Les mots de passe sont le maillon faible de la sécurité depuis des décennies : trop simples, réutilisés, devinés, volés par hameçonnage. La double authentification par SMS ou par code a beaucoup amélioré la situation, mais elle reste contournable par un phishing bien construit qui relaie le code en temps réel. Les passkeys, fondées sur les standards FIDO2 et WebAuthn, changent la donne : elles suppriment le secret partagé et sont, par construction, résistantes au phishing.
Ce guide explique comment elles fonctionnent, quelles variantes existent, et comment les déployer dans une petite structure sans risquer de bloquer les utilisateurs.
L’essentiel en 30 secondes
- Une passkey est une paire de clés cryptographiques : la clé privée reste sur votre appareil, le site ne connaît que la clé publique.
- Elle est liée au domaine du site : une fausse page de connexion ne peut pas l’utiliser. C’est ce qui la rend résistante au phishing.
- Deux familles : passkeys synchronisées (via le compte Apple, Google ou un gestionnaire de mots de passe) et passkeys liées à l’appareil (clés de sécurité matérielles).
- Déploiement : commencer par les comptes à privilèges, enregistrer au moins deux authentificateurs par personne.
Comment fonctionne une passkey
- Enregistrement : l’appareil (téléphone, ordinateur, clé de sécurité) génère une paire de clés propre à ce site. La clé publique est envoyée au site, la clé privée ne quitte jamais l’authentificateur sécurisé.
- Connexion : le site envoie un défi aléatoire. L’appareil vérifie que le domaine correspond à celui de l’enregistrement, demande votre empreinte, votre visage ou votre code de déverrouillage, puis signe le défi avec la clé privée.
- Vérification : le site vérifie la signature avec la clé publique. Aucun secret n’a transité.
Conséquences : une fuite de la base de données du site n’expose que des clés publiques, inutilisables ; et un faux site, même parfaitement imité, ne peut pas obtenir de signature valide puisque son domaine est différent.
Comparaison avec les autres méthodes
| Méthode | Vol par phishing | Fuite de base de données | Confort |
|---|---|---|---|
| Mot de passe seul | Oui | Exposé (si mal stocké ou faible) | Moyen |
| Mot de passe + SMS | Oui (relais en temps réel) | Mot de passe exposé | Moyen |
| Mot de passe + code TOTP | Oui (relais en temps réel) | Mot de passe exposé | Moyen |
| Passkey | Non | Clé publique seulement | Élevé |
Passkeys synchronisées ou liées à l’appareil ?
Synchronisées
Stockées dans le trousseau d’Apple, le gestionnaire de Google, ou un gestionnaire de mots de passe compatible, elles se retrouvent sur tous vos appareils. Avantage : le confort et la récupération facile en cas de perte d’un appareil. Contrepartie : leur sécurité dépend de celle du compte de synchronisation, qui doit lui-même être très bien protégé.
Liées à l’appareil (clés matérielles)
Stockées dans une clé de sécurité USB/NFC, elles ne peuvent pas être copiées. Avantage : le niveau de garantie le plus élevé, adapté aux administrateurs, à la direction, à la comptabilité. Contrepartie : il faut gérer les clés physiques et en prévoir une de secours.
Déployer les passkeys dans une petite structure
- Inventaire des services compatibles : suites collaboratives, gestionnaires de mots de passe, banques, hébergeurs, registrars, réseaux sociaux. La prise en charge progresse rapidement.
- Comptes à privilèges d’abord : administrateurs de la messagerie, du nom de domaine, de l’hébergement, de la banque. Deux clés matérielles par personne (une principale, une conservée en lieu sûr).
- Utilisateurs : passkeys synchronisées sur le smartphone professionnel ou via le gestionnaire de mots de passe de la structure.
- Politiques : dans la console d’administration, autorisez puis exigez les méthodes résistantes au phishing pour les rôles sensibles.
- Récupération : au moins deux authentificateurs par compte, des codes de secours stockés hors ligne, une procédure de réinitialisation avec vérification d’identité.
- Retrait progressif des méthodes faibles (SMS) une fois l’enrôlement terminé.
Les pièges à éviter
- Un seul authentificateur : perdu, c’est le blocage. Toujours deux.
- Laisser le mot de passe comme porte de secours sans MFA : l’attaquant passera par là. Protégez ou désactivez les chemins de repli.
- Le compte de synchronisation mal protégé : si les passkeys sont dans un trousseau personnel non sécurisé, tout repose sur lui.
- Les appareils partagés : une passkey sur un ordinateur commun est utilisable par toute personne qui le déverrouille.
Questions fréquentes
Les passkeys remplacent-elles complètement les mots de passe ?
À terme, sur de plus en plus de services. Aujourd’hui, de nombreux services les proposent en plus du mot de passe ; l’intérêt maximal est atteint quand les méthodes faibles sont désactivées.
Que se passe-t-il si je perds mon téléphone ?
Avec des passkeys synchronisées, vous les retrouvez sur vos autres appareils ou après restauration du compte. Avec une clé matérielle, vous utilisez la clé de secours. D’où l’importance de prévoir deux authentificateurs.
Mes données biométriques sont-elles envoyées au site ?
Non. L’empreinte ou le visage servent uniquement à déverrouiller la clé localement, sur l’appareil.
Une clé de sécurité coûte-t-elle cher ?
Le coût est modeste au regard de la protection apportée pour un compte d’administrateur. Une clé fonctionne avec de nombreux services.
Pouvez-vous nous aider à les déployer ?
Oui, dans le cadre d’un projet de sécurisation des accès. Voir aussi notre guide sur la double authentification en TPE.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
