Un système de contrôle d'accès associe trois éléments : un identifiant porté par l'utilisateur, un lecteur qui le lit, et une unité de traitement qui décide d'ouvrir ou non. La sécurité réelle dépend surtout du premier.
Les badges de première génération, à basse fréquence, se contentent d'émettre un numéro en clair : ils se copient en quelques secondes avec un appareil vendu librement. Les badges à haute fréquence dotés d'une authentification par clé chiffrée résistent à la copie, à condition que l'installateur ait remplacé les clés par défaut, ce qui est loin d'être systématique.
Le code seul reste vulnérable au partage et à l'observation. Le téléphone, utilisé par communication en champ proche ou par liaison sans fil, évite la gestion physique des badges. La biométrie, empreinte ou reconnaissance faciale, soulève en revanche des questions juridiques sérieuses : son usage pour contrôler l'accès de salariés n'est admis que dans des cas limités, à condition de démontrer qu'aucun autre dispositif ne convient.
La valeur d'un système tient à l'administration : révoquer immédiatement un badge perdu ou un salarié parti, limiter les accès par plage horaire et par zone, et tenir à jour la liste des porteurs. Un système techniquement excellent dont les droits ne sont jamais révisés ne protège plus rien au bout de 2 ans.