La carte perdue coûte plus cher que la carte
Un badge physique se facture entre 3 et 9 € selon la technologie. Ce n'est pas là que se trouve la dépense. Elle est dans la chaîne qui l'entoure : commander un lot, le stocker, l'encoder, le remettre en main propre, tracer la remise, rappeler celui qui n'a pas rendu le sien, ré-encoder après une perte, dépanner celui qui a oublié le sien à quarante kilomètres.
Sur un site de 250 personnes avec 15 % de turnover, nous mesurons couramment trois cents manipulations par an entre créations, remplacements et dépannages. À dix minutes chacune, cela représente environ six semaines de travail d'accueil dans l'année, invisibles dans tous les budgets.
L'identifiant mobile déplace cette charge. Le droit est envoyé par courriel ou par le portail interne, l'utilisateur l'installe lui-même, et la révocation est une case à décocher dans votre système d'accès. Reste ensuite à choisir la bonne technologie radio, ce qui n'est pas anodin.
NFC, Bluetooth, Wallet, UWB : à quoi sert quoi
Ces quatre mots désignent des choses différentes que les plaquettes commerciales mélangent volontiers. Voici ce que chacun apporte, et ce qu'il impose.
NFC — le geste du badge
Portée de quelques centimètres, on présente le téléphone comme une carte. L'expérience est identique à celle du badge, ce qui facilite l'adoption. Fonctionne sur Android depuis longtemps et sur iPhone via les portefeuilles numériques, Apple ayant ouvert l'accès à la puce sans passer par un appareil photo ni une application tierce.
Bluetooth Low Energy — la portée
Portée réglable de quelques centimètres à plusieurs mètres. C'est ce qui permet d'ouvrir une barrière de parking sans baisser la vitre, un tourniquet en marchant, ou une porte depuis un bouton dans l'application. Consomme peu, mais demande un réglage de portée soigné pour ne pas ouvrir la porte d'à côté.
Apple Wallet et Google Wallet
Le badge devient une carte dans le portefeuille du système, au même titre qu'un titre de transport. Avantages décisifs : il fonctionne écran verrouillé, sans lancer d'application, et reste disponible plusieurs heures après l'extinction de la batterie sur les iPhone récents. C'est ce que nous recommandons dès que le parc est mixte iOS et Android.
Ultra Wide Band
Mesure la distance avec une précision de l'ordre de dix centimètres et connaît la direction. L'intérêt est double : ouverture réellement mains libres quand on s'approche de la bonne porte, et immunité aux attaques par relais. Le parc de lecteurs compatibles reste limité et le surcoût sensible ; nous le réservons aux accès à fort trafic.
Le calcul honnête sur cinq ans
Hypothèse : 250 collaborateurs, 15 % de renouvellement annuel, un site principal et deux annexes en Île-de-France.
| Poste | Badge physique DESFire | Identifiant mobile | Commentaire |
|---|---|---|---|
| Support initial | 250 × 6 € = 1 500 € | Licence 250 × 2 à 4 €/an | Le mobile est un abonnement, pas un achat |
| Renouvellements et pertes | ~110 unités sur 5 ans, soit 700 € | 0 € | La perte devient une réémission gratuite |
| Temps d'accueil | ~300 manipulations/an | ~40 cas d'assistance/an | Le poste le plus lourd, jamais budgété |
| Encodeur et consommables | Encodeur de bureau, imprimante à cartes, rubans | Aucun | Compter 1 200 à 3 000 € d'équipement |
| Délai de mise à disposition | Le temps d'un déplacement | Moins de dix minutes, à distance | Décisif pour les intérimaires et les mutations |
| Lecteurs | Parc existant réutilisable | Lecteurs compatibles BLE/NFC à prévoir | Le vrai investissement du mobile |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
Notre conclusion de terrain : l'identifiant mobile n'est pas moins cher la première année, parce qu'il faut remplacer ou compléter les lecteurs. Il le devient à partir de la troisième, et il gagne immédiatement sur le délai et sur la révocation. Sur un site stable de trente personnes, le badge physique reste parfaitement rationnel. Sur un réseau de plusieurs implantations avec du personnel mobile, le mobile s'impose dès la première année.
Sécurité : ce qui protège réellement l'identifiant mobile
Un badge mobile n'est pas un numéro stocké dans une application. La clé cryptographique réside dans l'élément sécurisé du téléphone — le même composant qui protège les moyens de paiement — ou dans un environnement d'exécution isolé du système. Elle n'est jamais exposée à l'application, ni extractible par une sauvegarde, ni transférable d'un appareil à un autre. Cloner un identifiant mobile suppose de casser le matériel du téléphone, pas de copier un fichier.
L'échange avec le lecteur repose sur une authentification mutuelle et un défi aléatoire : le lecteur envoie une valeur imprévisible, le téléphone la signe avec sa clé, et la réponse n'est jamais réutilisable. Rejouer un enregistrement radio ne sert donc à rien, contrairement à ce qui reste possible sur un badge 125 kHz.
L'attaque par relais, seule menace sérieuse
Le principe consiste à placer deux complices avec deux terminaux : l'un près du lecteur, l'autre près de la victime, et à faire transiter l'échange radio entre les deux. L'authentification est valide, simplement le téléphone légitime est à deux cents mètres. Trois parades existent, et nous les combinons : la mesure du temps de vol, qui rejette tout échange dont la latence trahit un relais ; l'ultra wide band, qui vérifie la distance physique ; et pour les zones sensibles, l'exigence d'un déverrouillage du téléphone par code ou biométrie avant présentation.
Ce que le téléphone apporte en plus du badge
Un badge trouvé par terre fonctionne. Un téléphone verrouillé, non. Cette différence est souvent sous-estimée : le second facteur est déjà présent, gratuitement, dans la poche de l'utilisateur. Pour les accès véritablement critiques, cette combinaison rend inutile le recours à des dispositifs plus lourds — nous l'expliquons sur notre page consacrée à la biométrie et à son encadrement.
Comment on migre sans casser l'existant
Audit des lecteurs en place
Tous les lecteurs ne sont pas remplaçables d'un coup. Nous identifions ceux qui acceptent une carte d'extension Bluetooth, ceux qui se changent simplement parce que le percement et le câble sont compatibles, et ceux qui imposent une reprise de câblage.
Phase mixte assumée
Les lecteurs bi-technologie acceptent l'ancien badge et l'identifiant mobile simultanément. Personne n'est mis en difficulté, et les réticents gardent leur carte aussi longtemps que nécessaire.
Enrôlement par vagues et par service
Un lien d'invitation nominatif, émis automatiquement dès la création du compte lorsque le système est couplé à l'annuaire, une installation guidée en moins de deux minutes, un support présent à l'accueil la première semaine. Nous commençons par un service volontaire, dont le retour sert à ajuster le message aux suivants.
Règles de secours écrites
Téléphone oublié, batterie vide, appareil professionnel non compatible : un badge de dépannage à durée de vie de vingt-quatre heures est délivré à l'accueil. Cette règle doit exister avant le premier cas, pas après.
Bascule des accès sensibles en dernier
Salle serveurs, coffres, laboratoires : ces portes ne changent qu'une fois le reste stabilisé, avec exigence de déverrouillage du terminal et journalisation renforcée.
Questions fréquentes
Que se passe-t-il si un salarié n'a plus de batterie ?
Sur les iPhone récents, une réserve d'énergie maintient les cartes du portefeuille actives plusieurs heures après l'extinction de l'appareil : le badge continue de fonctionner. Sur Android, le comportement dépend du constructeur, et il faut prévoir le cas. Nous mettons donc systématiquement en place un badge de dépannage à l'accueil, valable vingt-quatre heures et automatiquement désactivé ensuite, ainsi qu'un code à saisir au clavier sur les portes principales pour les collaborateurs identifiés.
Un salarié peut-il refuser d'installer un badge sur son téléphone personnel ?
Oui, et ce refus doit être prévu. Vous ne pouvez pas imposer l'usage d'un équipement personnel pour accéder à votre site. En pratique, la question se règle simplement : on conserve un badge physique pour ceux qui le souhaitent, on fournit un identifiant mobile sur le terminal professionnel quand il existe, et on explique que l'application ne géolocalise pas l'utilisateur et n'accède à aucune donnée du téléphone. Dans nos déploiements, le taux d'adoption volontaire dépasse largement 80 % au bout de six mois.
Faut-il une connexion internet sur le téléphone pour ouvrir une porte ?
Non. Une fois l'identifiant installé, l'échange avec le lecteur se fait en local, par NFC ou Bluetooth, sans passer par le réseau. Le téléphone en mode avion ouvre la porte. La connexion n'est nécessaire qu'au moment de l'installation initiale et lors des mises à jour de droits : c'est un point important dans les parkings en sous-sol et les bâtiments à structure métallique, où la couverture mobile est souvent inexistante.
Peut-on mélanger badges physiques et smartphones sur la même installation ?
C'est le cas de figure normal, et nous ne recommandons jamais l'inverse. Les lecteurs récents lisent les deux supports, et le logiciel gère un porteur avec plusieurs identifiants rattachés à la même personne : un badge, un téléphone, parfois une télécommande de parking. La révocation agit sur la personne, donc sur tous ses supports d'un coup, ce qui est précisément ce que l'on cherche.
Que faire si un téléphone est volé ?
La révocation prend quelques secondes depuis la console, et l'identifiant devient inutilisable, même hors ligne, dès que le contrôleur a reçu la mise à jour — immédiatement sur une architecture connectée. Il faut retenir que le voleur devrait de toute façon déverrouiller le terminal pour en faire usage sur les portes sensibles. Comparé à un trousseau ou à un badge perdu dans un parking, dont vous ignorez souvent la disparition pendant plusieurs jours, le risque est nettement plus faible.