Arrêté du 5 février 2026 approuvant le référentiel fixant les critères applicables en vue de la délivrance de l'autorisation d'utilisation de la carte Vitale sous forme d'application mobile comme moyen d'identification à distance des utilisateurs

En application des dispositions des articles L. 1470-3 et L. 1470-5 du code de la santé publique, le référentiel relatif à l'utilisation de l'application carte vitale pour authentifier à distance les utilisateurs annexé au présent arrêté est approuvé.
Il peut être consulté sur le site internet du groupement d'intérêt public mentionné à l'article L. 1111-24 du code de la santé publique.

Le présent arrêté entre en vigueur à compter de sa publication.

Le présent arrêté sera publié au Journal officiel de la République française.

ANNEXE
APPLI CARTE VITALE
RÉFÉRENTIEL D'AUTORISATION DE L'UTILISATION DE L'APPLICATION CARTE VITALE (« APPLI CARTE VITALE ») POUR AUTHENTIFIER À DISTANCE LES UTILISATEURS

Ce document a été élaboré par le GIE SESAM-Vitale.
Conformément à l'article L. 122-4 du code de la propriété intellectuelle, toute représentation ou reproduction (intégrale ou partielle) du présent ouvrage, quel que soit le support utilisé, doit être soumise à l'accord préalable écrit de son auteur.
Il en est de même pour sa traduction, sa transformation, son adaptation ou son arrangement, quel que soit le procédé utilisé.
Tout manquement à ces obligations constituerait un délit de contrefaçon, au sens des articles L. 335-2 et suivants du code de la propriété intellectuelle, susceptible d'entraîner des sanctions pour l'auteur du délit.

Table des matières

1. Objet et destinataires du référentiel
2. Appli carte Vitale
2.1. Qu'est-ce que l'appli carte Vitale ?
2.2. Qu'est-ce qu'un fournisseur d'identité ?
2.3. Qu'est-ce qu'un fournisseur de services ?
3. Documentations et liens utiles
4. Référentiel appli carte Vitale
4.1. Portée des exigences et recommandations du référentiel
4.2. Eligibilité à l'appli carte Vitale et procédure d'autorisation
4.3. Modalités de raccordement technique
4.4. Environnement de test
4.5. Blocage des mésusages
4.6. Gestion et fusion des comptes avec d'autres moyens d'identification électronique
4.7. Sécurité
4.7.1 Sécurité opérationnelle
4.7.2 Sécurité du système d'information
4.8. Identité visuelle
4.9. Ethique
5. Glossaire

1. Objet et destinataires du référentiel

Le référentiel d'autorisation de l'appli carte Vitale décrit les exigences à respecter et apporte des préconisations pour un fournisseur de services souhaitant implémenter l'authentification à distance de l'utilisateur de l'appli carte Vitale.
Dans ce référentiel des documents et standards à respecter sont mentionnés.
Les fournisseurs de services souhaitant implémenter l'authentification à distance de l'utilisateur de l'appli carte Vitale doivent s'appuyer sur la dernière version publiée du référentiel.
Il est à noter que la numérotation des exigences est faite de manière à garantir l'absence de renumérotation. Ainsi, en cas de publication d'une nouvelle version du référentiel et de l'ajout de nouvelles exigences, ces dernières seront numérotées de manière incrémentale par rapport aux exigences préexistantes

2. Appli carte Vitale
2.1. Qu'est-ce que l'appli carte Vitale ?

L'appli carte Vitale est une solution numérique développée par le GIE SESAM-Vitale pour le compte des organismes d'assurance maladie obligatoire. Elle constitue une alternative numérique à la carte Vitale physique sous la forme d'une application pour smartphone, disponible sous Android et iOS, facile d'accès et simple d'utilisation. Il s'agit de proposer aux assurés une solution dématérialisée et sécurisée d'identification et d'authentification numérique.
L'application bénéficie d'une sécurité renforcée grâce à une double authentification, garantissant que seul l'utilisateur autorisé peut y accéder. Elle permet d'assurer l'identification électronique de ses détenteurs sur des services accessibles sur internet.
C'est ce cas d'usage de fournisseur d'identité des utilisateurs ayant activé leur appli carte Vitale qui fait l'objet de ce référentiel.

2.2. Qu'est-ce qu'un fournisseur d'identité ?

Le fournisseur d'identité appli carte Vitale est un service qui authentifie les utilisateurs grâce à leur appli carte Vitale et délivre des jetons conformes au standard OpenId Connect pour sécuriser l'accès au service numérique du fournisseur de services.

2.3. Qu'est-ce qu'un fournisseur de services ?

Le fournisseur de services désigne toute personne morale immatriculée dans l'Union européenne, fournissant un service numérique à des utilisateurs, et autorisé à utiliser l'appli carte Vitale conformément à la Convention d'autorisation de l'appli carte Vitale.

3. Documentations et liens utiles

4. Référentiel appli carte Vitale

4.1. Portée des exigences et recommandations du référentiel

Les exigences et recommandations ci-après, définies par le GIE SESAM-Vitale, sont à respecter par les différents acteurs visés dans le présent référentiel.
Le GIE SESAM-Vitale pourra étudier à titre d'exception la levée de certaines de ces exigences dans le cadre de demandes et de situations justifiées.

4.2. Eligibilité à l'appli carte Vitale et procédure d'autorisation

Pour intégrer l'appli carte Vitale, les fournisseurs de services doivent satisfaire plusieurs prérequis, détaillés ci-après.

4.3. Modalités de raccordement technique

4.4. Environnement de test

4.5. Blocage des mésusages

4.6. Gestion et fusion des comptes avec d'autres moyens d'identification électronique

Lorsque le fournisseur de services dispose de moyens d'identification électronique préexistants et/ou complémentaires à l'appli carte Vitale, il les maintient s'ils sont conformes au référentiel d'identification électronique de la PGSSI-S.

4.7. Sécurité
4.7.1. Sécurité opérationnelle

Les paramètres de sécurité de la protection des flux entre le fournisseur de services et le fournisseur d'identité de l'appli carte Vitale respectent les préconisations de l'ANSSI.
Dans ce référentiel, un « client lourd » désigne une application native fournie par un fournisseur de services, fonctionnant indépendamment du navigateur internet installé sur l'appareil de l'utilisateur. Il peut s'agir, par exemple, d'applications installées localement sur des postes de travail ou de logiciels mobiles déployés via les magasins d'applications des systèmes d'exploitation.
Dans le cadre de l'OpenId Connect, le client lourd joue un rôle spécifique en tant qu'interface proposée par le fournisseur de services pour accéder aux fonctionnalités qu'il offre. Cependant, pour la gestion des cinématiques OpenId Connect (telles que le « Authorization Code Flow »), ces clients doivent s'appuyer sur un navigateur web.
Hors l'intégration d'un composant de navigation web interne tel que les « webviews » dans une application client lourd, les cas suivants soulèvent des problématiques de sécurité, notamment :

- l'absence de visibilité sur la maintenance des noyaux logiciels des composants intégrés ;
- la difficulté de déployer rapidement une mise à jour de sécurité sur l'ensemble du parc des clients lourds concernés en cas de vulnérabilité détectée ;
- le risque qu'un client lourd non maintenu ou non mis à jour reste opérationnel, augmentant l'exposition aux risques de sécurité.

En revanche, l'utilisation de navigateurs web externes grand public est privilégiée pour les raisons suivantes :

- une visibilité accrue sur la maintenance grâce à des publications officielles et publiques ;
- des mises à jour automatiques configurées par défaut sur la majorité des appareils ;
- une politique d'obsolescence des versions anciennes, documentée et appliquée par les éditeurs.

Une tolérance peut être envisagée pour les applications hybrides intégrant un composant de navigation web respectant les standards de sécurité et de maintenance des navigateurs grand public.

Le GIE SESAM-Vitale se réserve le droit de faire évoluer les modalités techniques du fournisseur d'identité appli carte Vitale, notamment en matière de sécurité pour tenir compte des préconisations de la PGSSI-S (2).

Le GIE SESAM-Vitale communiquera directement auprès des contacts fournis lors du raccordement, les informations utiles en cas de modifications critiques de ces préconisations. Par ailleurs, en cas d'incident de sécurité sur son service, en particulier si cet incident a un lien avec l'appli carte Vitale, le fournisseur de services doit le signaler au GIE SESAM-Vitale.

4.7.2 Sécurité du système d'information

4.8. Identité visuelle

L'appli carte Vitale peut être proposée à côté d'autres moyens d'identification. Dans ce cas, il est obligatoire d'intégrer les boutons de l'appli carte Vitale au même niveau que les autres méthodes de connexions proposées par le service : dans une même zone graphique, tous les moyens d'identification électronique doivent être visibles et mis sur un pied d'égalité.

4.9. Ethique

5. Glossaire

(1) On appelle informations de raccordement les éléments nécessaires à l'authentification du service auprès du fournisseur d'identité appli carte Vitale, par exemple le client Id et le client secret, ou les clefs privées des certificats X509 d'authentification.
(2) https://esante.gouv.fr/offres-services/pgssi-s/espace-de-publication
(3) Il peut aussi bien s'agir d'une analyse de risques réalisée sur une norme établie conforme ISO 27005/2022 (ex : EBIOS RM) que d'une analyse de risques ad hoc.
(4) Les audits peuvent être réalisés en interne si le fournisseur de services dispose de ressources avec l'expertise sécurité requise (auditeurs expérimentés) ou faire l'objet d'une prestation externe, qualifiée ou non, par un prestataire reconnu sur le marché.
(5) Des processus sont mis en œuvre par le fournisseur du service afin de réduire l'impact environnemental du recours à l'appli carte Vitale. Il conduit, par exemple, des actions de réduction des émissions de gaz à effet de serre et d'adaptation au changement climatique.