En 2026, DNS, cloud, certificats de sécurité, les clés invisibles de la souveraineté numérique que les citoyens ignorent

La question posée par Le Devoir touche un angle souvent négligé du débat public: la souveraineté numérique ne dépend pas seulement des lois, des serveurs ou des applications visibles. Elle repose aussi sur des couches techniques discrètes, comme le DNS, les certificats de sécurité, les fournisseurs de cloud et les contrats qui encadrent leur usage. En 2026, cette dépendance concerne directement les administrations, les entreprises et les citoyens.

Le Devoir relance le débat sur l’infrastructure invisible

Le titre publié par Le Devoir met en lumière une réalité rarement discutée hors des milieux spécialisés: le pouvoir numérique n’est pas toujours exercé par celui qui possède les données. Il peut appartenir à celui qui contrôle l’accès, l’authentification, la disponibilité ou la continuité d’un service. Cette distinction change la lecture du dossier, car elle déplace l’attention des plateformes grand public vers les tuyaux techniques du réseau.

Dans le débat sur la souveraineté numérique, les gouvernements parlent souvent d’hébergement local, de protection des renseignements personnels et de réglementation des géants technologiques. Ces sujets restent centraux, mais ils ne suffisent pas. Un service hébergé sur le territoire national peut dépendre d’un fournisseur étranger pour ses certificats, son nom de domaine, son filtrage de trafic ou ses outils de collaboration. Une panne ou une décision contractuelle située hors du pays peut alors produire des effets très concrets.

Cette dépendance crée une dépendance opérationnelle difficile à percevoir pour le public. Quand un portail gouvernemental fonctionne, personne ne regarde la chaîne d’intermédiaires qui le rend accessible. Quand il tombe, les responsabilités deviennent plus complexes: hébergeur, registraire, fournisseur d’identité, prestataire de cybersécurité, réseau de distribution de contenu ou éditeur logiciel. Chaque maillon peut devenir un point de fragilité.

Le sujet dépasse la technique. Les infrastructures critiques numériques portent maintenant une part de l’éducation, de la santé, de la fiscalité, de l’état civil et des communications d’urgence. La souveraineté ne se mesure donc pas seulement à la localisation d’un serveur, mais à la capacité d’un État à comprendre, auditer, remplacer ou reprendre le contrôle de ces maillons dans un délai raisonnable. Cette capacité relève autant de la politique industrielle que de la sécurité nationale.

ICANN, DNS et certificats TLS contrôlent l’accès quotidien

Le premier niveau de contrôle se trouve dans le système des noms de domaine. L’ICANN, organisation chargée de coordonner les ressources centrales de l’Internet mondial, ne gère pas le contenu des sites, mais son rôle structure l’architecture d’accès. Sans résolution fiable d’un nom de domaine, un service public, une banque ou un média devient difficilement joignable, même si ses serveurs continuent de fonctionner.

Le DNS agit comme un annuaire technique. Il transforme une adresse lisible en adresse réseau. Cette opération paraît banale, mais elle dépend d’une chaîne qui comprend registres, registraires, serveurs faisant autorité, résolveurs et prestataires de protection contre les attaques. Dans plusieurs pays, ces fonctions sont réparties entre acteurs publics, organismes sans but lucratif et entreprises privées. Le Canada dispose par exemple d’un acteur national avec l’Autorité canadienne pour les enregistrements Internet, liée au domaine. ca.

La sécurité repose aussi sur les certificats TLS, qui permettent d’établir une connexion chiffrée et d’authentifier un site. Si un certificat expire, est révoqué ou mal configuré, l’accès peut être bloqué par les navigateurs. Les citoyens voient alors un message d’alerte, sans toujours comprendre que le service derrière l’écran peut être intact. Le verrou affiché dans le navigateur dépend d’un écosystème international de confiance.

Les autorités de certification occupent donc une place sensible. Elles ne rédigent pas les politiques publiques, mais elles influencent la possibilité technique d’accéder à un service en sécurité. Les navigateurs, les systèmes d’exploitation et les standards industriels décident quelles autorités sont reconnues. Cette gouvernance mêle acteurs privés, communautés techniques et règles internationales. Pour un État, la question n’est pas de rompre avec cet écosystème, mais de savoir quelles dépendances sont acceptables, documentées et remplaçables en cas de crise.

Microsoft, AWS et Google Cloud concentrent les dépendances publiques

Le deuxième niveau se trouve dans les services infonuagiques et les outils de travail. Microsoft, AWS et Google Cloud occupent une place majeure dans les systèmes d’information publics et privés. Messagerie, stockage, suites bureautiques, calcul, intelligence artificielle, cybersécurité et gestion des identités sont de plus en plus fournis sous forme d’abonnements. Le confort d’usage est réel, mais la concentration du marché pose une question de marge de manœuvre.

Pour les administrations, le choix d’un fournisseur n’est pas seulement budgétaire. Il engage des procédures, des formats de fichiers, des compétences internes, des interfaces de programmation et des habitudes de travail. Plus un service est intégré dans l’organisation, plus son remplacement devient coûteux. Cette situation crée un verrouillage progressif, souvent sans décision unique et spectaculaire. Les migrations se font projet par projet, jusqu’à former un socle dont la sortie demande des années.

Les services publics sont particulièrement exposés, car ils doivent assurer continuité, conformité et accessibilité. Une université qui dépend d’une suite de collaboration étrangère, un hôpital qui utilise des outils d’analyse hébergés hors de son contrôle direct, ou une municipalité qui externalise ses sauvegardes peuvent respecter les règles en vigueur tout en accumulant des dépendances stratégiques. Le risque ne tient pas seulement à l’espionnage. Il tient aussi aux hausses tarifaires, aux changements de conditions contractuelles, aux interruptions de service et aux priorités commerciales du fournisseur.

La situation est rendue plus complexe par l’essor de l’intelligence artificielle. Les modèles, les puces, les plateformes d’entraînement et les interfaces de programmation sont largement concentrés entre quelques groupes. Une administration qui automatise des tâches à partir de ces services doit vérifier où transitent les données, comment les résultats sont conservés et quelles garanties existent en cas de litige. En 2026, la souveraineté numérique ne se limite plus à protéger un fichier. Elle oblige à examiner toute la chaîne de traitement qui transforme ce fichier en décision, recommandation ou service rendu au citoyen.

Québec et Ottawa disposent de leviers contractuels précis

Les pouvoirs publics ne partent pas de zéro. Québec et Ottawa peuvent agir par la commande publique, les exigences de cybersécurité, les audits et la formation interne. Le levier contractuel est central, car il permet d’imposer des obligations concrètes avant même de modifier une loi. Un appel d’offres peut demander la localisation de certaines données, la traçabilité des accès, la notification rapide des incidents et la documentation complète des sous-traitants.

Les clauses de réversibilité constituent un outil prioritaire. Elles obligent le fournisseur à prévoir une sortie organisée du contrat: formats ouverts, restitution des données, délais de transition, assistance technique et suppression vérifiable des copies. Sans ces clauses, une administration découvre parfois trop tard qu’elle possède juridiquement ses données, mais qu’elle ne peut pas les déplacer facilement. La souveraineté commence donc dans les annexes techniques, souvent moins visibles que les annonces politiques.

Les audits indépendants complètent ce dispositif. Ils permettent d’examiner les architectures, les accès privilégiés, la segmentation des environnements, les sauvegardes et les dépendances tierces. Un audit utile ne se limite pas à cocher des cases de conformité. Il doit produire une cartographie exploitable, avec les points de rupture possibles et les délais de remise en service. Cette approche aide les décideurs à distinguer une dépendance acceptable d’une exposition systémique.

Un autre levier concerne les compétences. Reprendre du contrôle ne signifie pas tout développer en interne, mais il faut conserver assez d’expertise pour négocier, vérifier et arbitrer. Cela implique des équipes publiques capables de lire un contrat cloud, d’évaluer une architecture DNS, de comprendre une chaîne de certificats et de gérer des incidents. Les solutions libres et les fournisseurs locaux peuvent jouer un rôle, à condition d’être intégrés dans une stratégie réaliste. La souveraineté numérique se construit moins par slogan que par inventaire, priorisation et capacité d’exécution.