“Les mots de passe sont morts.” On entend cette phrase depuis des années, alors même que la plupart d’entre nous continuent de taper des suites de caractères plus ou moins inspirées pour se connecter à leurs comptes. Dans le même temps, de nouveaux mots-clés sont apparus : passkeys, biométrie, clés physiques de sécurité… avec souvent, en toile de fond, un discours marketing promettant à la fois simplicité totale et sécurité absolue.
La réalité est plus nuancée. Les mots de passe n’ont pas disparu. Mais ils cessent peu à peu d’être l’unique barrière entre un compte et un attaquant. Pour faire les bons choix, il faut comprendre ce que chaque solution apporte réellement, ses forces, ses limites, et dans quels cas elle est pertinente.
Pourquoi les mots de passe classiques posent problème
Avant de parler de ce qui les remplace (ou les complète), il faut rappeler pourquoi les mots de passe, seuls, sont insuffisants.
- Ils sont difficiles à bien gérer : un mot de passe vraiment solide, unique, long, est difficile à retenir. Multipliez ça par des dizaines de comptes, et la plupart des gens finissent par simplifier.
- Ils sont souvent réutilisés : utiliser la même combinaison mail + mot de passe sur plusieurs sites rend vulnérable à la moindre fuite de données.
- Ils sont exposés au phishing : un mot de passe peut être saisi sur un faux site qui imite parfaitement le vrai, sans que l’utilisateur s’en rende compte.
- Ils sont parfois stockés ou transmis de manière douteuse : captures d’écran, notes non chiffrées, envoi par mail, etc.
Le problème majeur n’est pas le concept de mot de passe en lui-même, mais la façon dont les humains les choisissent, les réutilisent et les divulguent sans le vouloir.
Passkeys : ce qu’elles sont vraiment (et ce qu’elles ne sont pas)
Les passkeys sont souvent présentées comme “la fin des mots de passe”. Dans les faits, elles constituent plutôt une nouvelle manière de s’authentifier, basée sur des clés cryptographiques, standardisée par des technologies comme FIDO2 / WebAuthn.
Le principe :
- une paire de clés est générée : une clé privée (gardée sur votre appareil ou dans un module sécurisé) et une clé publique (enregistrée auprès du service) ;
- lorsque vous vous connectez, le service envoie un défi que seule votre clé privée peut signer ;
- si la signature correspond, l’accès est accordé, sans jamais transmettre de secret réutilisable comme un mot de passe.
Avantages concrets :
- Résistance au phishing : une passkey ne fonctionne que pour le site exact avec lequel elle a été créée. Un faux site ne peut pas “réutiliser” ce que vous lui envoyez.
- Pas de secret à mémoriser : vous n’avez plus à retenir une phrase complexe, la clé privée est gérée par votre appareil ou votre gestionnaire de mots de passe compatible.
- Pas de réutilisation : chaque site a son propre couple de clés.
Mais il y a aussi des points à avoir en tête :
- les passkeys dépendent d’un écosystème : appareil, navigateur, système, gestionnaire. Si vous perdez tous vos appareils et n’avez pas de synchronisation ou de sauvegarde, récupérer l’accès peut être plus compliqué.
- elles n’éliminent pas tous les risques : quelqu’un qui a un accès complet à votre appareil déverrouillé peut, dans certains cas, signer des demandes d’authentification à votre place.
- elles coexistent encore avec les mots de passe sur beaucoup de services, au moins durant une période de transition.
En pratique, les passkeys fonctionnent bien lorsqu’elles sont intégrées dans : les navigateurs modernes, certains gestionnaires de mots de passe, les systèmes d’exploitation récents, et les grands services en ligne qui ont commencé à les adopter.
Biométrie : pratique, mais à bien comprendre
Empreinte digitale, reconnaissance faciale, parfois reconnaissance de l’iris : la biométrie est souvent présentée comme une solution miracle pour “remplacer” les mots de passe. En réalité, dans la plupart des cas, elle sert surtout à déverrouiller un secret qui reste stocké localement.
Par exemple :
- sur un smartphone, l’empreinte ou le visage déverrouille le téléphone, qui lui-même contient des clés (passkeys, certificats, jetons) ou des mots de passe ;
- sur un ordinateur, la biométrie peut déverrouiller le gestionnaire de mots de passe ou une session chiffrée.
D’un point de vue sécurité :
- la biométrie est pratique, car difficile à “deviner” comme un mot de passe faible ;
- mais elle n’est pas parfaite : une empreinte ne peut pas être “changée” comme un mot de passe si elle est compromise ;
- elle dépend de la manière dont l’appareil stocke et traite ces données biométriques (idéalement dans un module sécurisé, sans les transmettre au service en ligne).
Important : dans beaucoup de scénarios modernes, la biométrie n’est pas envoyée aux sites ou applis. Elle reste dans l’appareil, qui répond simplement “oui, l’utilisateur autorisé est présent”. C’est une couche de confort, qui renforce l’authentification à condition qu’elle soit correctement mise en œuvre.
Clés physiques de sécurité : la référence pour les comptes sensibles
Les clés de sécurité physiques (souvent basées sur FIDO2 / U2F), comme certaines clés USB ou NFC dédiées, sont aujourd’hui l’une des protections les plus robustes pour les comptes vraiment sensibles :
- comptes mail principaux ;
- accès à des outils administrateurs ;
- comptes professionnels critiques ;
- services financiers, selon ce qui est proposé.
Leur fonctionnement :
- vous enregistrez la clé auprès d’un service comme second facteur ou comme moyen principal d’authentification ;
- lors de la connexion, le service vous demande d’insérer ou de toucher la clé pour prouver votre présence ;
- la clé signe un défi spécifique au site, sans révéler de secret réutilisable.
Points forts :
- très bonne résistance au phishing : un site frauduleux ne peut pas réutiliser la réponse ;
- pas de code à taper : pas de risque de le lire ou de le voler par un simple screencast ;
- indépendante du réseau mobile ou des SMS, qui peuvent être interceptés ou détournés.
Contraintes :
- il faut gérer physiquement la clé (ne pas la perdre, en avoir une de secours pour certains comptes) ;
- tous les services ne la supportent pas encore ;
- pour un usage grand public, certains la trouvent “trop lourde” au quotidien, mais elle est excellente pour un petit nombre de comptes critiques.
Ce qui fonctionne vraiment aujourd’hui pour la plupart des gens
Si l’on met de côté les slogans, la sécurité quotidienne repose surtout sur une combinaison raisonnable de plusieurs éléments, plutôt que sur “la” solution miracle.
1. Des mots de passe uniques, gérés par un gestionnaire
Même si les passkeys se développent, les mots de passe ne vont pas disparaître demain. La base solide reste :
- utiliser un gestionnaire de mots de passe fiable (local ou cloud) ;
- générer des mots de passe longs et uniques pour chaque site ;
- ne plus essayer de retenir chacun d’eux, mais seulement la phrase principale (le mot de passe maître) ou le moyen de déverrouillage (biométrie, clé locale).
Ce n’est pas spectaculaire, mais c’est souvent le plus gros gain de sécurité à effort raisonnable.
2. Activer la double authentification (2FA) là où ça compte
Pour les comptes importants (mail, réseaux sociaux, banques, plateformes professionnelles), activer une authentification à deux facteurs reste une mesure simple et très efficace :
- idéalement via une application d’authentification (TOTP) ou une clé physique ;
- les SMS sont mieux que rien, mais moins robustes (risques d’attaque sur la carte SIM ou réacheminement) ;
- éviter les simples liens de validation envoyés par mail pour les comptes dont le mail est lui-même sensible.
Le principe : même si votre mot de passe fuit, l’attaquant a besoin d’un deuxième élément, possédé uniquement par vous.
3. Adopter les passkeys là où c’est bien intégré
De plus en plus de services proposent les passkeys comme alternative :
- si votre appareil, votre navigateur et/ou votre gestionnaire de mots de passe les gèrent correctement, c’est une très bonne option ;
- pour les services fréquents (mail principal, gros comptes), les passkeys permettent d’éviter une grande partie des attaques par phishing ;
- vous pouvez coexister : laisser un mot de passe de secours (bien protégé) et utiliser la passkey au quotidien.
L’idée n’est pas de tout migrer d’un coup, mais d’ajouter cette couche là où cela améliore à la fois confort et sécurité.
4. Utiliser une clé physique pour les comptes les plus critiques
Pour certains comptes stratégiques, il vaut la peine d’ajouter une clé de sécurité physique en plus :
- votre adresse mail principale (celle qui permet de réinitialiser les autres) ;
- vos comptes administrateur sur des services essentiels (hébergement, gestion d’équipe, etc.) ;
- éventuellement certains comptes financiers, selon ce qui est proposé.
On parle ici d’un petit nombre de comptes vraiment centraux. Pour le reste, un bon combo gestionnaire + 2FA logiciel + passkeys là où possible est souvent suffisant.
Ce qu’il faut éviter d’attendre des nouvelles solutions
Les passkeys, la biométrie et les clés physiques apportent de réels progrès. Mais il est utile de garder quelques illusions à distance :
- elles ne rendent pas l’erreur humaine impossible : un appareil laissé déverrouillé, une clé physique rangée au même endroit que les identifiants de secours, restent des failles.
- elles ne compensent pas une mauvaise hygiène générale : si vous cliquez sur tous les liens suspects, si vous installez n’importe quelle application, les risques restent élevés.
- elles n’éliminent pas le besoin de sauvegardes : perdre l’accès à un compte sécurisé, c’est bien… sauf si vous n’avez aucun moyen de récupération.
En résumé, ces outils sont là pour réduire certains risques (phishing, réutilisation, devinette de mots de passe), pas pour rendre la sécurité “magique”.
Conclusion : pas la fin des mots de passe, mais la fin du mot de passe seul
Sommes-nous à la “fin des mots de passe” ? Pas vraiment. Ils restent présents dans beaucoup de systèmes, parfois en coulisses, parfois comme secours. En revanche, nous sommes clairement dans la fin du mot de passe isolé comme unique barrière de sécurité.
Ce qui fonctionne vraiment aujourd’hui, ce n’est pas de tout miser sur la dernière technologie à la mode, mais de combiner plusieurs briques :
- gestionnaire + mots de passe uniques ;
- 2FA sur les comptes importants ;
- passkeys dès que c’est simple et bien intégré ;
- clé physique pour les accès les plus sensibles.
Le marketing parlera peut-être de “fin des mots de passe”. En pratique, l’objectif est plus modeste, mais beaucoup plus concret : rendre la compromission de vos comptes suffisamment difficile pour que vous ne soyez plus la cible la plus facile.
