Un regard vers le téléphone, une empreinte sur le capteur, et la porte s’ouvre. Pas de mot de passe à inventer, à mémoriser ou à recopier : les passkeys promettent une connexion plus simple et plus sûre. Mais perdez ce téléphone, partagez votre ordinateur ou changez d’écosystème, et la mécanique devient moins évidente. Pour comprendre les enjeux de septembre 2026, il faut distinguer les acquis techniques des évolutions encore incertaines. Cette analyse s’appuie sur les déploiements et standards documentés, sans présumer que tous les obstacles auront disparu à cette échéance.
Une vraie rupture contre le phishing
Une passkey, ou clé d’accès, repose sur une paire de clés cryptographiques. Le service conserve la partie publique ; la partie privée reste sous le contrôle d’un authentificateur, par exemple un téléphone, un ordinateur ou une clé de sécurité. Pour se connecter, l’utilisateur déverrouille cet authentificateur avec son code local ou un mécanisme biométrique. Son empreinte ou son visage ne sont pas transmis au site.
La différence avec un mot de passe est fondamentale : aucun secret réutilisable n’est saisi dans un formulaire. Les mécanismes FIDO et WebAuthn lient l’authentification au service légitime. Une fausse page imitant une banque ne peut donc pas simplement récupérer la passkey et la rejouer ailleurs. C’est un progrès majeur face aux campagnes qui capturent mots de passe et codes temporaires.
Apple, Google et Microsoft ont engagé cette transition, tandis que des services comme Amazon et WhatsApp ont annoncé des prises en charge dès 2023. Mais ces premières vagues ne signifient pas que chaque parcours soit devenu entièrement dépourvu de mot de passe. Création du compte, récupération et accès depuis un appareil inhabituel restent souvent des expériences distinctes.
Le téléphone perdu, juge de paix du système
Le scénario paraît banal : un smartphone tombe en panne la veille d’un déplacement. Avec un mot de passe, l’utilisateur pense pouvoir repartir de sa mémoire, même si un second facteur peut manquer. Avec une passkey, sa première question devient : où est ma clé ? La réponse dépend de son mode de stockage.
Certaines passkeys sont synchronisées par un gestionnaire, comme le trousseau d’Apple ou le gestionnaire de mots de passe de Google, sur les appareils compatibles du même utilisateur. D’autres restent attachées à un authentificateur précis. Une passkey synchronisée peut survivre à la perte d’un appareil ; une clé liée uniquement à cet appareil exige une solution de secours. Or cette distinction est rarement claire au moment de l’inscription.
La synchronisation déplace aussi une partie du problème. Il faut retrouver l’accès au compte qui protège le coffre contenant les passkeys. Appareil de confiance, code de déverrouillage, procédure de récupération : les exigences varient selon le fournisseur et la configuration. Le système peut être solidement sécurisé tout en restant difficile à comprendre sous stress.
Le secours ne doit pas devenir l’entrée principale des fraudeurs
Un site peut conserver une récupération par courriel, SMS ou assistance humaine. C’est indispensable pour éviter des exclusions définitives, mais une voie de secours trop permissive peut contourner la protection de la passkey. L’attaquant n’a plus besoin de vaincre la cryptographie : il cherche à détourner la messagerie ou à convaincre le support.
À l’inverse, une récupération extrêmement stricte risque de bloquer le propriétaire légitime. Le compromis demande plusieurs solutions adaptées au risque : enregistrer un second authentificateur, prévoir des codes de récupération conservés hors ligne ou organiser une vérification renforcée. Pour une banque, une boutique et un forum, la réponse ne sera pas nécessairement identique.
L’appareil partagé casse les automatismes
Sur un téléphone personnel, le geste est naturel. Sur l’ordinateur du salon, utilisé par trois personnes, il devient ambigu. Quel profil est ouvert ? À qui appartient le coffre de clés ? Qui connaît le code de déverrouillage ? Une passkey ne corrige pas à elle seule une mauvaise séparation des sessions et des comptes.
Le point mérite d’être explicite : sur un appareil donné, la vérification locale autorise l’utilisation de la clé selon les règles de cet appareil. Elle ne prouve pas magiquement au service distant quelle personne de la famille se trouve devant l’écran. Partager une session déverrouillée ou son code peut donc affaiblir la confidentialité des comptes accessibles.
Une connexion depuis un ordinateur tiers peut aussi s’appuyer sur le téléphone personnel, notamment au moyen d’un QR code et d’un mécanisme de proximité Bluetooth. Cette authentification interappareils évite d’y enregistrer sa passkey. Mais elle suppose un téléphone disponible, des fonctions compatibles et des explications compréhensibles. Dans une bibliothèque ou un atelier, ces conditions ne sont pas toujours réunies.
Un standard commun, pas une expérience uniforme
Les passkeys bénéficient de standards communs. Pourtant, compatibilité ne veut pas dire interchangeabilité parfaite. Un navigateur peut reconnaître le protocole sans proposer le même gestionnaire, les mêmes écrans ou les mêmes options de récupération qu’un autre. Le comportement dépend aussi du système, de sa version et des politiques de l’organisation.
Passer d’un iPhone à un téléphone Android illustre cette différence. Pouvoir utiliser une clé conservée sur son ancien téléphone pour une connexion ponctuelle n’équivaut pas à la transférer durablement dans un nouveau coffre. L’authentification interappareils et la portabilité des identifiants répondent à deux besoins distincts, souvent confondus dans les discours de simplicité.
En octobre 2024, la FIDO Alliance a publié des projets de spécifications destinés à sécuriser l’échange d’identifiants entre fournisseurs, dont les passkeys. C’est une réponse concrète au risque d’enfermement dans un gestionnaire. Pour septembre 2026, la question prospective est celle de leur mise en œuvre effective : quels coffres permettent le transfert, avec quelles garanties et quelle continuité d’usage ? Un standard annoncé ne garantit pas une migration universelle.
La transition se joue dans les détails
Pour les services, ajouter un bouton ne suffit pas. Il faut expliquer où la clé sera enregistrée, permettre d’en ajouter plusieurs et afficher une liste intelligible des accès. Des intitulés comme « téléphone personnel » ou « clé de secours » aident davantage qu’une date de création isolée. Encore faut-il permettre de révoquer facilement un appareil perdu.
Il faut surtout tester les moments difficiles, pas seulement la connexion idéale : remplacement du téléphone, changement de gestionnaire, départ d’un salarié, poste partagé. Maintenir un mot de passe peut faciliter la transition, mais sa présence et celle des autres voies de connexion doivent entrer dans l’évaluation globale du risque.
Et maintenant ? La généralisation des passkeys dépendra moins d’une nouvelle démonstration biométrique que d’une récupération compréhensible, d’appareils partagés mieux gérés et de transferts fiables entre coffres. Si ces chantiers progressent, septembre 2026 pourrait marquer une étape vers une authentification résistante au phishing devenue ordinaire. Sinon, le mot de passe survivra surtout comme filet de secours : précisément là où les fraudeurs continueront de chercher une ouverture.
