Vérifier une carte d'identité italienne (CIE) : guide complet 2026

En bref — La CIE 3.0 (Carta d'Identità Elettronica) est le seul titre d'identité national valide émis par l'Italie depuis 2016. Elle intègre une puce NFC (BAC + PACE, ICAO 9303) contenant photo biométrique haute résolution et certificats cryptographiques. Une vérification fiable exige trois couches : lecture NFC avec contrôles cryptographiques, PAD certifié ISO 30107-3 niveau 2 et face-match contre le DG2 — plus, si nécessaire, consultation de la base des documents volés du Ministère de l'Intérieur.

Publié le 24 mai 2026 · Temps de lecture : 8 minutes

La CIE 3.0 face aux anciens documents italiens

La CIE 3.0 est délivrée par les mairies (Comuni) sous mandat du Ministère de l'Intérieur (Ministero dell'Interno, impression par le Poligrafico e Zecca dello Stato). En 2026, la quasi-totalité des nouvelles émissions sont en CIE 3.0. Les anciennes cartes papier restent valides jusqu'à leur expiration mais offrent des garanties d'authenticité nettement inférieures.

Éléments visuels et sécurités physiques

La CIE 3.0 est un support polycarbonate gravé laser. Les éléments de sécurité à contrôler :

Recto :

• Photo couleur ICAO, intégrée dans le polycarbonate par gravure laser — toute altération est visible à la loupe.
• Perforations laser dans la zone photo (patron identifiable).
• Hologramme couvrant la photo et les données d'état civil.
• Prénom, nom, lieu et date de naissance, sexe, taille, nationalité, date d'expiration.
• Codice fiscale (16 caractères alphanumériques) — voir section dédiée.
• Encre OVI (Optically Variable Ink) sur les champs numériques — changement de couleur à l'inclinaison.

Verso :

• Numéro de carte (7 caractères alphanumériques).
• Adresse de résidence (optionnelle depuis 2021 sur demande du titulaire).
• MRZ TD1 (3 lignes × 30 caractères) — contient le numéro de carte, date de naissance, date d'expiration et codice fiscale encodé.
• Symbole puce NFC.
• Micro-impression, impression arc-en-ciel, fil de sécurité.
• Reliefs tactiles sur certains champs.

Les durées de validité sont de 10 ans (adultes ≥ 18 ans), 5 ans (3-18 ans) et 3 ans (moins de 3 ans).

Le codice fiscale : structure, calcul et rôle en KYC

Le codice fiscale est l'identifiant fiscal individuel de tout résident en Italie (nationaux et étrangers). Il figure en clair sur la CIE et est encodé dans la MRZ. Sa structure suit un algorithme strict :

Un codice fiscale incohérent avec les données biographiques de la carte est un signal de fraude direct. Ce calcul est automatisable et constitue un contrôle de premier niveau à faible coût : il élimine les falsifications où le fraudeur a copié un visuel mais modifié le nom ou la date de naissance.

Pour les ressortissants étrangers résidents en Italie, le code commune est remplacé par le code-pays (Z + 3 chiffres), ce qui permet de détecter une incohérence entre la nationalité déclarée et le code de naissance.

Que contient la puce NFC d'une CIE 3.0 ?

La puce NFC de la CIE 3.0 est conforme ICAO 9303 et contient les groupes de données (Data Groups) suivants :

• DG1 : données de la MRZ (nom, prénoms, date de naissance, sexe, nationalité, numéro de carte, date d'expiration, codice fiscale encodé).
• DG2 : photo biométrique haute résolution du titulaire. C'est cette image qui sera utilisée pour le face-match — sa qualité est supérieure à toute capture OCR ou scan.
• Certificat d'authentification : certificat X.509 émis par le Ministero dell'Interno permettant la Passive Authentication.
• Certificat de signature : pour les opérations de signature électronique.
• SOD (Security Object Document) : hachés cryptographiques de chaque DG, signés par l'autorité émettrice — garantit l'intégrité de l'ensemble des données.

La session NFC est protégée par BAC (Basic Access Control) ou PACE (Password Authenticated Connection Establishment), tous deux nécessitant la connaissance des données imprimées sur la carte (MRZ ou CAN). Sans le document physique, aucun dump valide n'est possible.

NFC + PAD + face-match : le seul triptyque complet

C'est la section centrale de ce guide. La fraude documentaire et l'usurpation d'identité sont deux menaces distinctes ; elles appellent deux réponses distinctes — et la troisième couche est souvent absente des pipelines KYC.

Couche 1 — Lecture NFC : la seule garantie d'authenticité à 100 %

L'OCR et les contrôles visuels — même exhaustifs — peuvent être mis en défaut par une falsification haute qualité (impression laser professionnelle, hologramme reproduit). La lecture NFC avec Passive Authentication (vérification de la signature SOD contre les certificats CSCA/DS publiés à l'ICAO PKD) garantit que les données n'ont pas été altérées depuis l'émission. L'Active Authentication prouve que la puce n'est pas un clone. BAC/PACE garantit qu'aucune lecture non autorisée n'a eu lieu sans accès physique au document.

Un document qui échoue à la Passive Authentication est soit altéré, soit contrefait.

Couche 2 — Le problème du document volé ou perdu

Un document NFC-valide peut appartenir à quelqu'un d'autre. Un citoyen dont la CIE a été volée n'a pas pu invalider la puce — elle reste cryptographiquement valide. Un fraudeur présentant ce document passera la couche 1 sans difficulté. Ce scénario — porteur vivant avec document d'autrui — est la faille principale des pipelines qui s'arrêtent à la lecture NFC.

Couche 3 — Selfie vidéo + PAD + face-match

La parade est la vérification biométrique avec détection de présentation :

1. La puce NFC extrait la photo DG2 du titulaire légitime enregistrée à l'émission.
2. Un selfie vidéo est capturé en temps réel dans le parcours.
3. Le moteur de liveness certifié ISO 30107-3 niveau 2 vérifie que la personne face à la caméra est bien physiquement présente — il rejette une photo imprimée, une vidéo rejouée, un masque en silicone ou un deepfake en temps réel.
4. Un face-match compare le visage capturé à la photo DG2 extraite de la puce, avec un score de similarité biométrique.

Ce triptyque — NFC + PAD + face-match — est le seul pipeline qui couvre simultanément la fraude documentaire (faux document) et l'usurpation d'identité (document authentique appartenant à un tiers). Chaque couche seule laisse une surface d'attaque ouverte.

Base de données documents volés/perdus : le Ministère de l'Intérieur italien

La troisième sécurité documentaire — au-delà du NFC et de la biométrie — est la consultation de la base des documents signalés perdus ou volés.

Le Ministère de l'Intérieur italien (Ministero dell'Interno) propose, via la Polizia di Stato, un service de consultation en ligne pour vérifier si une CIE a été déclarée volée ou perdue. Le point de départ public est poliziadistato.it. L'URL exacte du service peut évoluer ; il est recommandé de vérifier la page d'accès actuelle directement auprès du Ministère de l'Intérieur ou via un prestataire accrédité.

Pour les organisations nécessitant un accès en volume ou par API, la voie passe par des prestataires accrédités connectés au SAIA (Sistema Automatico di Identificazione Avanzato) du Ministère de l'Intérieur. Cette couche est particulièrement pertinente pour :

• Les plateformes de crédit ou de paiement traitant un volume élevé de clients italiens.
• Les opérateurs soumis à la LCB-FT qui doivent documenter la diligence raisonnable.
• Les cas où la CIE a été présentée dans les heures suivant un vol potentiel.

Cette consultation ne remplace pas la lecture NFC ni la biométrie — elle s'y ajoute comme quatrième filet de sécurité optionnel selon le niveau de risque de l'opération.

Architecture KYC recommandée pour la vérification CIE 3.0

Sept étapes, dans l'ordre :

1. Lecture NFC PACE+BAC — ouverture de session sécurisée, extraction des DG.
2. Passive Authentication (PA) — vérification de la signature SOD contre les certificats CSCA/DS du Ministero dell'Interno publiés à l'ICAO PKD.
3. Active Authentication (AA) — challenge/response anti-clone.
4. Contrôle MRZ — checksums ICAO + cohérence croisée DG1/données visuelles + validation du codice fiscale par calcul algorithmique (mismatch = fraude probable).
5. Selfie vidéo avec PAD certifié ISO 30107-3 niveau 2 — rejet photo, vidéo rejouée, deepfake, masque.
6. Face-match entre le visage capturé et la photo DG2 extraite de la puce.
7. Screening AML (PEP, sanctions UE/ONU/OFAC, presse adverse) sur les traits d'identité extraits + consultation optionnelle de la base documents volés du Ministero dell'Interno selon le niveau de risque.

Ce pipeline couvre la fraude documentaire (couches 1-4), l'usurpation d'identité (couches 5-6) et les risques LCB-FT (couche 7). Aucune couche seule n'est suffisante.

Cas d'usage : plateforme de crédit en ligne française accueillant des clients italiens

Scénario concret : une plateforme française de crédit à la consommation souhaite onboarder des résidents italiens à distance, dans le respect de la directive LCB-FT et des exigences de l'ACPR.

Parcours client (durée cible < 6 minutes) :

1. Le client sélectionne "Italie" et "Carte d'identité" dans le parcours.
2. L'app SDK (iOS, Android, React Native ou Flutter) guide le scan NFC de la CIE 3.0 — aucune intervention manuelle nécessaire si le CAN ou la MRZ est capturée automatiquement par OCR préalable.
3. PA + AA s'exécutent en arrière-plan ; toute anomalie cryptographique déclenche un rejet automatique avec motif journalisé.
4. Le codice fiscale extrait du DG1 est validé algorithmiquement contre les données biographiques.
5. Selfie vidéo : le moteur PAD ISO 30107-3 niveau 2 analyse la session ; en cas de doute (liveness score < seuil), renvoi vers un agent humain.
6. Face-match DG2 vs selfie : score de similarité biométrique, seuil paramétrable selon l'appétit au risque.
7. Screening AML automatique (listes PEP, sanctions).
8. Pour les dossiers à risque élevé : consultation optionnelle de la base documents volés du Ministero dell'Interno via un prestataire accrédité.

Ce flux est documentable pour la piste d'audit ACPR/AMF et satisfait les exigences du niveau substantiel eIDAS 2.

FAQ

La CIE 3.0 est-elle conforme eIDAS ? Oui. La CIE 3.0 est reconnue comme titre d'identité électronique de niveau substantiel eIDAS 2 au sein de l'UE. Elle figure dans le cadre d'interopérabilité eIDAS géré par la Commission européenne, ce qui lui confère une valeur juridique dans tous les États membres pour les services en ligne.

Peut-on vérifier une CIE sans lecture NFC ? Oui, par contrôle visuel + OCR + validation du codice fiscale. Ce niveau reste cependant insuffisant pour exclure une falsification haute qualité. Pour tout cas à risque moyen ou élevé, la lecture NFC est indispensable. Les CIE papier pré-2016 (sans puce) imposent un niveau de diligence renforcée ou un document alternatif.

Qu'est-ce que le codice fiscale et pourquoi est-il utile en KYC ? C'est l'identifiant fiscal individuel de 16 caractères encodant le nom, prénom, date et lieu de naissance selon un algorithme déterministe. Un mismatch entre le codice fiscale imprimé sur la CIE et les données biographiques est un signal de fraude direct, automatisable à coût quasi nul.

Comment fonctionne la Passive Authentication sur une CIE ? La puce contient un SOD (Security Object Document) — une liste de hachés cryptographiques des DG, signée par le certificat DS (Document Signer) du Ministero dell'Interno. La vérification consiste à recalculer les hachés des DG lus, à vérifier la signature DS contre le certificat CSCA publié à l'ICAO PKD, et à vérifier la chaîne de confiance CSCA → DS. Si tout correspond, les données sont authentiques.

Comment accéder à la base des documents CIE volés ou perdus ? Le Ministère de l'Intérieur italien propose une consultation via la Polizia di Stato (poliziadistato.it). Pour un accès en volume ou par API, un prestataire accrédité connecté au SAIA (Sistema Automatico di Identificazione Avanzato) est nécessaire. Les coordonnées exactes du service évoluent ; se rapprocher directement du Ministero dell'Interno ou d'un intégrateur spécialisé.

NFC + biométrie, c'est suffisant sans consultation de la base volés ? Pour la grande majorité des cas, oui. La combinaison NFC + PAD + face-match couvre la fraude documentaire et l'usurpation active. La consultation de la base volés est une couche supplémentaire pertinente pour les opérations à risque élevé (crédit, ouverture de compte, transactions de montant important) ou pour les secteurs soumis à une obligation de diligence renforcée.

Quelles SDK Datakeen prennent en charge la lecture NFC de la CIE 3.0 ? La CIE 3.0 (BAC + PACE, ICAO 9303) est prise en charge nativement par les SDK Datakeen sur Android, iOS, React Native et Flutter. La lecture NFC, les contrôles cryptographiques (PA, AA), l'extraction du DG2 et le face-match sont exposés en API unifiée — aucun traitement cryptographique à implémenter côté intégrateur.

Pour aller plus loin

• Vérification d'identité en temps réel — la brique NFC + biométrie chez Datakeen.
• Liveness detection et anti-spoofing — focus PAD ISO 30107-3.
• Vérifier une carte d'identité espagnole (DNI) — guide similaire pour le marché espagnol.
• Vérifier une carte d'identité belge — autre pays UE à forte NFC.
• Deepfakes et fraude d'identité — pourquoi le PAD niveau 2 est désormais indispensable.
• Comparatif logiciels KYC 2026 — évaluation des solutions du marché.