce d’identité gouvernementale à l’inscription. Un compartiment de stockage Firebase resté ouvert par erreur a exposé environ 13 000 selfies et photos de documents, qui se sont retrouvés diffusés sur 4chan, alors même que l’application affirmait supprimer ces fichiers après vérification.
Discord a connu un incident distinct : le piratage du compte d’un unique agent du support client a suffi à exposer environ 70 000 photos de pièces d’identité gouvernementales, selon les éléments communiqués par l’entreprise elle-même. Dans les deux cas, le schéma est identique à celui décrit par ProveKit dans sa documentation : un document est collecté pour répondre à une question binaire (êtes-vous majeur, êtes-vous bien la personne que vous prétendez être), puis stocké quelque part d’où il finit, tôt ou tard, par s’échapper.
| Incident | Cause | Données exposées | Ampleur |
|---|---|---|---|
| Tea (appli de sécurité pour rencontres) | Compartiment de stockage Firebase laissé ouvert | Selfies et photos de pièces d’identité | Environ 13 000 fichiers diffusés sur 4chan |
| Discord | Compte d’un agent du support client compromis | Photos de pièces d’identité gouvernementales | Environ 70 000 photos exposées |
| Revolut | Usurpation d’un domaine de messagerie gouvernemental authentifié | Passeports, selfies, IBAN, historiques de transactions | Nombre de comptes non divulgué par l’entreprise |
Ce tableau illustre une réalité simple : dans les trois cas, la faille ne vient pas d’un défaut cryptographique mais d’une décision de conserver, quelque part, une copie du document original. C’est exactement ce que ProveKit propose d’éliminer, en ne faisant jamais quitter l’appareil de l’utilisateur au document lui-même.
World ID : 18 millions d’humains vérifiés, et la confiance qui reste à gagner
ProveKit n’est pas un projet isolé. L’outil équipait déjà World ID, le système de vérification d’humanité de World, qui avait dépassé les 18 millions d’humains vérifiés par un scanner Orb en juillet 2026, selon une analyse d’investissement publiée par CoinStats. World ID reste toutefois un projet controversé en Europe : plusieurs autorités de protection des données ont enquêté par le passé sur la collecte de données biométriques par les Orbs, ces dispositifs qui scannent l’iris des utilisateurs pour générer un identifiant unique.
Ouvrir ProveKit en open source, indépendamment de l’écosystème World ID et de son matériel propriétaire, change la donne pour les développeurs qui veulent utiliser une brique de preuve zero-knowledge sans adopter l’ensemble du système de scan biométrique de World. C’est aussi un moyen pour World de répondre aux critiques sur l’opacité de ses systèmes, en rendant vérifiable par des tiers indépendants un composant central de son infrastructure, plutôt qu’en le gardant fermé.
Un marché de la vérification d’identité qui explose en Europe
Le lancement de ProveKit arrive alors que le marché mondial de la vérification d’identité doit atteindre 15,78 milliards de dollars en 2026, contre 14,19 milliards en 2025, selon les projections de Mordor Intelligence, avec une trajectoire vers 26,8 milliards de dollars d’ici 2031 (TCAC de 11,18 %). En Europe, la croissance est plus rapide encore : le cabinet Market Data Forecast évalue le marché régional à 4,84 milliards de dollars en 2026, contre 4,19 milliards en 2025, avec une projection à 15,33 milliards de dollars d’ici 2034, soit un taux de croissance annuel composé de 15,50 %.
| Zone | Taille du marché 2025 | Taille du marché 2026 | Projection long terme | TCAC |
|---|---|---|---|---|
| Monde (Mordor Intelligence) | 14,19 Md$ | 15,78 Md$ | 26,8 Md$ d’ici 2031 | 11,18 % |
| Europe (Market Data Forecast) | 4,19 Md$ | 4,84 Md$ | 15,33 Md$ d’ici 2034 | 15,50 % |
Cette accélération européenne n’est pas un hasard statistique. Elle coïncide avec l’obligation, fixée par le règlement eIDAS 2.0, de proposer un portefeuille européen d’identité numérique gratuit dans chacun des 27 États membres d’ici la fin de l’année 2026, et avec la généralisation attendue de l’application de vérification d’âge fondée sur le zero-knowledge. Chaque plateforme, chaque banque et chaque opérateur de jeux d’argent en ligne qui doit désormais prouver l’âge ou l’identité d’un utilisateur constitue un client potentiel pour ce type d’infrastructure, qu’elle passe par ProveKit, par le portefeuille européen ou par un fournisseur commercial classique.
Le calendrier réglementaire européen à connaître
La Commission européenne a construit, sur l’ensemble de l’année 2026, un calendrier serré autour de l’identité numérique. Le 29 avril 2026, elle a pressé les États membres de déployer une application de vérification d’âge, surnommée la « mini-wallet », pilotée par cinq pays entre 2025 et 2026 : l’Italie, la France, l’Espagne, le Danemark et la Grèce. Cette mini-wallet repose sur les mêmes spécifications techniques que le futur portefeuille européen d’identité numérique, ce qui garantit une compatibilité entre les deux systèmes.
| Date | Événement |
|---|---|
| 2 février 2026 | L’ANSSI publie son guide de transition post-quantique de TLS 1.3 |
| 29 avril 2026 | La Commission européenne presse les États membres de déployer la mini-wallet de vérification d’âge, pilotée en Italie, France, Espagne, Danemark et Grèce |
| 2 septembre 2026 | World ouvre ProveKit en open source sous licence MIT |
| 3 septembre 2026 | Le G7, présidé par l’ANSSI, publie son appel à l’action sur la transition post-quantique |
| 12-16 septembre 2026 | Revolut confirme la fuite de données KYC liée à une usurpation gouvernementale |
| 31 décembre 2026 | Échéance fixée par la Commission pour le portefeuille européen d’identité numérique dans les 27 États membres |
Ce calendrier montre à quel point la fenêtre 2026 concentre à la fois les obligations réglementaires et les incidents de sécurité qui en révèlent l’urgence. Un outil comme ProveKit, disponible gratuitement et indépendamment de tout fournisseur, arrive alors que les équipes techniques des banques, des plateformes sociales et des administrations cherchent des briques concrètes pour répondre à ces échéances sans reconstruire un système de preuve zero-knowledge depuis zéro.
ProveKit face au portefeuille européen d’identité numérique et aux autres approches ZK
ProveKit n’est pas la seule tentative de généraliser la preuve à divulgation nulle pour l’identité. Le portefeuille européen d’identité numérique, construit sous l’égide de la Commission, vise un objectif similaire : permettre à un utilisateur de prouver un fait (majorité, nationalité, statut) sans dévoiler l’intégralité de ses données, en s’appuyant lui aussi sur des mécanismes de preuve à divulgation nulle. La différence tient au mode de gouvernance. Le portefeuille européen est un projet réglementaire, porté par les États membres, avec des exigences de certification et d’interopérabilité strictes. ProveKit est un projet privé, ouvert au code, mais sans obligation légale d’adoption.
Sur le plan technique, les deux approches ne s’excluent pas nécessairement. Un développeur pourrait, en théorie, utiliser les primitives cryptographiques de ProveKit pour construire une application compatible avec les spécifications du portefeuille européen, dès lors que les schémas de preuve retenus par Bruxelles s’alignent avec des standards ouverts. La différence la plus concrète, aujourd’hui, reste la disponibilité immédiate : ProveKit est utilisable dès maintenant par n’importe quel développeur, alors que le portefeuille européen suit un calendrier de déploiement national étalé jusqu’à fin 2026, voire janvier 2027 pour une généralisation complète dans les 27 États membres.
Face à des solutions commerciales de vérification d’identité plus anciennes, fondées sur la transmission et le stockage centralisé de documents, l’avantage de ProveKit tient à l’architecture elle-même : il n’existe tout simplement pas de base de données centrale de passeports à pirater, puisque le document ne quitte jamais l’appareil de l’utilisateur.
Du KYC classique à la preuve à divulgation nulle : un bref historique
La vérification d’identité en ligne s’est longtemps construite sur un modèle simple : l’utilisateur envoie une photo de son document, l’entreprise la stocke pour se conformer à ses obligations réglementaires de connaissance client, et espère qu’aucune faille ne viendra jamais exposer cette base de données. Ce modèle a produit, année après année, une série de fuites embarrassantes bien avant Tea, Discord ou Revolut.
Les preuves à divulgation nulle existent en théorie cryptographique depuis les travaux fondateurs de Shafi Goldwasser, Silvio Micali et Charles Rackoff au milieu des années 1980, mais leur usage pratique pour l’identité en ligne ne s’est généralisé que récemment, avec l’essor des zk-SNARK et zk-STARK dans l’écosystème blockchain à partir de la fin des années 2010. L’application de cette technologie à la vérification d’âge et d’identité grand public, hors contexte crypto-actifs, ne date que de quelques années, portée notamment par les exigences réglementaires européennes sur la protection des mineurs en ligne et par la pression croissante sur la protection des données personnelles depuis l’entrée en vigueur du RGPD.
Les limites que ProveKit ne résout pas encore
ProveKit déplace le risque, il ne l’élimine pas totalement. La preuve générée sur l’appareil repose toujours sur la fiabilité du document scanné en amont : si un utilisateur numérise un faux passeport suffisamment convaincant, ProveKit produira une preuve valide d’une fausse affirmation, avec la même confiance qu’une vraie. La sécurité de l’ensemble dépend donc aussi de la qualité de la vérification initiale du document, une étape que ProveKit ne couvre pas directement.
Le calcul local sur smartphone pose également une question de performance sur les appareils plus anciens ou d’entrée de gamme, largement répandus dans certains pays européens, où générer une preuve zero-knowledge complexe peut consommer davantage de batterie et de temps qu’un simple envoi de photo. Enfin, l’adoption reste, à ce stade, dépendante de la volonté des plateformes d’intégrer ce type de brique plutôt que de continuer avec leurs pipelines KYC existants, souvent déjà amortis et contractualisés avec des prestataires tiers.
Cinq prédictions pour 2027
- L’échéance du 31 décembre 2026 pour le portefeuille européen d’identité numérique sera probablement respectée sur le papier par la majorité des 27 États membres, mais avec des niveaux d’intégration très inégaux entre pays pionniers comme la France ou l’Italie et les retardataires.
- D’autres fournisseurs d’identité numérique, commerciaux ou publics, annonceront des intégrations de schémas de preuve sans configuration de confiance similaires à WHIR, pour répondre à la fois aux exigences post-quantiques et aux inquiétudes sur le stockage centralisé de documents.
- Au moins une nouvelle fuite de données KYC touchant une entreprise européenne de taille significative sera rendue publique avant la fin de 2027, tant que la majorité des acteurs continueront de stocker des copies de documents plutôt que des preuves.
- La pression réglementaire du Cyber Resilience Act et des normes ICT prévues pour le 30 octobre 2026 poussera davantage d’éditeurs de logiciels à documenter précisément la manière dont ils traitent, ou évitent de traiter, les données d’identité brutes.
- L’usage de ProveKit ou d’outils comparables débordera du seul cadre de la vérification d’âge pour s’étendre à d’autres cas d’usage bancaires et financiers, notamment l’ouverture de compte à distance, où la pression concurrentielle sur les coûts de conformité KYC reste forte.
Questions fréquentes
Qu’est-ce que ProveKit ?
ProveKit est une boîte à outils open source publiée par World le 2 septembre 2026, qui permet de générer des preuves à divulgation nulle directement sur l’appareil d’un utilisateur, pour prouver un fait (âge, identité) sans transmettre le document original.
ProveKit est-il lié à World ID et aux Orbs de World ?
ProveKit équipait déjà World ID en accès anticipé depuis avril 2026, mais son ouverture en open source le rend utilisable indépendamment, par n’importe quel développeur, sans passer par un scanner Orb.
Qu’est-ce que la sécurité post-quantique de 128 bits ?
C’est un niveau de résistance cryptographique estimé suffisant face à des attaques menées avec un ordinateur quantique, correspondant approximativement à 2 puissance 128 opérations nécessaires pour casser une preuve.
La fuite Revolut a-t-elle un lien direct avec ProveKit ?
Non, il n’y a pas de lien opérationnel entre les deux entreprises. La coïncidence de calendrier illustre cependant le type de risque que les outils de preuve à divulgation nulle cherchent à réduire, à savoir le stockage centralisé de documents d’identité.
ProveKit remplace-t-il le portefeuille européen d’identité numérique ?
Non. Le portefeuille européen est un projet réglementaire porté par la Commission européenne et les États membres, avec des obligations de certification. ProveKit est un outil technique privé que des développeurs peuvent utiliser librement, avec ou sans lien avec les initiatives européennes.
Quelles technologies composent ProveKit ?
ProveKit combine Noir comme langage de circuit, WHIR comme schéma d’engagement fondé sur du hachage, et Spartan comme système de preuve, avec des intégrations disponibles pour Rust, JavaScript, Swift, Kotlin et les environnements compatibles C.
ProveKit a-t-il été audité indépendamment ?
Oui. World indique que ProveKit a été audité de façon indépendante par le cabinet Least Authority avant sa publication en open source.
Combien d’utilisateurs World ID a-t-il vérifiés ?
Selon une analyse publiée par CoinStats, World ID avait dépassé les 18 millions d’humains vérifiés par un scanner Orb en juillet 2026.
