Un regard vers le téléphone, une empreinte sur le capteur : la connexion est terminée. Ni mot de passe à inventer, ni code à recopier. Les passkeys, ou clés d’accès, promettent de débarrasser nos vies numériques d’un rituel pénible et vulnérable. Mais imaginons la suite : téléphone perdu, ordinateur familial, changement de marque. Comment rentrer chez soi numériquement ? À l’horizon de septembre 2026, l’enjeu dépasse la disparition d’une case dans un formulaire. Il s’agit de rendre l’accès aux comptes plus sûr sans le rendre plus fragile.
Une vraie rupture face au phishing
Avec un mot de passe, l’utilisateur transmet un secret que le service doit vérifier. Ce secret peut être réutilisé, volé ou saisi sur une fausse page. Une clé d’accès repose sur une paire de clés cryptographiques : le service conserve la clé publique ; la clé privée reste sous le contrôle d’un authentificateur, éventuellement au sein d’un gestionnaire qui la synchronise. Pour se connecter, l’appareil signe un défi plutôt que d’envoyer un secret réutilisable.
Le progrès décisif concerne le destinataire. Les mécanismes FIDO et WebAuthn lient l’identifiant au service légitime et vérifient le contexte de connexion. Une copie convaincante d’un site bancaire, hébergée sur une autre adresse, ne peut donc pas simplement récolter une clé d’accès utilisable sur le vrai site. La résistance au phishing vient de cette architecture, pas de l’empreinte digitale. Celle-ci, comme la reconnaissance faciale ou le code local, sert à autoriser l’opération ; elle n’est pas transmise au site.
Cette transition repose déjà sur des déploiements réels. Apple a intégré les passkeys à ses plateformes en 2022 ; Google les a proposées pour les comptes Google en 2023 ; Microsoft a ouvert leur usage aux comptes personnels en 2024. Ces jalons établissent une dynamique industrielle, pas une adoption universelle. La perspective d’une généralisation en septembre 2026 doit rester une analyse : disponibilité technique, activation effective et abandon des mots de passe sont trois étapes différentes.
Le problème se déplace vers la récupération
Prenons une scène banale : un téléphone tombe à l’eau pendant les vacances. Si la clé d’accès est synchronisée et qu’un autre appareil de confiance reste disponible, l’incident peut être vite réglé. Si tout dépend du téléphone perdu, retrouver son compte devient beaucoup moins simple. Une clé d’accès attachée à un appareil, notamment une clé de sécurité physique, n’offre pas les mêmes possibilités de récupération qu’une clé synchronisée.
La synchronisation apporte donc un confort majeur : elle évite que chaque panne matérielle se transforme en perte d’accès. En contrepartie, elle donne davantage d’importance au compte du fournisseur qui conserve les clés et aux procédures permettant de le récupérer. Le chiffrement de bout en bout, lorsqu’il est utilisé, protège les données synchronisées, mais ne dispense pas d’examiner l’ensemble du parcours : ajout d’un appareil, vérification d’identité, assistance et restauration.
Autre paradoxe : un service peut proposer une connexion très résistante au phishing tout en conservant un bouton « mot de passe oublié » reposant sur un courriel mal protégé. L’attaquant cherchera alors la porte latérale. Le maintien d’un accès par SMS ou par mot de passe ne neutralise pas automatiquement tous les bénéfices des passkeys, mais il peut préserver une voie d’attaque. La sécurité réelle dépend aussi du chemin de secours.
Préparer la panne avant qu’elle arrive
Pour les comptes sensibles, la bonne stratégie consiste à prévoir plusieurs moyens de retour indépendants, lorsque le service le permet : un second appareil, une clé de sécurité supplémentaire, des codes de récupération conservés hors ligne. Il faut surtout savoir ce que chaque solution couvre. Une seconde clé enregistrée auprès du service n’est pas équivalente à une copie synchronisée dépendant du même compte central.
Sur un appareil partagé, qui se connecte vraiment ?
Dans les démonstrations, chacun possède son téléphone et son ordinateur. Dans la vie réelle, il existe des tablettes familiales, des postes d’accueil et des ordinateurs d’école. Sur ces machines, la question devient très concrète : qui peut déverrouiller le profil contenant la clé d’accès ? Un code local connu de plusieurs personnes ou plusieurs empreintes enregistrées dans le même profil brouillent la séparation entre utilisateurs.
Ce n’est pas une faille cryptographique : c’est un problème d’organisation. Le service reçoit la preuve que l’authentificateur autorisé a validé la connexion, pas la garantie abstraite que la bonne personne se trouve devant l’écran. Des sessions système séparées, le verrouillage automatique et des règles claires sur l’enregistrement des clés restent indispensables. Sur un poste public, mieux vaut éviter de laisser un moyen de connexion personnel.
La connexion au moyen d’un téléphone, parfois déclenchée par un QR code affiché sur l’ordinateur, peut répondre à ce besoin sans y enregistrer la clé. Les parcours FIDO interappareils utilisent notamment une vérification de proximité par Bluetooth. Mais leur simplicité dépend du matériel, des autorisations et de l’environnement. Un poste verrouillé par une entreprise ou un téléphone déchargé suffit à rappeler que « sans mot de passe » ne signifie pas « sans contraintes ».
Des standards communs, des expériences encore différentes
Les passkeys ne sont pas conçues comme des secrets exclusifs à une marque : elles reposent sur des standards ouverts. Pourtant, l’endroit où elles sont enregistrées compte beaucoup. Gestionnaire du système, navigateur, application spécialisée ou clé physique : l’utilisateur doit comprendre quel outil détient quel accès. Les fenêtres de création peuvent rendre ce choix moins évident qu’il n’y paraît.
Changer d’écosystème pose alors deux questions distinctes : peut-on utiliser sa clé existante depuis un autre appareil, et peut-on la transférer vers un autre gestionnaire ? Une connexion interappareils ne constitue pas une migration. Des travaux de standardisation sur l’échange sécurisé des identifiants ont été annoncés par la FIDO Alliance en 2024. Ils indiquent une direction, sans permettre de présumer une portabilité complète partout en septembre 2026.
Pour les services, le chantier est autant éditorial que technique. Il faut expliquer où la clé sera sauvegardée, proposer des noms d’appareils compréhensibles et permettre de supprimer un accès perdu. Une liste obscure d’identifiants et trois boutons concurrents peuvent gâcher une excellente technologie. En entreprise, s’ajoutent les départs de salariés, les appareils administrés et les exigences de traçabilité.
Moins de secrets volés, pas la fin des attaques
Enfin, une passkey ne protège pas toute la session qui suit la connexion. Un logiciel malveillant peut viser un appareil déjà compromis ; un attaquant peut dérober un jeton de session ou manipuler une victime pour qu’elle autorise une opération. Les mises à jour, la surveillance des connexions et la confirmation des actions sensibles restent nécessaires. Supprimer le mot de passe réduit une surface d’attaque majeure, pas toutes les surfaces.
Et maintenant ? À l’horizon de septembre 2026, le scénario souhaitable n’est pas une disparition précipitée des mots de passe, mais une transition vérifiable : récupération testée, appareils partagés pris en compte, migration expliquée. Les passkeys ont les arguments techniques pour devenir la norme. Leur succès durable dépendra surtout d’une promesse moins spectaculaire que la connexion instantanée : pouvoir changer de téléphone, perdre un appareil ou quitter un fournisseur sans perdre sa vie numérique.
