Pendant des décennies, la sécurité des comptes en ligne a reposé sur une consigne presque impossible à respecter : créer un mot de passe long, complexe, unique pour chaque service, puis ne jamais l’oublier.
Dans la pratique, les utilisateurs réutilisent leurs mots de passe, choisissent des combinaisons prévisibles ou les modifient légèrement d’un site à l’autre. Lorsqu’une base de données est compromise, les identifiants volés peuvent ensuite être testés sur de nombreux autres services.
Les passkeys, ou clés d’accès, promettent de mettre fin à ce modèle fragile. Elles permettent de se connecter en déverrouillant son téléphone ou son ordinateur, généralement avec une empreinte digitale, une reconnaissance faciale ou un code PIN.
La technologie est désormais prise en charge par Apple, Google, Microsoft, les principaux navigateurs et un nombre croissant de services en ligne. Son adoption progresse rapidement, mais les mots de passe ne sont pas encore sur le point de disparaître complètement.
Comment fonctionne une passkey ?
Une passkey repose sur la cryptographie à clé publique.
Lors de sa création, l’appareil génère deux clés liées mathématiquement :
- une clé publique, enregistrée par le site ;
- une clé privée, conservée sur l’appareil ou dans un gestionnaire sécurisé.
Lors de la connexion, le service envoie un défi cryptographique. L’appareil le signe avec la clé privée après avoir vérifié la présence de l’utilisateur.
Cette vérification peut passer par la biométrie ou par le code de déverrouillage de l’appareil.
Le site contrôle ensuite la signature grâce à la clé publique. Si elle est valide, l’accès est autorisé.
Aucun mot de passe n’est transmis ou stocké sous une forme susceptible d’être réutilisée.
Le site ne reçoit pas non plus votre empreinte digitale ou l’image de votre visage. La biométrie reste sur l’appareil et sert uniquement à autoriser l’utilisation de la clé privée.
Pourquoi les passkeys sont-elles plus résistantes au phishing ?
Le phishing fonctionne parce qu’un utilisateur peut saisir son mot de passe sur une fausse page qui imite un site officiel.
Même lorsque la copie est presque parfaite, les passkeys ne se comportent pas comme un mot de passe classique. Elles sont associées au véritable domaine Internet pour lequel elles ont été créées.
Une passkey créée pour un compte Google ne peut donc pas être utilisée sur une imitation hébergée à une autre adresse. Le navigateur et le système d’exploitation vérifient automatiquement la destination.
L’utilisateur n’a plus à décider seul si la page est authentique.
Cette propriété neutralise une grande partie des attaques qui reposent sur le vol d’identifiants par e-mail, SMS ou faux sites de connexion.
Elle ne bloque toutefois pas toutes les formes de manipulation. Un escroc peut encore chercher à convaincre sa victime de modifier ses paramètres de sécurité, de communiquer un code de récupération ou d’installer une fausse application.
Une fuite de données devient-elle moins dangereuse ?
Oui, au moins pour l’authentification.
Avec un mot de passe, le service stocke généralement une empreinte cryptographique. Si sa base est volée, les attaquants peuvent tenter de retrouver les mots de passe les plus faibles, puis les tester sur d’autres plateformes.
Avec une passkey, le serveur ne conserve que la clé publique.
Cette clé ne permet pas de se connecter au compte et ne peut pas être transformée en clé privée. Elle ne peut pas non plus être réutilisée sur un autre service.
Une fuite reste grave si elle expose des informations personnelles, mais elle ne livre plus directement un secret utilisable pour ouvrir le compte.
Les passkeys remplacent-elles la double authentification ?
Dans de nombreux cas, elles peuvent remplacer la combinaison classique « mot de passe plus code ».
La connexion repose à la fois sur la possession de l’appareil et sur sa méthode de déverrouillage. L’utilisateur confirme son identité en une seule action, sans saisir un mot de passe puis attendre un code par SMS.
Cet avantage est important.
Une sécurité trop complexe finit souvent par être contournée. Les passkeys peuvent au contraire rendre la connexion plus rapide tout en supprimant plusieurs faiblesses du mot de passe.
Il faut cependant distinguer les passkeys synchronisées des clés liées à un appareil.
Passkeys synchronisées ou liées à un appareil
Une passkey synchronisée est enregistrée dans un gestionnaire d’identifiants et peut être retrouvée sur plusieurs appareils connectés au même compte.
Lorsqu’un utilisateur change de téléphone, ses passkeys peuvent généralement être restaurées sur le nouvel appareil après récupération de son compte principal.
Cette méthode est adaptée au grand public, car elle réduit le risque de perdre définitivement l’accès à ses comptes.
Une passkey liée à un appareil reste, au contraire, stockée sur un équipement précis ou sur une clé de sécurité physique.
Elle offre un contrôle plus strict, mais impose de prévoir plusieurs moyens d’accès. Si l’unique appareil est perdu ou détruit, l’utilisateur pourrait être bloqué.
Les entreprises, administrateurs et profils très exposés peuvent préférer cette seconde approche pour certains comptes sensibles.
Où en est réellement leur adoption ?
Les passkeys ne sont plus expérimentales.
Les principaux systèmes d’exploitation et navigateurs les prennent désormais en charge. De grandes plateformes permettent déjà de les utiliser pour accéder à une messagerie, un compte professionnel, un réseau social ou certains services financiers.
Les entreprises commencent également à les déployer afin de réduire les attaques de phishing et les demandes de réinitialisation de mots de passe.
L’adoption reste néanmoins fragmentée.
Certains services permettent de supprimer complètement le mot de passe. D’autres proposent seulement la passkey comme une option supplémentaire. Beaucoup de sites ne la prennent toujours pas en charge ou la limitent à certaines applications et à certains appareils.
Deux utilisateurs peuvent donc avoir des expériences très différentes selon les services qu’ils utilisent.
Le principal obstacle n’est plus la solidité de la technologie. Il réside dans la transition entre l’ancien système et le nouveau.
Pourquoi les mots de passe existent-ils encore ?
Un service ne peut pas supprimer le mot de passe sans prévoir ce qui se passe lorsque l’utilisateur perd son téléphone, change d’écosystème, oublie le code de son appareil ou ne peut plus accéder à son gestionnaire d’identifiants.
Il doit également gérer les comptes partagés, les appareils professionnels, les départs de salariés et les utilisateurs qui contactent le support après avoir perdu tous leurs moyens de connexion.
Le mot de passe est vulnérable, mais il est compris par presque tout le monde et fonctionne sur presque tous les appareils.
Les passkeys obligent les entreprises à repenser l’ensemble du cycle de vie d’un compte : création, connexion, ajout d’appareils, révocation et récupération.
Beaucoup préfèrent donc les introduire progressivement plutôt que supprimer immédiatement les anciennes méthodes.
Le problème des méthodes de secours
Ajouter une passkey ne suffit pas à rendre un compte réellement résistant au phishing.
Si le service permet toujours de se connecter avec un mot de passe, l’attaquant peut simplement ignorer la passkey et viser l’ancienne méthode.
La même faiblesse existe lorsque la récupération du compte repose sur un code SMS, une adresse électronique peu protégée ou quelques questions faciles à contourner.
La sécurité globale dépend toujours de la porte d’entrée la plus faible.
Un compte protégé par une excellente passkey, mais récupérable après une simple manipulation du support client, reste vulnérable.
Pour que les passkeys apportent toute leur valeur, les plateformes devront progressivement supprimer les anciennes méthodes ou rendre leurs procédures de secours beaucoup plus robustes.
La récupération des comptes reste le point critique
La question la plus difficile est simple : comment rendre l’accès à une personne qui a perdu tous ses appareils sans offrir la même possibilité à un fraudeur ?
Une procédure trop facile annule une partie des bénéfices de la passkey. Une procédure trop stricte peut bloquer définitivement le véritable propriétaire.
Les services utilisent différentes solutions :
- récupération du compte principal qui synchronise les passkeys ;
- seconde passkey enregistrée sur un autre appareil ;
- clé de sécurité physique ;
- codes de récupération conservés hors ligne ;
- vérification renforcée de l’identité.
Aucune méthode n’est parfaite.
Avant de supprimer un mot de passe, l’utilisateur doit donc vérifier comment son compte pourra être récupéré en cas de perte ou de vol.
Sommes-nous enfermés dans un écosystème ?
Le risque existe.
Les passkeys peuvent être synchronisées par Apple, Google, Microsoft ou par certains gestionnaires tiers. Leur utilisation entre plusieurs plateformes s’est améliorée, notamment grâce à la possibilité d’utiliser un téléphone pour valider une connexion sur un ordinateur.
Mais le transfert complet de centaines de passkeys d’un gestionnaire à un autre reste moins simple et moins uniforme que l’exportation de mots de passe.
La situation devrait s’améliorer avec le développement de standards de migration sécurisée. Leur adoption par tous les fournisseurs demandera toutefois encore du temps.
Avant de centraliser ses passkeys chez un seul acteur, il est prudent de vérifier les options de récupération, de migration et d’utilisation multiplateforme.
Les passkeys sont-elles invulnérables ?
Non.
Elles protègent surtout l’étape de connexion. Elles réduisent fortement le vol, la réutilisation et l’hameçonnage des identifiants.
Elles ne bloquent pas nécessairement :
- un logiciel malveillant déjà installé ;
- le vol d’une session après la connexion ;
- une fausse application ;
- une autorisation accordée à un service frauduleux ;
- la compromission de la messagerie de récupération ;
- la manipulation du support client ;
- l’utilisation d’un téléphone déjà déverrouillé.
La sécurité dépend donc toujours du code de verrouillage de l’appareil, de la protection du compte qui synchronise les passkeys et de la qualité des procédures de récupération.
Faut-il les activer dès maintenant ?
Oui, en priorité sur les comptes importants qui les proposent :
- la messagerie principale ;
- les comptes Apple, Google ou Microsoft ;
- le gestionnaire de mots de passe ;
- les comptes professionnels ;
- les services financiers compatibles ;
- les réseaux sociaux.
Pour les comptes critiques, il est préférable de créer plusieurs moyens d’accès sûrs et de conserver les codes de récupération hors ligne.
Il faut également protéger correctement les appareils contenant les passkeys avec un code solide et des mises à jour régulières.
Les passkeys vont-elles réellement remplacer les mots de passe ?
Probablement, mais de manière progressive.
Elles possèdent un avantage rare : elles peuvent améliorer simultanément la sécurité et la simplicité d’utilisation.
Elles éliminent les mots de passe faibles, la réutilisation entre plusieurs services et une grande partie du phishing traditionnel. Elles réduisent aussi la valeur des bases d’identifiants volées.
Le principal frein ne vient plus de la technologie, mais des services qui ne la proposent pas encore, des migrations imparfaites entre plateformes et des méthodes de récupération trop faibles.
Les mots de passe et les passkeys vont donc coexister pendant plusieurs années.
La disparition réelle du mot de passe ne se produira pas simplement lorsque chaque utilisateur aura créé une passkey. Elle se produira lorsque les services pourront fermer toutes les anciennes portes sans risquer de bloquer leurs clients.
Les passkeys sont aujourd’hui la solution la plus crédible pour y parvenir. Elles ne constituent pas une protection absolue, mais elles corrigent enfin plusieurs des défauts fondamentaux du mot de passe.
