Brevet FR3121764A1 — publié le 20221014

Méthode de contrôle d’accès à un bien ou service offert par une plateforme depuis un terminal d’accès caractérisée en ce qu’elle comprend : une étape de transmission d’une requête d’accès depuis le terminal d’accès à destination de la plateforme; une étape de transmission, depuis la plateforme à destination du terminal d’accès, d’un jeton comprenant une information permettant l’identification par la plateforme de la requête d’accès; une étape de transmission du jeton depuis le terminal d’accès à destination d’un terminal d’authentification; une étape de transmission du jeton et d’un identifiant de l’utilisateur depuis le terminal d’authentification à destination d’un serveur d’authentification ; une étape d’authentification de l’utilisateur par le terminal d’authentification ; en cas de succès de l’authentification : une étape de transmission de l’information permettant l’identification par la plateforme de la requête d’accès et de l’identité authentifiée de l’utilisateur depuis le serveur d’authentification; une étape de libération, par la plateforme, de l’accès, depuis le terminal d’accès au bien ou service requis par la requête d’accès. [Fig. 3] Méthode de contrôle d’accès à un bien ou service distribué par un réseau de communication de données La présente invention concerne le domaine de la distribution de biens et services par un réseau de communication de données. L’invention concerne plus particulièrement le contrôle d’accès au service ou au bien distribué. La distribution de biens et services via un réseau de communication de données, typiquement le réseau Internet, est en plein développement. De plus en plus de biens et services sont ainsi proposés à l’utilisateur. Plusieurs modèles de commercialisation sont proposés, achat, location, achat de droits d’accès ou autres. Ces biens et services sont typiquement proposés par un commerçant via une plateforme de service, souvent appelée plateforme de commerce en ligne, connectée au réseau de communication de données et rendue accessible aux utilisateurs via ce réseau. L’utilisateur utilise un terminal également connecté au réseau de communication de données lui permettant de se connecter et d’interagir avec la plateforme du commerçant. Le terminal utilisé par l’utilisateur est typiquement un ordinateur personnel, une tablette numérique, un téléphone intelligent ( smartphone en anglais) ou tout autre dispositif de traitement de l’information pouvant être connecté au réseau de communication de données. L’utilisateur souhaitant accéder à un bien ou service proposé par une plateforme de commerce en ligne doit typiquement s’enregistrer auprès de la plateforme. Cet enregistrement consiste typiquement à ouvrir un compte lié à l’utilisateur auprès de la plateforme et en l’attribution par la plateforme de crédit d’authentification à l’utilisateur pour lui permettre ensuite de s’authentifier auprès de la plateforme. Une première famille de méthodes de contrôle d’accès consiste à chiffrer le contenu proposé et de fournir à l’utilisateur un dispositif matériel pour le déchiffrement. Ce dispositif matériel, typiquement appelé décodeur, est associé à un second dispositif matériel contenant les clés de déchiffrement et les crédits d’authentification de l’utilisateur. Ce second dispositif matériel est typiquement une carte à puce. L’accès au service requiert l’utilisation du décodeur et de la carte à puce associée. Cette première famille offre un bon niveau de contrôle de la légitimité des accès au service par l’utilisateur. Toutefois, elle limite l’accès au domicile de l’utilisateur où est installé le décodeur. Cette contrainte est de plus en plus inadaptée à un contexte où l’utilisateur dispose typiquement de plusieurs terminaux permettant l’accès au service, ces terminaux étant de plus en plus mobiles. L’utilisateur s’attend aujourd’hui à pouvoir accéder à ses services de manière plus libre indépendamment du lieu d’accès. Une deuxième famille de méthodes de contrôle d’accès permet à l’utilisateur d’utiliser tout type de terminal connecté au réseau de communication de données. La seule contrainte imposée consiste à demander à l’utilisateur de s’authentifier depuis le terminal lorsqu’il souhaite accéder au service. Cette authentification repose alors typiquement sur l’entrée du mot de passe associé au compte de l’utilisateur. Cette famille de méthodes de contrôle d’accès offre la flexibilité attendue au niveau de la liberté offerte à l’utilisateur d’accéder depuis n’importe quel terminal connecté au réseau et depuis tout lieu. Elle se heurte toutefois à un niveau de contrôle inférieur. En particulier, il n’est pas possible de vérifier que les crédits d’authentification sont bien entrés par l’utilisateur légitime. Les commerçants utilisant ces méthodes de contrôle d’accès ont le plus grand mal à limiter le partage d’identifiants entre utilisateurs et les accès frauduleux en résultant. La présente invention a pour but de résoudre les inconvénients précités en proposant une méthode de contrôle d’accès permettant d’offrir une souplesse d’accès quant au terminal d’accès et sa localisation tout en offrant un meilleur contrôle de la légitimité de l’accès. Elle repose sur la distinction apportée entre le terminal d’accès au service et le terminal d’authentification. Elle repose également sur un jeton émis par la plateforme en réponse à une requête d’accès à un service. Ce jeton est rendu accessible depuis le terminal d’accès au service, il est alors transmis au terminal d’authentification et renvoyé à la plateforme avec le résultat de l’authentification. Il est alors possible d’offrir une grande souplesse au niveau du terminal d’accès utilisé tout en bénéficiant d’une sécurité forte apportée par le terminal d’authentification. Le jeton permet de faire le lien entre les deux. L’invention concerne une méthode de contrôle d’accès à un bien ou service offert par une plateforme (102) depuis un terminal d’accès (100) caractérisée en ce qu’elle comprend : une étape de transmission d’une requête d’accès (300) depuis le terminal d’accès (100) à destination de la plateforme (102) ; une étape de stockage de la requête d’accès (300) par la plateforme ; une étape de transmission (301), depuis la plateforme à destination du terminal d’accès, d’un jeton comprenant une information permettant l’identification par la plateforme de la requête d’accès (300) stockée ; une étape de transmission du jeton depuis le terminal d’accès à destination d’un terminal d’authentification (200) ; une étape de transmission du jeton et d’un identifiant de l’utilisateur depuis le terminal d’authentification (200) à destination d’un serveur d’authentification ; une étape d’authentification de l’utilisateur par le terminal d’authentification ; en cas de succès de l’authentification : une étape de transmission de l’information permettant l’identification par la plateforme de la requête d’accès (300) stockée et de l’identité authentifiée de l’utilisateur depuis le serveur d’authentification (202) ; une étape (307) de libération, par la plateforme, de l’accès, depuis le terminal d’accès (100) au bien ou service requis par la requête d’accès stockée. Selon un mode particulier de réalisation, le jeton est un QR-code. Selon un mode particulier de réalisation, le jeton est une marque dissimulée dans une image. Selon un mode particulier de réalisation, le jeton est transmis entre le terminal d’accès et le terminal d’authentification par capture photographique du jeton depuis le terminal d’authentification. Selon un mode particulier de réalisation, le jeton comprend en outre une information d’identification de la plateforme. Selon un mode particulier de réalisation, le jeton comprend en outre des informations relatives au terminal d’accès. Selon un mode particulier de réalisation, le terminal d’authentification est préalablement enregistré auprès du serveur d’authentification, un seul terminal pouvant être enregistré pour un utilisateur donné. Selon un mode particulier de réalisation, le serveur d’authentification procède en outre à des vérifications relatives à la légitimité de la requête stockée. Selon un mode particulier de réalisation, l’étape d’authentification de l’utilisateur comporte la vérification d’une caractéristique biométrique de cet utilisateur. Selon un mode particulier de réalisation, le jeton est transmis avec l’identité authentifiée de l’utilisateur depuis le serveur d’authentification vers la plateforme. L’invention concerne un programme d’ordinateur comprenant des instructions adaptées à la mise en œuvre de chacune des étapes du procédé selon l’invention lorsque ledit programme est exécuté sur un ordinateur. L’invention concerne un moyen de stockage d'informations, amovible ou non, partiellement ou totalement lisible par un ordinateur ou un microprocesseur comportant des instructions de code d'un programme d'ordinateur pour l'exécution de chacune des étapes du procédé selon l’invention. D'autres particularités et avantages de l'invention apparaîtront encore dans la description ci-après. D’autres caractéristiques, détails et avantages de l’invention apparaîtront à la lecture de la description détaillée ci-après. Celle-ci est purement illustrative et doit être lue en regard des dessins annexés, sur lesquels : Fig. 1 illustre un système connu de distribution de biens et/ou services via un réseau de communication de données ; Fig. 2 illustre un système de distribution de biens et/ou serices selon un mode de réalisation de l’invention ; Fig. 3 illustres les échanges lors de l’accès à un bien ou service selon un mode de réalisation de l’invention ; Fig. 4 est un bloc-diagramme schématique d'un dispositif de traitement de l’information pour la mise en œuvre d'un ou plusieurs modes de réalisation de l'invention. Description détaillée La illustre un système connu de distribution de biens et/ou services via un réseau de communication de données. Dans ce système, un client 100 est connecté à un réseau de communication de données 101, typiquement le réseau Internet. Une plateforme 102, également connectée au réseau de communication de données 101 offre des biens ou services. Un utilisateur peut accéder à un bien ou service offert par la plateforme 102 depuis le client 100. Cet accès se fait à l’aide d’échanges 103 entre le client 100 et la plateforme 102. Le client 100 est typiquement un logiciel d’accès au service, tel que par exemple un navigateur Web fonctionnant sur un terminal d’accès connecté au réseau 101. Le terminal d’accès peut être un ordinateur personnel, une tablette numérique, un téléphone mobile intelligent, ou tout autre dispositif de traitement de l’information pouvant se connecter au réseau. La plateforme 102 est un ensemble de logiciels fonctionnant sur un ou plusieurs serveurs informatiques. Nous parlerons ici de la plateforme pour désigner l’ensemble des services offerts par un commerçant aux utilisateurs indépendamment de l’implémentation matérielle du ou des serveurs permettant à ces logiciels de fonctionner. La plateforme peut fonctionner sur un seul serveur ou un ensemble de serveurs pouvant être localisés à différents endroits géographiques. Ces serveurs peuvent communiquer entre eux pour offrir le service. La plateforme 102 regroupe typiquement plusieurs fonctions. Outre l’offre et la diffusion de biens et services proprement dits, la plateforme gère également typiquement une base de données des utilisateurs enregistrés auprès de la plateforme, leur authentification, et les droits associés à chaque utilisateur. La plateforme peut être une plateforme d’achat de biens en ligne, de diffusion de services comme, par exemple, des services vidéo à la demande, de la location de films, de la diffusion musicale etc. Un utilisateur se connectant pour la première fois à la plateforme se voit typiquement proposer une procédure d’enregistrement. Cette procédure d’enregistrement consiste à créer un compte à l’utilisateur et à lui attribuer des crédits d’authentification pour lui permettre de s’authentifier auprès de la plateforme. Cet enregistrement peut être soumis à un achat ou être fait à titre gracieux selon le modèle de diffusion adopté par la plateforme. Une fois l’enregistrement effectué, la plateforme possède un compte lié à l’utilisateur qui enregistre des informations liées à cet utilisateur. Il peut s’agir d’informations bancaires, de droits liés à son inscription, des données d’authentification et de toute information nécessaire à la plateforme pour offrir son service à l’utilisateur. Une fois enregistré, l’utilisateur souhaitant accéder à un bien ou service proposé par la plateforme doit se connecter à celle-ci depuis le client qui tourne sur son terminal. Ce client peut être typiquement un navigateur Internet, comme Safari (marque déposée), Chrome (marque déposée), Edge (marque déposée) ou autre. Le client peut également être une application dédiée à l’accès à la plateforme. Pour ce faire, il doit typiquement s’authentifier auprès de la plateforme. Tout type d’authentification peut alors être utilisé. Le procédé d’authentification le plus courant consiste à fournir un couple d’identifiants composé d’un identifiant d’utilisateur, souvent désigné par le mot anglais login , et un mot de passe associé. L’authentification peut être demandée à chaque connexion ou seulement de temps en temps. L’identité de l’utilisateur étant alors sauvegardée par le client. Une fois authentifié, l’utilisateur peut accéder à la plateforme et choisir un produit ou service. Une requête pour un produit ou service est alors envoyée par le client à la plateforme. Cette dernière vérifie typiquement la légitimité de la requête, c’est-à-dire qu’elle vérifie que l’utilisateur possède les droits pour accéder au produit ou service demandé. Cette vérification peut inclure une vérification de la localisation géographique du client par exemple lorsque le produit ou service n’est légalement disponible que dans certaines parties du monde. Ce peut être le cas pour des services audio-visuels où les droits associés à une œuvre peuvent être limités géographiquement. En fonction du type de produit ou service proposé tout type de vérification peut être nécessaire. Un paiement peut également être nécessaire pour obtenir le produit ou service demandé. Une fois ces vérifications faites et un éventuel paiement effectué, l’utilisateur peut obtenir le bien ou service demandé. Par exemple, dans le cas d’un service de vidéo à la demande, le programme audiovisuel demandé peut être diffusé par la plateforme vers le client du terminal de l’utilisateur d’où a été émise la requête. Cette méthode de contrôle d’accès offre la souplesse d’accès depuis tout terminal, au domicile et hors domicile, à l’utilisateur. Lorsque ce dernier souhaite accéder à la plateforme depuis un nouveau terminal, il lui suffit de s’authentifier auprès de la plateforme depuis le client disponible sur le terminal. La simple connaissance des crédits d’authentification, ici un identifiant et un mot de passe, permet l’accès à la plateforme en profitant des droits associés à l’utilisateur. Toutefois le contrôle d’accès n’est pas toujours suffisant. En particulier, un utilisateur peut oublier de se déconnecter depuis le client d’un terminal appartenant à une autre personne qui pourra alors accéder à la plateforme à l’aide de l’identité de l’utilisateur. Un autre problème peut se poser, plus particulièrement concernant les services proposés par abonnement comme les services de diffusion de programmes audiovisuels à la demande, c’est le partage des crédits d’authentification. Un utilisateur souscrit un abonnement à une plateforme et obtient les crédits d’authentification associés à son compte. Ensuite, il diffuse ces crédits d’authentification auprès d’un ensemble d’autres personnes. Ces dernières peuvent alors profiter de l’abonnement souscrit par l’utilisateur à l’aide de ses crédits d’authentification en accédant de façon frauduleuse au service proposé par la plateforme. Les crédits d’authentification peuvent également être volés à l’utilisateur légitime. Il est aujourd’hui difficile de lutter contre ces accès frauduleux, sauf à restreindre la souplesse d’accès permettant à un utilisateur légitime de se connecter depuis tout lieu et tout terminal aux services auxquels il a souscrit. L’invention vise à résoudre ce problème en proposant une méthode de contrôle d’accès à une plateforme en ligne permettant d’offrir la souplesse d’accès aux services proposés depuis tout terminal en limitant les risques d’accès frauduleux par un utilisateur autre que l’utilisateur légitime. La illustre une architecture de distribution de biens ou de services depuis une plateforme selon un mode de réalisation de l’invention. Sur cette figure sont illustrés le terminal d’accès 100 à la plateforme 102 via le réseau de communication de données 101. Le terminal d’accès 100 échange des messages 103 avec la plateforme 102. On retrouve ici la même architecture que celle illustrée par la . Un des aspects de l’invention consiste à distinguer le terminal d’accès 100 à la plateforme du terminal d’authentification 200. Il est ainsi possible d’offrir une grande souplesse à l’utilisateur quant au choix du terminal d’accès 100 tout en imposant des contraintes quant au choix du terminal d’authentification 200. Typiquement, selon un mode de réalisation de l’invention, le terminal d’authentification 200 est un terminal unique, lié à l’utilisateur. Il peut s’agir, par exemple, de son téléphone intelligent, d’une tablette numérique ou autre. Un second aspect de l’invention consiste à distinguer la plateforme 102 offrant les biens ou services du serveur d’authentification 202 en charge de l’authentification des utilisateurs. On parle ici du serveur d’authentification 202 indépendamment de son implémentation particulière pouvant impliquer un ou plusieurs serveurs connectés, colocalisés ou non, offrant le service d’authentification des utilisateurs. Lorsque l’on dit que l’on distingue le terminal d’accès et le terminal d’authentification, cette distinction est fonctionnelle et n’interdit nullement des modes de réalisation où le terminal d’accès et le terminal d’authentification sont un même terminal. De manière similaire, la distinction opérée entre la plateforme de service et le serveur d’authentification est également fonctionnelle et n’interdit pas les modes de réalisation où ces deux services sont implémentés sur un même serveur ou un même ensemble de serveurs. L’authentification de l’utilisateur est réalisée par ce dernier à partir du terminal d’authentification 200. Pour cela, l’utilisateur utilise un client d’authentification fonctionnant sur le terminal 200. Ce client peut être un client générique tel qu’un navigateur Web, ou préférentiellement une application d’authentification dédiée offerte par le prestataire du serveur d’authentification 202. Tout protocole d’authentification peut ici être utilisé, du simple identifiant et mot de passe à de plus sécurisés pouvant employer la vérification d’une caractéristique biométrique de cet utilisateur, par exemple. Dans l’exemple de réalisation, une authentification du type challenge réponse est utilisée, l’utilisateur utilisant une convention secrète qui lui est propre pour déterminer la réponse au challenge proposé par le serveur d’authentification. Une telle méthode est décrite dans la demande de brevet français publiée sous le numéro FR3074321. L’authentification implique une connexion depuis le terminal d’authentification 200 auprès du serveur d’authentification 202 via le lien de communication 204. Avantageusement, le terminal d’authentification est préalablement enregistré auprès du serveur d’authentification et il n’est possible à un utilisateur donné d’enregistrer qu’un seul terminal d’authentification. Du fait d’avoir distingué la fourniture d’un bien ou service à un terminal d’accès 100 par une plateforme 102 de l’authentification de l’utilisateur réclamant le bien ou service effectuée entre le terminal d’authentification 200 et le serveur d’authentification 202, il est nécessaire qu’un lien soit établi entre la requête de l’utilisateur et son authentification. Selon un troisième aspect de l’invention, lorsque la plateforme 102 reçoit une requête depuis un terminal d’accès, elle génère un jeton et le retransmet au terminal d’accès 100. L’utilisateur transfère ce jeton au terminal d’authentification 200. Ce transfert, référencé 203, peut prendre toute forme. Il peut s’agir d’une transmission électronique via une connexion entre les deux terminaux du type sans fil selon, par exemple, le protocole Bluetooth (marque déposée) ou encore le protocole Wifi (marque déposée). Il peut encore s’agir d’une information affichée sur l’écran du terminal d’accès 100 que l’utilisateur recopie sur le terminal d’authentification 200. Dans un mode de réalisation de l’invention, le jeton transmis par la plateforme est affiché sur l’écran du terminal d’accès 100 et pris en photo depuis le terminal d’authentification 200. Le jeton peut prendre, dans ce mode de réalisation la forme d’un code bidimensionnel de type QR-code ou encore une marque dissimulée dans une image selon un procédé connu sous le nom anglais de watermarking . Le jeton, ou au moins les informations contenues dans le jeton, est alors transmis par le terminal d’authentification au serveur d’authentification lors des échanges réalisant cette authentification. Ensuite, lorsque l’authentification réussit, le serveur d’authentification 202 est en mesure de transmettre à la plateforme l’identité vérifiée de l’utilisateur et le jeton, ou les informations contenues dans le jeton, à la plateforme 102. La plateforme 102 disposant de l’identité de l’utilisateur et du jeton est alors en mesure d’autoriser la diffusion, ou la transmission, du bien ou service requit par l’utilisateur. La nature de cette diffusion ou transmission dépend de la nature du bien ou service requis par l’utilisateur. Il peut s’agir d’une transmission au terminal d’accès, par exemple dans le cas d’un livre numérique ou d’une œuvre audiovisuelle achetée par l’utilisateur. Il peut encore s’agir de la diffusion sans stockage, streaming en anglais, d’une œuvre audiovisuelle. Il peut même s’agir de l’expédition d’un bien physique, sans lien avec le terminal d’accès qui n’aura servi qu’à l’achat, lorsque la requête de l’utilisateur concerne un bien matériel. Le jeton doit contenir au moins une information permettant à la plateforme d’identifier de manière directe : la requête pendante reçue du terminal d’accès et qui a suscité la génération du jeton, de manière indirecte : de retrouver ou de calculer une information identifiante de la requête pendante du terminal d’accès . Il peut s’agir d’un identifiant de cette requête qui est typiquement stockée par la plateforme dans l’attente de l’authentification. Cet identifiant est alors typiquement généré par la plateforme lors du stockage de la requête. Dans un mode de réalisation alternatif, il peut s’agir d’un identifiant du terminal d’accès ayant émis la requête, la plateforme recherche alors parmi les requêtes stockées, celle qui provient de ce terminal d’accès. De manière générale, il peut s’agir de toute donnée permettant à la plateforme d’identifier la requête, directement ou indirectement. Dans certains modes de réalisation de l’invention, la plateforme peut procéder à des vérifications supplémentaires lors de la réception de l’identité de l’utilisateur et du jeton. Ces vérifications peuvent porter sur les droits liés à l’utilisateur, sur des plages horaires d’usage du bien ou du service. Elles peuvent également porter sur les caractéristiques du terminal d’accès, ces caractéristiques pouvant être des caractéristiques techniques comme la taille de l’écran, la puissance du processeur ou autres, ou encore des caractéristiques liées à la localisation géographique du terminal d’accès, les droits d’accès à certains biens ou services pouvant être limités géographiquement, mais aussi des caractéristiques liées au contexte du terminal d’accès comme la présence d’un système de Haute Fidélité acoustique utilisable dans le voisinage ou la présence d’un composant électronique ou numérique, comme par exemple un Secure Element ou coffre fort numérique, accessible et utilisable depuis le terminal d’accès. Certaines de ces vérifications relatives à la légitimité de la requête pendante peuvent être réalisées par le serveur d’authentification dans certains modes de réalisation de l’invention. Il est alors possible à la plateforme de transmettre certaines informations nécessaires au sein du jeton. Ces informations peuvent, par exemple, contenir des informations sur les capacités du terminal d’accès, sa localisation son environnement réseau. L’accès au bien ou service peut être conditionné par un paiement de l’utilisateur. Ce paiement peut être géré par la plateforme sur réception de l’identité authentifiée de l’utilisateur en collaboration avec une plateforme de paiement et/ou la banque associée au compte de l’utilisateur. Le paiement sera alors confirmé par l’utilisateur depuis le terminal d’accès. La gestion du paiement peut également être gérée par le serveur d’authentification. Par exemple, la plateforme sur réception de l’identité de l’utilisateur et du jeton informe le serveur d’authentification de la nécessité d’un paiement. Le serveur procède alors à la gestion du paiement qui sera confirmé par l’utilisateur depuis le terminal d’authentification, ce paiement pouvant par exemple créditer en temps réel un compte de la plateforme et liant ce paiement au jeton émis par ladite plateforme permettre la libération du service identifié par le jeton. Les informations nécessaires au paiement peuvent être mémorisées par le serveur d’authentification ou fournies par la plateforme pour chaque opération. Le serveur d’authentification peut être associé à une plateforme donnée. Mais dans certains modes de réalisation, le serveur d’authentification permet l’authentification d’utilisateur d’une pluralité de plateformes. Dans ce cas, il est nécessaire que le serveur d’authentification recevant une requête d’authentification associée à un jeton puisse identifier la plateforme concernée pour lui transmettre le résultat de l’authentification et le jeton associé. Pour ce faire, la plateforme peut inclure un identifiant de plateforme dans les informations du jeton. Cet identifiant peut prendre la forme de l’adresse internet de la plateforme, d’un identifiant préalablement convenu entre la plateforme et le serveur d’authentification ou encore de toute information permettant au serveur d’authentification d’identifier la plateforme. Ainsi, l’invention permet à l’utilisateur de profiter d’un accès à la plateforme depuis tout terminal d’accès et en tout lieu. Par contre, en contraignant l’authentification depuis un unique terminal d’authentification préalablement enregistré auprès du serveur d’authentification, le risque qu’un utilisateur autre que l’utilisateur légitime puisse procéder à l’authentification est fortement réduit. Le terminal d’authentification est typiquement, mais non limitativement, un téléphone intelligent de l’utilisateur. L’authentification nécessite donc l’accès physique à ce téléphone. La diffusion de ses crédits d’authentification auprès d’un cercle amical, par exemple, n’est plus possible. Il est donc possible grâce à l’invention de conserver la souplesse du choix du client d’accès à une plateforme tout en limitant très fortement les possibilités d’accès frauduleux par un utilisateur illégitime. La illustre les échanges intervenant lors de l’accès à un bien ou service dans un exemple de réalisation de l’invention. Un utilisateur souhaitant accéder à un bien ou service offert par une plateforme depuis un terminal d’accès provoque l’émission d’une requête d’accès 300 depuis ce terminal d’accès vers la plateforme. La plateforme reçoit cette requête 300 et la mémorise. Cette requête est alors pendante. Avantageusement, des informations sur le terminal d’accès sont stockées au sein ou avec la requête reçue. Ces informations peuvent être transmises par le terminal d’accès avec la requête. Par exemple, si la requête est faite à l’aide du protocole http ( Hyper Text Transfer Protocol en anglais), un entête de la requête http contient typiquement une signature du terminal d’accès et du client émettant la requête. La plateforme génère un jeton et transmet ce jeton sous la forme d’une réponse 301 à la requête 300. Comme discuté plus haut, ce jeton contient au moins une information qui permettra à la plateforme d’identifier la requête 300 pendante ultérieurement. Le jeton peut également contenir une information permettant d’identifier la plateforme ou encore toute information complémentaire comme les informations sur le terminal d’accès. Une fois le jeton 301 reçu par le terminal d’accès, ce jeton doit être transmis, 302, par l’utilisateur à son terminal d’authentification. Cette transmission peut prendre toute forme. Il peut s’agir d’une transmission à l’aide d’un protocole de transmission filaire ou sans fil entre le terminal d’accès et le terminal d’authentification. Il peut encore s’agir d’une capture photographique d’un élément tel qu’un QR-code ou un marquage invisible, le jeton étant alors affiché sur l’écran du terminal d’accès. Il peut également s’agir de la recopie manuelle d’une information, comme une chaîne de caractères, affichée sur l’écran du terminal d’accès. Une fois le jeton transmis au terminal d’authentification, s’opère l’authentification de l’utilisateur depuis son terminal d’authentification. Les échanges particuliers sont ici dépendant du protocole d’authentification utilisé qui peut être ici tout protocole d’authentification connu. Dans l’exemple d’utilisation, le terminal d’authentification transmet le jeton et l’identifiant de l’utilisateur dans une requête d’authentification 303 au serveur d’authentification. Le serveur d’authentification génère et transmet en réponse un challenge 304 au terminal d’authentification. L’utilisateur utilise alors la convention secrète pour produire la réponse au challenge et la transmettre, 305, au serveur d’authentification. Le serveur d’authentification procède à l’authentification et, en cas de succès, transmet l’identité authentifiée de l’utilisateur et le jeton reçu à la plateforme sous la forme du message 306. Dans certains modes de réalisation, le serveur d’authentification peut procéder à des vérifications supplémentaires comme décrit plus haut. Ces vérifications peuvent nécessiter l’interprétation et l’utilisation d’informations supplémentaires contenues dans le jeton. Il peut être également nécessaire au serveur d’authentification d’obtenir un identifiant de la plateforme contenu dans le jeton pour identifier la plateforme lorsqu’il y en a plusieurs. Dans certains modes de réalisation, les informations contenues dans le jeton qui ne sont utiles qu’au serveur d’authentification ne sont pas retransmises à la plateforme. Seule l’information permettant à la plateforme d’identifier la requête pendante est requise en sus de l’identité authentifiée de l’utilisateur. Lorsque la plateforme reçoit l’identité authentifiée de l’utilisateur et l’information identifiant la requête pendante, elle peut libérer, par un message 307, l’accès au bien ou au service demandé dans la requête pendante auprès du terminal d’accès. Dans une mise en œuvre alternative, le serveur d’authentification peut sur la base d’une information de session ou contexte déjà résidente et datée dans le terminal d’authentification ne pas procéder à une nouvelle authentification de l’utilisateur et transmettre directement l’identité authentifiée précédemment obtenue de l’utilisateur vers la plateforme. Ces échanges entre le terminal d’accès, le terminal d’authentification, le serveur d’authentification et la plateforme peuvent utiliser tout protocole de transmission. Dans un mode de réalisation, le protocole HTTP est utilisé. La est un bloc-diagramme schématique d'un dispositif de traitement de l’information 400 pour la mise en œuvre d'un ou plusieurs modes de réalisation de l'invention. Le dispositif 400 de traitement de l’information peut être un périphérique tel qu'un micro-ordinateur, un poste de travail ou un terminal mobile de télécommunication. Le dispositif 400 comporte un bus de communication connecté à: - une unité centrale de traitement 401, tel qu'un microprocesseur, notée CPU; - une mémoire à accès aléatoire 402, notée RAM, pour mémoriser le code exécutable du procédé de réalisation de l'invention ainsi que les registres adaptés à enregistrer des variables et des paramètres nécessaires pour la mise en œuvre du procédé selon des modes de réalisation de l'invention ; la capacité de mémoire du dispositif peut être complétée par une mémoire RAM optionnelle connectée à un port d'extension, par exemple; - une mémoire morte 403, notée ROM, pour stocker des programmes informatiques pour la mise en œuvre des modes de réalisation de l'invention; - une interface réseau 404 est normalement connectée à un réseau de communication sur lequel des données numériques à traiter sont transmis ou reçus. L'interface réseau 404 peut être une seule interface réseau, ou composée d'un ensemble d'interfaces réseau différentes (par exemple filaire et sans-fil, interfaces ou différents types d'interfaces filaires ou sans-fil). Des paquets de données sont envoyés sur l'interface réseau pour la transmission ou sont lus à partir de l'interface de réseau pour la réception sous le contrôle de l'application logiciel exécuté dans le processeur 401 ; - une interface utilisateur 405 pour recevoir des entrées d'un utilisateur ou pour afficher des informations à un utilisateur ; - un dispositif de stockage 406 tel que décrit dans l’invention et noté HD ; - un module d’entrée/sortie 407 pour la réception / l'envoi de données depuis / vers des périphériques externes tels que disque dur, support de stockage amovible ou autres. Le code exécutable peut être stocké dans une mémoire morte 403, sur le dispositif de stockage 406 ou sur un support amovible numérique tel que par exemple un disque. Selon une variante, le code exécutable des programmes peut être reçu au moyen d'un réseau de communication, via l'interface réseau 404, afin d'être stocké dans l'un des moyens de stockage du dispositif de communication 400, tel que le dispositif de stockage 406, avant d'être exécuté. L'unité centrale de traitement 401 est adaptée pour commander et diriger l'exécution des instructions ou des portions de code logiciel du programme ou des programmes selon l'un des modes de réalisation de l'invention, instructions qui sont stockées dans l'un des moyens de stockage précités. Après la mise sous tension, le CPU 401 est capable d'exécuter des instructions de la mémoire RAM principale 402, relatives à une application logicielle. Un tel logiciel, lorsqu'il est exécuté par le processeur 401, provoque l’exécution des procédés décrits. Dans ce mode de réalisation, l'appareil est un appareil programmable qui utilise un logiciel pour mettre en œuvre l'invention. Toutefois, à titre subsidiaire, la présente invention peut être mise en œuvre dans le matériel (par exemple, sous la forme d'un circuit intégré spécifique ou ASIC). Naturellement, pour satisfaire des besoins spécifiques, une personne compétente dans le domaine de l’invention pourra appliquer des modifications dans la description précédente. Bien que la présente invention ait été décrite ci-dessus en référence à des modes de réalisation spécifiques, la présente invention n'est pas limitée aux modes de réalisation spécifiques, et les modifications qui se trouvent dans le champ d'application de la présente invention seront évidentes pour une personne versée dans l'art. Méthode de contrôle d’accès à un bien ou service offert par une plateforme (102) depuis un terminal d’accès (100) caractérisée en ce qu’elle comprend : une étape de transmission d’une requête d’accès (300) depuis le terminal d’accès (100) à destination de la plateforme (102) ; une étape de transmission (301), depuis la plateforme à destination du terminal d’accès, d’un jeton comprenant une information permettant l’identification par la plateforme de la requête d’accès (300); une étape de transmission du jeton depuis le terminal d’accès à destination d’un terminal d’authentification (200) ; une étape de transmission du jeton et d’un identifiant de l’utilisateur depuis le terminal d’authentification (200) à destination d’un serveur d’authentification ; une étape d’authentification de l’utilisateur par le terminal d’authentification ; en cas de succès de l’authentification : une étape de transmission de l’information permettant l’identification par la plateforme de la requête d’accès (300) et de l’identité authentifiée de l’utilisateur depuis le serveur d’authentification (202) ; une étape (307) de libération, par la plateforme, de l’accès, depuis le terminal d’accès (100) au bien ou service requis par la requête d’accès. Méthode selon la revendication 1, caractérisée en ce que le jeton est un QR-code. Méthode selon la revendication 1, caractérisée en ce que le jeton est une marque dissimulée dans une image. Méthode selon la revendication 2, caractérisée en ce que le jeton est transmis entre le terminal d’accès et le terminal d’authentification par capture photographique du jeton depuis le terminal d’authentification. Méthode selon la revendication 1, caractérisée en ce que le jeton comprend en outre une information d’identification de la plateforme. Méthode selon la revendication 1, caractérisée en ce que le jeton comprend en outre des informations relatives au terminal d’accès. Méthode selon la revendication 1, caractérisée en ce que le terminal d’authentification est préalablement enregistré auprès du serveur d’authentification, un seul terminal pouvant être enregistré pour un utilisateur donné. Méthode selon la revendication 1, caractérisée en ce que le serveur d’authentification procède en outre à des vérifications relatives à la légitimité de la requête stockée. Méthode selon la revendication 1, caractérisée en ce que l’étape d’authentification de l’utilisateur comporte la vérification d’une caractéristique biométrique de cet utilisateur. Méthode selon la revendication 1, caractérisée en ce que le jeton est transmis avec l’identité authentifiée de l’utilisateur depuis le serveur d’authentification vers la plateforme. Programme d’ordinateur comprenant des instructions adaptées à la mise en œuvre de chacune des étapes du procédé selon l’une quelconque des revendications 1 à 10 lorsque ledit programme est exécuté sur un ordinateur. Moyen de stockage d'informations, amovible ou non, partiellement ou totalement lisible par un ordinateur ou un microprocesseur comportant des instructions de code d'un programme d'ordinateur pour l'exécution de chacune des étapes du procédé selon l'une quelconque des revendications 1 à 10.