Un passkey (« clé d’accès » en français) remplace le mot de passe par une paire de clés cryptographiques : la clé privée reste enfermée dans ton téléphone ou ton ordinateur, la clé publique part chez le service qui la range dans sa base, et tu déverrouilles avec ton empreinte ou le code de l’appareil. C’est tout. La FIDO Alliance en compte cinq milliards en circulation dans le monde en 2026.
Voilà la version courte. La suite explique ce que ça change réellement, et les deux endroits où ça coince encore.
Un passkey, c’est quoi exactement ?
Un mot de passe est un secret partagé. Tu le connais, le service le connaît (sous forme d’empreinte calculée, en principe, mais on a déjà vu des bases stockées en clair), et quiconque met la main dessus le connaît aussi. Deux endroits à protéger. Tu n’en contrôles qu’un.
Le passkey supprime le secret partagé. À l’inscription, ton appareil fabrique deux clés liées mathématiquement : la publique part chez le service, qui la range dans sa base, et la privée ne sort jamais de l’appareil (elle vit dans une puce dédiée, Secure Enclave chez Apple, environnement d’exécution sécurisé côté Android). Au moment de la connexion, le site envoie un défi aléatoire. Ton appareil le signe. Le site vérifie la signature avec la clé publique, et rien de réutilisable n’a circulé.
Si tu as lu ma vulgarisation des NFT, tu as déjà croisé la mécanique : c’est la paire de clés d’un portefeuille crypto (même primitive, mêmes maths, même vertige quand on comprend que personne ne peut te la redonner), appliquée cette fois à la connexion plutôt qu’à la possession d’un jeton.
Le vol de base de données ne rapporte plus rien
Conséquence directe. Un service se fait siphonner sa base d’identifiants, l’attaquant repart avec des clés publiques, et une clé publique ne vaut rien puisqu’elle est faite pour être publique. Pas de hachage à casser (il n’y en a pas). Pas de liste à rejouer sur les quarante autres sites où tu as recyclé le même sésame (allez, avec un chiffre à la fin pour faire bonne mesure). Microsoft dit avoir observé 7 000 attaques par mot de passe par seconde en 2024, plus du double de l’année précédente. Ces attaques-là deviennent sans objet.
Et le hameçonnage tombe à plat
C’est le gain le plus sous-estimé. Un passkey est enregistré pour un nom de domaine précis, et pour lui seul, ce qui veut dire que le faux site imitant ta banque à la virgule près (jusqu’au cadenas vert, jusqu’à la police de caractères) n’est pas sur le bon domaine et ne se verra jamais proposer la clé. Pas d’avertissement à ignorer. Pas de case à cocher. Rien ne s’affiche.
La protection ne repose plus sur ta vigilance (la mienne est franchement moyenne passé 23 heures), elle est câblée dans le protocole, et ça faisait longtemps qu’une techno de sécurité ne m’avait pas retiré une charge mentale au lieu de m’en ajouter une. Ça change.
Où en est l’adoption en 2026 ?
La FIDO Alliance publie son bilan chaque année pour le World Passkey Day (le premier jeudi de mai, qui a remplacé le World Password Day en 2025, ce qui en dit long sur l’ambiance). Cuvée du 7 mai 2026 :
- cinq milliards de passkeys en circulation dans le monde
- 90 % des personnes interrogées savent de quoi il s’agit
- 75 % en ont activé au moins un
- 49 % s’en servent régulièrement quand c’est proposé
- 68 % des entreprises en ont déployé ou sont en train de le faire
L’étude est signée Sapio Research, menée en avril 2026 auprès de 11 000 personnes dans dix pays (dont la France) et de 1 400 décideurs d’entreprises de plus de 500 salariés. Le détail est sur le site de l’alliance.
Côté plateformes, Microsoft crée ses nouveaux comptes sans mot de passe par défaut depuis mai 2025, et annonce 98 % de connexions réussies avec un passkey contre 32 % avec un mot de passe (huit fois plus vite, aussi, qu’un mot de passe suivi d’un code à usage unique). Le rapport est de un à trois.
Un mot sur ces chiffres. Ils viennent de la FIDO Alliance, dont l’objet même est de promouvoir les passkeys, et de Microsoft, qui vend la transition, et le sondage mesure du déclaratif (ce que les gens disent faire au téléphone à un institut) plutôt que des connexions réellement observées. Je les cite parce qu’il n’existe rien de mieux, pas parce qu’ils sont neutres.
Ce qui se vérifie sans sondage, en revanche, c’est l’infrastructure. WebAuthn (la brique qui vit dans le navigateur) est une recommandation du W3C depuis 2019, et sa version 3 a été proposée au statut de recommandation le 20 juillet 2026. Google, Apple, Amazon, PayPal, GitHub et OpenAI le proposent. Les banques françaises et la quasi-totalité des services publics, non (le répertoire communautaire passkeys.directory tient l’inventaire à jour, service par service, et c’est instructif).
Et si je perds mon téléphone ?
C’est la première objection. Elle a l’air imparable. Elle ne l’est plus depuis un moment.
Les passkeys grand public sont synchronisés : trousseau iCloud chez Apple, gestionnaire de mots de passe Google côté Android, et les gestionnaires tiers (1Password, Bitwarden, Dashlane) font la même chose de leur côté, chiffrés de bout en bout. Téléphone perdu, tu récupères un appareil, tu te reconnectes à ton compte, tes clés reviennent. Le passkey n’est pas dans l’appareil. Il est dans le coffre.
Sauf que le risque a bougé, il n’a pas disparu. Il s’est déplacé sur le fournisseur du coffre. Si ton compte Google est suspendu (ça arrive, et le support automatisé est ce qu’il est), tu perds d’un coup l’accès à tout ce qu’il gardait. C’est la logique que je décrivais pour la maison connectée sans cloud : dès qu’un service central tient la clé de tout, sa panne devient ta panne.
Trois précautions, et on n’en parle plus :
- enregistrer un deuxième passkey, sur un autre appareil ou dans un gestionnaire indépendant
- imprimer les codes de récupération des comptes qui comptent (oui, sur du papier, comme un sauvage)
- tester le parcours de récupération une fois, à froid, pendant que tu as encore accès à tout
La troisième est celle que personne ne fait (moi le premier, longtemps). C’est aussi la seule qui se vérifie.
Le vrai frein, c’est la portabilité
Voilà où le bât blesse. Jusqu’à récemment, sortir ses passkeys d’un écosystème pour les emmener ailleurs était impossible. Pas compliqué : impossible. Tu passais d’Apple à Android, et tu recréais tes clés site par site, à la main, en priant pour que chaque service propose bien l’option au bon endroit de ses réglages. Un verrouillage en bonne et due forme, présenté comme une garantie de sécurité.
La FIDO Alliance a fini par s’y attaquer avec deux spécifications jumelles : le Credential Exchange Format (le format des données, adopté comme standard proposé en août 2025) et le Credential Exchange Protocol (le transport chiffré, visé pour début 2026). Apple a livré le transfert fondé sur ce format dans iOS 26 et macOS 26, et Bitwarden fait partie des premiers gestionnaires à l’implémenter côté tiers. Enfin.
Un standard écrit et un standard livré dans les produits, ce sont deux choses différentes, et l’écart se compte en années (la maison connectée en sait quelque chose avec Matter). Mais la direction est prise. C’était le point le plus gênant du dossier.
La clé physique, elle sert encore à quelque chose ?
FIDO2, c’est WebAuthn côté navigateur et CTAP côté périphérique. Ce deuxième morceau permet à un bout de plastique en USB de servir de clé : YubiKey, Titan chez Google, Feitian et quelques autres.
La différence avec un passkey synchronisé tient en un mot. La clé physique ne se copie pas. Elle ne se synchronise pas non plus, donc elle ne peut pas partir avec un compte cloud compromis (c’est le but, et c’est aussi le défaut). Compte 50 à 90 euros pièce (les prix bougent, vérifie avant d’acheter).
Pour la grande majorité des gens, c’est disproportionné, et je ne vais pas prétendre le contraire pour faire sérieux. En revanche, pour un administrateur système, un journaliste, ou n’importe qui dont le compte principal vaut de l’argent, c’est la bonne réponse. Avec une règle non négociable : deux clés, dont une rangée ailleurs. Une clé unique perdue, c’est un compte fermé pour de bon.
Activer son premier passkey en cinq minutes
Commence par la boîte mail. Pas par le compte Amazon, pas par le forum de bricolage où tu passes deux fois par an. La boîte mail, parce que c’est elle qui reçoit les liens de réinitialisation de tous les autres comptes, ce qui en fait la porte d’entrée universelle de ta vie numérique : qui tient ton mail tient le reste.
Sur un compte Google, ça se passe dans Sécurité, section Clés d’accès et clés de sécurité (le pas à pas officiel est ici). Sur un compte Microsoft ou Apple, le chemin est équivalent. Ton téléphone demande l’empreinte ou le visage (une pression, deux secondes). La clé existe.
Ensuite, trois réflexes :
- garder le mot de passe existant tant que le passkey n’a pas fonctionné sur tous tes appareils
- refaire l’opération sur le deuxième appareil tout de suite, pas « plus tard »
- ne pas se lancer dans les quarante comptes du gestionnaire : trois ou quatre suffisent, ce sont eux qui portent le risque
Pour tout le reste, la CNIL et l’ANSSI continuent de publier leurs recommandations sur l’authentification, et elles restent d’actualité. Les passkeys ne couvriront jamais qu’une partie de tes comptes (la partie visible, celle des grandes plateformes), et ce sera encore vrai l’année prochaine.
Questions fréquentes
Un passkey fonctionne-t-il sans connexion internet ?
La signature se calcule en local, sur l’appareil, sans passer par le réseau, mais le service qui vérifie cette signature est en ligne : il faut donc une connexion pour se connecter à un site, exactement comme avant. Le vrai gain est ailleurs. Plus aucun code à recevoir par SMS, ce qui règle le cas du parking souterrain sans réseau (et celui du voyage à l’étranger sans forfait).
Mon empreinte digitale part-elle chez Google ou chez Amazon ?
Non. La biométrie sert uniquement à déverrouiller la clé privée sur ton appareil, elle ne quitte jamais la puce sécurisée, et le service ne reçoit jamais qu’une signature cryptographique (jamais ton empreinte, jamais ton visage, jamais rien qui te ressemble). C’est vrai aussi du code PIN de l’appareil, qui fait exactement le même travail (si tu préfères éviter la biométrie, tu ne perds rien en sécurité).
Faut-il supprimer son mot de passe après avoir créé un passkey ?
Pas tout de suite. Tant qu’un seul de tes appareils sait se connecter sans mot de passe, le supprimer revient à mettre tous ses œufs dans le même panier. Le bon moment arrive quand deux appareils au moins fonctionnent en passkey et que les codes de récupération sont rangés quelque part. Microsoft, lui, a tranché : ses nouveaux comptes n’ont plus de mot de passe du tout.
Le mot de la fin
Je n’ai pas tout basculé, loin de là. Ce blog tourne encore sur un mot de passe (WordPress, c’est un autre chantier), et la moitié des services que j’utilise ne proposent rien du tout. Mais sur la boîte mail et les deux ou trois comptes qui ouvrent tout le reste, c’est fait. Et je n’y pense plus.
C’est peut-être ça, l’argument qui compte. Une techno de sécurité qui se fait oublier, au lieu de te rappeler tous les trois mois qu’il faut inventer douze caractères improbables et les retenir. Le mot de passe informatique aura tenu plus de soixante ans (le premier remonte au MIT, au tout début des années 1960). Sa relève ne sera pas propre : elle sera longue, elle passera par des années de coexistence bancale, et par des services qui te demanderont encore ton mot de passe pour activer ton passkey.
Vas-y quand même, et commence par le mail.
Bonne bascule.
Laisser un commentaire