gouvernement

Construire un portefeuille d'identité numérique national, c'est architecturer un flux OAuth 2. 0 capable de monter à 100 000 requêtes par seconde sans jamais exposer une clé privée. Le mot gouvernement évoque rarement, de prime abord, des récits d'ingénierie. Pourtant, derrière chaque portail administratif, chaque déclaration fiscale automatisée et chaque échange de données entre ministères se cache un système distribué d'une complexité folle. Les services publics numériques ne sont pas simplement des sites internet vitrine; ils constituent un maillage d'API, de bus d'événements, de bases de données cloisonnées et de mécanismes d'authentification qui doivent fonctionner sous des contraintes de souveraineté, de disponibilité et de sécurité rarement rencontrées dans le secteur privé. Lorsque nous avons contribué, depuis notre poste d'ingénieurs en solutions cloud, au raccordement d'un organisme de protection sociale à l'écosystème FranceConnect, nous avons mesuré l'écart entre le discours institutionnel et la réalité technique. Un gouvernement moderne, qu'il s'agisse de l'État français ou d'une entité régionale, s'apparente à un intégrateur de plateformes. Il doit orchestrer des centaines de systèmes hétérogènes, hérités pour certains des années 1990, tout en garantissant une expérience fluide à des millions d'usagers. Cet article propose une plongée d'ingénieur dans les briques logicielles qui font tourner le gouvernement numérique, avec un regard critique sur ce qui fonctionne, ce qui coince, et ce que nous aurions aimé qu'on nous dise avant d'attaquer la ligne de code n°1.

Pourquoi le « gouvernement » est un problème d'ingénierie à part entière

Un gouvernement, au sens technologique, est un assemblage de domaines métier indépendants (fiscalité, santé, éducation, justice) qui doivent collaborer sans couplage fort. Chaque domaine possède son propre cycle de vie, son budget, et souvent son interprétation des normes de sécurité. Faire communiquer le système de la Direction Générale des Finances Publiques avec celui de l'Assurance Maladie, par exemple, exige une gouvernance d'API digne d'un opérateur de marketplace, avec versioning sémantique, quotas, et traçabilité de bout en bout. En tant qu'ingénieurs, nous traitons le gouvernement comme un système de systèmes, où la résilience globale dépend du maillon le plus faible. Pendant un audit de sécurité sur une passerelle interministérielle, nous avons constaté que l'absence d'un simple circuit breaker sur un service de vérification d'identité pouvait propager une défaillance en cascade jusqu'au portail principal, affectant des millions d'usagers. Concevoir pour le gouvernement, c'est accepter que la panne partielle soit inévitable et qu'il faille l'absorber par des patterns comme le bulkhead ou le graceful degradation, documentés dans le standard de résilience de la DSI de l'État. La couche de transport est un autre défi sous-estimé. Les réseaux inter-administratifs français reposent sur le Réseau Interministériel de l'État (RIE), un backbone sécurisé qui implémente une segmentation stricte. Déployer un cluster Kubernetes pour une application gouvernementale impose de jongler avec des règles de pare-feu, des proxies obligatoires et des tunnels IPSec, le tout sous le regard de l'ANSSI. La documentation du guide d'architecture de sécurité de l'ANSSI est une lecture indispensable avant même de provisionner le premier nœud.

Architecture orientée services: le nerf de l'interopérabilité administrative

Le rêve du « Dites-le nous une fois », où un citoyen ne fournit pas deux fois la même information à deux administrations différentes, repose entièrement sur une architecture orientée services (SOA) bien pensée. Chaque administration expose des API métier que d'autres peuvent consommer, sous réserve d'autorisation, and la plateforme api gouv. While fr catalogue aujourd'hui plus de 250 API publiques, allant de la vérification du quotient familial à l'accès aux données cadastrales. Pour un ingénieur, cette fédération est un exercice de conception de contrats d'interface robustes, versionnés et documentés avec OpenAPI 3. Cependant, la maturité API est très inégale. Nous avons rencontré des services qui retournent encore du XML non typé sans schéma, quand d'autres proposent une couverture GraphQL avec des champs de 200 colonnes. Uniformiser ces points d'accès dans un gouvernement composé de milliers de directions autonomes nécessite une cellule transverse dotée d'un pouvoir normatif. Le Référentiel Général d'Interopérabilité (RGI), dans sa version 2, impose désormais l'usage de JSON comme format obligatoire pour toute nouvelle API publique, ainsi que l'authentification par jeton JWT conforme au profil RFC 7519. Ces standards minimaux évitent que chaque ministère ne réinvente un protocole propriétaire. Pour déployer ces API à l'échelle, nous utilisons des API Gateways comme Tyk ou KrakenD, instrumentées avec des politiques de rate limiting par consomm.