Passkeys : comment fonctionnent les clés d'accès et faut-il remplacer ses mots de passe

Google, Apple, Microsoft, Amazon, PayPal, WhatsApp : la plupart des grands services proposent désormais de se connecter avec une clé d'accès, ou passkey, plutôt qu'avec un mot de passe. Le principe séduit : plus rien à retenir, plus rien à taper, et une protection bien supérieure contre le hameçonnage. Mais que se passe-t-il si l'on perd son téléphone, peut-on changer d'écosystème, et faut-il vraiment tout basculer ? Voici ce que sont les passkeys, comment elles fonctionnent et comment les adopter sans se piéger.

Comment fonctionne une clé d'accès

Une passkey repose sur un standard ouvert, porté par l'alliance FIDO et le W3C (norme WebAuthn), et sur une technique éprouvée : la cryptographie à clé publique. Lors de la création d'une passkey pour un site, votre appareil génère une paire de clés :

• une clé publique, transmise au site, qui ne permet à elle seule rien de dangereux ;
• une clé privée, qui ne quitte jamais votre appareil ou votre gestionnaire de clés.

À chaque connexion, le site envoie un défi que seul le détenteur de la clé privée peut signer. Votre appareil vous demande de le déverrouiller, par empreinte, reconnaissance faciale ou code PIN, puis renvoie la signature. Le site la vérifie avec la clé publique, et la connexion est établie. Aucun secret ne transite sur le réseau.

Pourquoi c'est plus sûr qu'un mot de passe, même avec double authentification

Le mot de passe a un défaut de conception : c'est un secret partagé, que l'on tape, que le site stocke et qu'un pirate peut intercepter, deviner ou récupérer dans une fuite de données. La double authentification par SMS ou par code corrige en partie le problème, sans le supprimer.

Menace	Mot de passe seul	Mot de passe et code SMS	Passkey
Fuite de la base de données du site	Exposé	Partiellement protégé	Protégé, seule la clé publique est stockée
Réutilisation sur plusieurs sites	Fréquente	Fréquente	Impossible, une clé par site
Faux site de hameçonnage	Exposé	Exposé, le code peut être relayé	Protégé, la clé est liée au vrai domaine
Détournement de carte SIM	Sans objet	Exposé	Protégé
Vol de l'appareil déverrouillé	Variable	Exposé	Limité, déverrouillage biométrique ou PIN exigé

Le point décisif est la résistance au hameçonnage : une passkey est liée au nom de domaine exact du site. Sur une fausse page imitant votre banque, elle ne se déclenche tout simplement pas. Aucune vigilance humaine n'est requise, c'est l'outil qui refuse. Le détournement de numéro de téléphone, que nous décrivons dans notre article sur le SIM swap, perd lui aussi l'essentiel de son intérêt.

Où sont stockées vos passkeys

La clé privée doit bien vivre quelque part. Trois options coexistent, avec des compromis différents.

1. Le trousseau de votre système : Trousseau iCloud sur Apple, Gestionnaire de mots de passe de Google sur Android et Chrome, Windows Hello sur PC. Les clés se synchronisent entre vos appareils d'un même écosystème, de façon chiffrée.
2. Un gestionnaire de mots de passe tiers : les principaux gestionnaires du marché savent créer et synchroniser des passkeys sur tous les systèmes. C'est la solution la plus souple pour qui mélange iPhone, Android, Windows et Mac. Nos critères de choix sont détaillés dans notre guide sur les gestionnaires de mots de passe.
3. Une clé de sécurité physique : une petite clé USB ou NFC conforme FIDO2 stocke les passkeys sans synchronisation. C'est le niveau de sécurité maximal, adapté aux comptes les plus sensibles, mais la perte de la clé impose d'en avoir une seconde en secours.

Pour se connecter depuis un ordinateur qui ne contient pas vos clés, par exemple le PC d'un proche, le site affiche un QR code : vous le scannez avec votre téléphone, qui doit se trouver à proximité (la vérification passe par Bluetooth), et vous validez sur le téléphone. La clé privée ne quitte pas celui-ci.

Adopter les passkeys sans se piéger

La crainte la plus répandue concerne la perte d'accès. Elle est légitime, mais se gère avec quelques précautions.

Changer de téléphone ou d'écosystème

Passer d'un iPhone à un autre iPhone, ou d'un Android à un autre, ne pose aucun problème : les clés suivent le compte synchronisé. Le passage d'Apple à Android, ou l'inverse, a longtemps été le point faible des passkeys, les clés restant enfermées dans l'écosystème d'origine.

La situation s'améliore : l'alliance FIDO a publié des spécifications d'échange sécurisé de clés entre gestionnaires, et les grands acteurs ont commencé à proposer l'export et l'import de passkeys. En attendant que ce soit généralisé, deux solutions simples existent : utiliser un gestionnaire tiers multiplateforme, ou créer une nouvelle passkey sur le nouvel appareil, en se connectant une dernière fois par l'ancien ou par une méthode de secours. Un compte peut contenir plusieurs passkeys, une par appareil ou gestionnaire, sans difficulté.

Faut-il abandonner les mots de passe ?

Pas encore complètement. Beaucoup de sites ne proposent pas de passkey, et ceux qui le font conservent presque toujours le mot de passe en parallèle. Une passkey ajoutée à un compte qui garde un mot de passe faible laisse une porte ouverte : l'idéal est de coupler la passkey à un mot de passe long et unique, stocké dans un gestionnaire, voire de supprimer le mot de passe quand le service le permet.

0 secret transmis au site lors d'une connexion par passkey : le serveur ne stocke qu'une clé publique, inutile pour un pirate

Les passkeys ne sont pas une mode : elles règlent le problème que les mots de passe n'ont jamais su résoudre, celui de l'erreur humaine face à un faux site bien imité. La transition prendra encore quelques années, mais chaque compte important basculé réduit dès aujourd'hui le risque de piratage.