Le téléphone a disparu, l’ordinateur est resté au bureau et le compte principal demande une validation sur l’appareil perdu. Voilà le vrai test des passkeys, ces clés d’accès censées remplacer nos mots de passe. Quand tout fonctionne, un visage ou une empreinte suffit. Quand la vie déborde du scénario prévu, la simplicité devient plus fragile. À l’horizon de septembre 2026, la question décisive n’est donc pas seulement leur adoption : c’est la capacité à récupérer, partager et déplacer ses accès sans reconstruire les failles du passé.
Cette analyse s’appuie sur les déploiements et les mécanismes documentés jusqu’en juin 2024. Les évolutions envisagées pour septembre 2026 sont des perspectives, et non un bilan de fonctionnalités ou d’annonces ultérieures.
Une vraie avancée contre le phishing
Une passkey repose sur une paire de clés cryptographiques. Le service conserve la clé publique ; la clé privée reste sous le contrôle de votre appareil ou de votre gestionnaire d’identifiants. Lors de la connexion, celui-ci prouve qu’il possède la clé privée sans la transmettre au site. Le déverrouillage local, par biométrie ou code, autorise cette opération. Votre empreinte digitale n’est donc pas envoyée au commerçant ou au réseau social.
Le bénéfice majeur tient à l’association entre l’identifiant et le service légitime. Un faux site ressemblant à votre banque ne peut pas simplement vous faire saisir une passkey, puis la réutiliser ailleurs. Dans le cadre de WebAuthn et des standards FIDO, l’authentification vérifie le contexte du site demandeur. C’est une différence fondamentale avec un mot de passe, et même avec un code temporaire que la victime peut recopier sur une page frauduleuse.
Apple, Google et Microsoft avaient engagé cette transition avant juin 2024, tandis que des services comme Google, PayPal ou GitHub proposaient déjà des clés d’accès. Mais résister au phishing ne signifie pas rendre un compte invulnérable. Un logiciel malveillant peut viser une session déjà ouverte ; un escroc peut convaincre une personne connectée d’effectuer un virement. La passkey protège une étape essentielle, pas toute l’activité numérique.
Récupérer son compte : le problème déplacé
Avec un mot de passe oublié, le réflexe est connu : cliquer sur un lien reçu par courriel. Avec une passkey perdue, tout dépend de son stockage. Certaines clés sont liées à un appareil ou à une clé de sécurité physique. D’autres sont synchronisées, sous forme chiffrée, entre les appareils d’un même gestionnaire. Cette seconde approche facilite le remplacement d’un téléphone, à condition de retrouver l’accès au compte qui assure la synchronisation.
Le centre de gravité se déplace alors. Le compte Apple, Google ou celui d’un gestionnaire de mots de passe devient un point de dépendance pour de nombreux autres comptes. Ce n’est pas automatiquement moins sûr : ces services disposent de mécanismes de protection élaborés. Mais l’utilisateur doit comprendre une chaîne de secours qu’il n’avait pas nécessairement conscience de construire.
La porte de secours peut devenir l’entrée principale
Si un service accepte de contourner une passkey grâce à un simple SMS, l’attaquant cherchera éventuellement à détourner le numéro de téléphone. Si le support peut réinitialiser l’accès après quelques questions personnelles, l’ingénierie sociale retrouve un terrain familier. La sécurité réelle dépend donc aussi du chemin de récupération le plus faible, pas uniquement du bouton de connexion le plus moderne.
À l’inverse, une récupération excessivement rigide peut exclure le propriétaire légitime. Vol de sac, téléphone cassé, changement de numéro : ces incidents ordinaires ne devraient pas devenir des condamnations numériques. Le compromis sérieux combine plusieurs moyens indépendants : un autre appareil, une seconde clé enregistrée lorsque le service l’autorise, des codes de secours conservés hors ligne. Encore faut-il présenter ces options avant l’accident.
Partager sans se transmettre toute sa vie
Dans les démonstrations, une personne possède un appareil et accède à son compte. Dans la vraie vie, un couple consulte les factures, plusieurs salariés administrent une boutique et un proche aide un parent âgé. Le mot de passe commun est une mauvaise pratique, mais il remplit souvent une fonction que le service n’a jamais correctement prévue.
Les passkeys rendent cette lacune visible. Certains gestionnaires permettent déjà de partager des identifiants, y compris des clés d’accès dans des configurations compatibles. Cela ne remplace pourtant pas une véritable gestion des droits. Donner accès au même compte peut aussi donner le pouvoir de modifier son adresse de récupération, de consulter toutes ses données ou d’exclure les autres utilisateurs.
La bonne réponse est souvent la délégation, plutôt que le partage d’un secret. Chaque personne devrait disposer de son accès, avec des permissions adaptées et révocables. Pour une entreprise, cela permet aussi d’identifier l’auteur d’une action. Pour une famille, cela évite de partager le compte central qui contient également les photos, les sauvegardes et les moyens de paiement. Les passkeys ne créent pas ce besoin ; elles obligent à le prendre au sérieux.
Changer d’écosystème, le test de liberté
Passer d’un téléphone à un autre paraît simple tant que les identifiants suivent. Quitter un environnement pose une autre question : comment emporter ses passkeys ? La compatibilité du protocole de connexion ne garantit pas celle du coffre qui les conserve. Un service peut accepter WebAuthn sur plusieurs plateformes sans que ses utilisateurs disposent d’un transfert direct entre tous les gestionnaires.
Une connexion entre appareils, par exemple en scannant un QR code puis en validant sur son téléphone, peut dépanner sur un ordinateur différent. Mais utiliser une clé à distance n’est pas la transférer. Pour quitter durablement un fournisseur, il faut pouvoir exporter de manière sûre, ou enregistrer de nouvelles clés auprès des services concernés tant que l’ancien accès fonctionne encore.
Pour septembre 2026, la portabilité constitue donc un critère à surveiller plutôt qu’un acquis à présumer. Des transferts sûrs et interopérables réduiraient la dépendance aux plateformes. Leur difficulté est réelle : faciliter la sortie des clés privées sans créer un outil d’exfiltration. La qualité d’une solution se jugera aussi à ses contrôles, à ses avertissements et à sa capacité à accompagner un départ complet.
Ce qu’il faut vérifier avant de basculer
Pour l’utilisateur, le bon réflexe n’est pas de refuser les passkeys, mais d’examiner leur mode d’emploi en situation dégradée. Trois questions valent mieux qu’une promesse de connexion « sans effort » :
- Où ma clé est-elle conservée, et sera-t-elle disponible si mon appareil principal disparaît ?
- Quels moyens indépendants permettent de récupérer mon compte, et sont-ils eux-mêmes protégés ?
- Puis-je ajouter un autre accès, déléguer des droits et changer de gestionnaire sans repartir de zéro ?
Et maintenant ? La prochaine étape pourrait se jouer moins sur la reconnaissance faciale que sur les procédures invisibles : récupération compréhensible, délégation précise, migration vérifiable. Les passkeys apportent une protection tangible contre une grande famille d’attaques. Leur réussite durable dépendra d’une exigence plus terre à terre : permettre aux gens de perdre un téléphone, de changer de fournisseur ou d’aider un proche sans perdre le contrôle de leur identité numérique.
