Un visage reconnu, une empreinte posée, et la porte s’ouvre. Avec les passkeys, ou clés d’accès, le Web promet d’en finir avec les mots de passe oubliés, recyclés ou volés. La démonstration est convaincante. Mais que se passe-t-il quand le téléphone disparaît, que toute une famille utilise le même ordinateur ou que l’on quitte Apple pour Android ? Le véritable test commence lorsque la connexion ne suit plus le scénario idéal. À l’horizon de septembre 2026, ces situations constituent le principal enjeu d’adoption. Cette analyse s’appuie sur les déploiements déjà documentés et distingue les perspectives des acquis.
Une promesse de sécurité qui tient debout
Une passkey n’est pas un mot de passe caché derrière un lecteur d’empreinte. Elle repose sur une paire de clés cryptographiques : le service conserve la clé publique ; l’appareil ou le gestionnaire d’identifiants protège la clé privée. Au moment de se connecter, le service envoie un défi auquel cette dernière permet de répondre. Aucun secret réutilisable n’est saisi dans un formulaire ni transmis comme un mot de passe.
Le mécanisme s’appuie notamment sur WebAuthn et les standards FIDO. Son atout décisif est l’association entre l’identifiant et le domaine du service. Un faux site bancaire ne peut pas simplement récupérer la clé d’accès destinée au vrai site. Cette résistance au phishing change la donne, même si elle ne protège ni contre toutes les fraudes, ni contre un appareil compromis, ni contre le vol d’une session déjà ouverte.
L’empreinte ou le visage servent généralement à autoriser l’usage local de la clé ; ils ne sont pas envoyés au site. Selon l’appareil, un code de déverrouillage peut aussi intervenir. Les passkeys ne supposent donc pas nécessairement de confier ses données biométriques à chaque boutique en ligne.
Le déploiement n’est plus une expérience de laboratoire
En 2022, Apple, Google et Microsoft ont annoncé leur soutien à une adoption élargie de ces mécanismes. Apple les a intégrés à ses systèmes ; Google a ouvert leur utilisation pour les comptes Google en 2023 ; Microsoft a permis aux particuliers d’en créer pour leurs comptes en 2024. Des plateformes marchandes, des services numériques et des gestionnaires de mots de passe ont également engagé leur déploiement.
Cette progression a déplacé le problème. Il ne s’agit plus seulement de savoir si la technologie fonctionne, mais si chacun comprend ce qu’il vient de créer. « Enregistrer une clé d’accès » : sur ce téléphone, dans ce navigateur, dans le compte du fabricant ou dans un gestionnaire tiers ? Pour l’utilisateur, ces nuances deviennent essentielles au premier changement d’appareil.
La coexistence des méthodes entretient aussi le flou. Un service propose une passkey, conserve le mot de passe, ajoute un code par SMS et offre une récupération par courriel. Cette transition évite de bloquer les clients. Mais une connexion principale solide ne suffit pas si une procédure secondaire permet de la contourner facilement.
Récupérer son compte : le problème déplacé
Imaginons un téléphone volé pendant un voyage. Avec une passkey synchronisée, un autre appareil déjà associé au même gestionnaire peut permettre de retrouver l’accès. C’est précisément l’intérêt de la synchronisation : éviter qu’une panne matérielle emporte tous les identifiants. Toutes les clés ne suivent toutefois pas ce modèle ; certaines restent liées à un appareil ou à une clé de sécurité physique.
La difficulté apparaît lorsque le téléphone perdu était aussi le seul moyen pratique d’accéder au compte qui synchronise les passkeys. Il faut alors restaurer ce compte, parfois sans numéro disponible, sans appareil de confiance et sans codes de secours. Le secret à mémoriser disparaît, mais le besoin d’une stratégie de récupération demeure.
Pour les services, l’arbitrage est délicat. Une récupération trop stricte exclut les utilisateurs légitimes. Une récupération trop souple ouvre la voie à l’ingénierie sociale : un fraudeur convainc l’assistance de lui restituer un compte. Remplacer le mot de passe ne dispense donc pas de sécuriser le support client, les changements d’adresse électronique et l’ajout de nouveaux appareils.
La réponse passe par plusieurs voies indépendantes : un second appareil, une autre clé d’accès quand le service le permet, une clé matérielle ou des codes de secours conservés hors ligne. Encore faut-il présenter ces précautions au bon moment, sans transformer l’inscription à un service ordinaire en exercice de cybersécurité.
L’ordinateur partagé, angle mort du confort
Sur un téléphone personnel, l’association entre une personne et son appareil paraît naturelle. Sur le portable familial, le poste d’une association ou l’ordinateur d’un hébergement touristique, elle l’est beaucoup moins. Enregistrer une passkey dans le mauvais profil peut rendre son usage accessible à quelqu’un d’autre disposant des moyens de déverrouillage requis. La sécurité dépend aussi de la séparation des sessions du système.
Une solution consiste à utiliser la passkey du téléphone pour autoriser une connexion sur l’ordinateur. Le parcours peut passer par un QR code et une vérification de proximité utilisant Bluetooth. La clé privée n’a pas à être copiée sur le poste emprunté. C’est utile, mais cela suppose un téléphone disponible, suffisamment chargé et un environnement compatible.
Surtout, une authentification sûre ne rend pas un ordinateur public digne de confiance. Une session laissée ouverte reste exploitable. Un logiciel malveillant peut observer l’activité après la connexion. Les services doivent donc expliquer où l’identifiant est enregistré, mais aussi faciliter la déconnexion et la révocation des sessions à distance.
Changer d’écosystème sans perdre ses accès
La synchronisation apporte du confort à l’intérieur d’un même univers technique. Elle devient plus délicate lorsqu’une personne change de téléphone, de gestionnaire ou d’environnement professionnel. Pouvoir utiliser une passkey depuis un autre appareil ne signifie pas nécessairement pouvoir la transférer définitivement vers un autre fournisseur.
Cette distinction est fondamentale. La connexion entre appareils dépanne ; la portabilité permet de partir. Sans transfert simple, l’utilisateur peut devoir conserver temporairement son ancien gestionnaire ou enregistrer de nouvelles clés service par service. Les gestionnaires multiplateformes peuvent réduire certaines frictions, sans supprimer les questions de compatibilité et de récupération.
La FIDO Alliance a présenté en 2024 des projets de spécifications consacrés au transfert sécurisé d’identifiants, dont les passkeys. C’est un jalon réel, pas la preuve d’une portabilité universelle déjà acquise. Pour septembre 2026, la perspective pertinente est celle d’une convergence progressive, dont l’efficacité devra se juger sur les implémentations : transfert compréhensible, protection pendant l’opération et possibilité de vérifier que tous les accès fonctionnent.
Le prochain progrès sera moins spectaculaire
Le succès grand public se mesurera moins au nombre de boutons « Créer une passkey » qu’à la qualité des parcours difficiles. Les services devront nommer clairement le lieu de stockage, permettre plusieurs moyens d’accès et tester leurs procédures avec des utilisateurs peu technophiles. Ils devront aussi éviter les promesses absolues : supprimer la saisie d’un mot de passe n’équivaut pas à supprimer tout risque.
Et maintenant ? Le scénario le plus crédible est une transition inégale plutôt qu’un grand soir du Web sans mot de passe. Les passkeys peuvent devenir le choix ordinaire pour la connexion, tandis que la récupération et la portabilité restent des chantiers. Leur adoption durable dépendra d’une promesse très concrète : entrer facilement aujourd’hui, sans craindre de rester dehors demain.
