Le lundi matin, la connexion est un jeu d’enfant : un visage reconnu, une empreinte ou un code local, et la session s’ouvre. Jusqu’au téléphone perdu, au terminal d’entrepôt partagé ou au logiciel de comptabilité qui réclame toujours son mot de passe. Les passkeys, ou clés d’accès, peuvent transformer l’authentification en entreprise. À condition de ne pas confondre démonstration réussie et organisation prête. Dans la perspective de septembre 2026, leur avenir dépend moins du bouton « se connecter » que de tout ce qui se passe autour.
Une promesse solide, pas une baguette magique
Le principe est désormais bien établi. Avec une passkey, le service conserve une clé publique ; l’authentificateur utilise la clé privée correspondante pour prouver que l’utilisateur peut se connecter. Aucun secret réutilisable n’est saisi sur le site. Fondées sur les standards FIDO et WebAuthn, ces clés lient l’authentification au service légitime : un faux portail ne peut pas simplement récupérer un mot de passe et le rejouer ailleurs.
La biométrie, lorsqu’elle intervient, sert généralement à déverrouiller localement l’authentificateur. L’empreinte ou le visage ne sont pas transmis au site. Un code local peut aussi remplir cette fonction. Cette distinction compte pour expliquer le dispositif aux salariés : l’entreprise ne constitue pas, par défaut, une base de leurs empreintes digitales.
Depuis l’engagement commun annoncé en 2022 par Apple, Google et Microsoft pour étendre la connexion sans mot de passe, les principaux écosystèmes ont intégré les passkeys. Cela ne signifie pas que toutes les configurations professionnelles se valent. Les capacités documentées jusqu’ici dessinent une trajectoire crédible pour 2026, mais une compatibilité universelle, notamment avec les outils anciens, reste une hypothèse à vérifier, pas un acquis.
Choisir où vivent les clés
Première décision structurante : faut-il des passkeys synchronisées ou liées à un appareil ? Les premières peuvent être disponibles sur plusieurs équipements grâce à un fournisseur de synchronisation. Les secondes restent attachées à un authentificateur donné, par exemple une clé de sécurité matérielle. La synchronisation facilite la continuité d’usage ; l’attachement matériel peut répondre à des exigences de contrôle plus strictes.
Pour l’entreprise, la question n’est donc pas seulement « est-ce sécurisé ? », mais « qui maîtrise le cycle de vie ? ». Une clé enregistrée dans un compte personnel soulève des questions de séparation des usages, de récupération et de départ du salarié. Il faut vérifier les possibilités réelles du fournisseur d’identité et des équipements : enrôlement autorisé, inventaire, révocation, restrictions éventuelles sur les authentificateurs.
Une politique raisonnable distingue les populations. Les administrateurs peuvent nécessiter des authentificateurs matériels contrôlés et une procédure renforcée. Les salariés de bureau peuvent bénéficier d’une expérience plus intégrée. Les prestataires et les travailleurs mobiles demandent encore d’autres parcours. Vouloir un dispositif identique pour tous risque surtout de fabriquer des exceptions clandestines.
Le poste partagé, véritable test du terrain
À l’accueil, en atelier ou dans un magasin, l’ordinateur n’appartient pas à une seule personne. Plusieurs équipes s’y succèdent, parfois dans l’urgence. Enregistrer la passkey d’un salarié dans un profil commun brouillerait la séparation des identités et pourrait exposer son accès aux autres utilisateurs de ce profil. Le premier chantier consiste donc à distinguer le poste partagé du compte partagé : mutualiser le matériel ne justifie pas de mutualiser l’identité.
Une clé de sécurité individuelle peut permettre à chacun de s’authentifier sur le même terminal, sous réserve de compatibilité. Une connexion utilisant un téléphone proche constitue une autre possibilité dans certains environnements. Mais imposer le téléphone personnel exclut ceux qui n’en ont pas, refusent cet usage ou travaillent dans une zone où il est interdit. Une solution professionnelle doit rester disponible.
Le pilote doit reproduire les gestes réels : branchement, saisie du code, manipulation avec des gants, changement d’équipe, perte de l’accessoire. Et surtout, départ du poste. Retirer une clé matérielle ne ferme pas nécessairement la session déjà ouverte. Verrouillage automatique, déconnexion applicative et séparation des profils restent indispensables : la passkey sécurise l’entrée, pas toute l’occupation des lieux.
La récupération ne doit pas devenir la porte dérobée
Le scénario décisif arrive souvent loin du bureau : ordinateur remplacé, téléphone cassé, clé oubliée. Une entreprise qui supprime les mots de passe sans préparer ces situations transfère la panne vers son centre d’assistance. Pire, elle peut recréer une faiblesse majeure si un simple appel suffit à faire enregistrer un nouvel authentificateur.
Il est préférable d’organiser la redondance dès l’inscription : un second authentificateur autorisé, conservé séparément lorsque c’est possible, et des consignes compréhensibles. La récupération doit suivre une procédure documentée : contrôle d’identité adapté au risque, notification au titulaire et traçabilité. Pour un compte sensible, une validation supplémentaire ou un délai de sécurité peut être justifié.
Certains fournisseurs proposent des accès temporaires pour amorcer ou restaurer l’authentification. Leur durée, leur périmètre et leur délivrance doivent être encadrés. Il faut aussi prévoir la révocation de l’authentificateur perdu et, si nécessaire, des sessions actives. Récupérer un accès et neutraliser l’ancien sont deux opérations distinctes. Un exercice de téléphone perdu révèle souvent davantage qu’une présentation commerciale.
Les applications anciennes imposent une transition
Le portail principal peut accepter les passkeys alors que le logiciel métier attend encore un identifiant et un mot de passe. Lorsque l’application sait déléguer l’authentification, la fédération via SAML ou OpenID Connect permet souvent de placer le fournisseur d’identité moderne au centre du parcours. L’utilisateur bénéficie alors d’une connexion par passkey sans que chaque application implémente directement WebAuthn.
Pour les autres logiciels, une passerelle ou un mécanisme de coffre-fort peut réduire l’exposition et la saisie des mots de passe. Mais il faut nommer correctement le résultat : masquer un secret à l’utilisateur ne le supprime pas du système. Ces dispositifs constituent des étapes de transition, avec leurs propres contraintes. Les comptes techniques et les traitements automatisés demandent, eux aussi, une stratégie distincte.
Mesurer les blocages autant que les inscriptions
Un déploiement réussi se juge moins au nombre de passkeys créées qu’à la capacité des salariés à travailler sans contourner les règles. Le pilote doit inclure des profils difficiles, pas seulement l’équipe informatique. Quelques indicateurs suffisent à éclairer les arbitrages :
- Les échecs de connexion, ventilés par appareil et application.
- Les demandes de récupération et le temps nécessaire pour reprendre le travail.
- La part des parcours encore dépendants d’un mot de passe.
- Les exceptions et les usages de comptes partagés qui persistent.
La communication doit expliquer les incidents aussi clairement que la première connexion. Un accompagnement court, une assistance préparée et une solution de secours testée valent mieux qu’une suppression générale du mot de passe annoncée pour une date symbolique.
Et maintenant ? À l’horizon de septembre 2026, le scénario le plus plausible est une progression par étapes, plutôt qu’une disparition uniforme des mots de passe. Les entreprises les mieux préparées seront celles qui auront traité l’authentification comme un service complet : accès quotidien, matériel partagé, récupération et départ des collaborateurs. La bonne ambition n’est pas d’afficher « zéro mot de passe », mais de rendre l’accès légitime simple et l’usurpation difficile, même les mauvais jours.
