Que se passe-t-il si je perds mon téléphone avec mes passkeys ?

Si vos passkeys sont synchronisées via un trousseau cloud (Apple, Google, gestionnaire de mots de passe), vous les retrouvez sur votre nouvel appareil après connexion à votre compte. Sans synchronisation activée, il faut utiliser une méthode de récupération alternative proposée par chaque service.

Les passkeys remplacent-elles la double authentification ?

Dans une large mesure, oui : une passkey combine déjà la preuve de possession de l'appareil et la preuve d'identité biométrique ou par code, ce qui équivaut fonctionnellement à une authentification à deux facteurs.

Passkeys : pourquoi le mot de passe classique va disparaître

Google, Apple et Microsoft poussent depuis 2023 une technologie destinée à remplacer le mot de passe : les passkeys. L'adoption reste lente malgré des bénéfices de sécurité réels, principalement parce que le concept reste mal compris du grand public.

Ce qu'est une passkey concrètement

Une passkey repose sur une paire de clés cryptographiques : une clé privée qui ne quitte jamais votre appareil (téléphone, ordinateur), et une clé publique stockée par le service en ligne. Se connecter ne demande plus de taper un mot de passe, mais de déverrouiller son appareil (empreinte digitale, reconnaissance faciale, code PIN), ce qui autorise l'appareil à prouver son identité au service sans jamais transmettre de secret réutilisable.

Pourquoi c'est plus sûr qu'un mot de passe

Un mot de passe, même complexe, peut être volé par phishing, réutilisé après une fuite de données, ou deviné. Une passkey ne peut techniquement pas être phishée : elle est cryptographiquement liée au domaine exact du service, ce qui rend impossible son utilisation sur un faux site qui imite l'original, même parfaitement.

Elle élimine aussi le risque de réutilisation entre sites, la cause numéro un des comptes compromis par credential stuffing (l'attaque qui teste des identifiants volés sur un site sur des dizaines d'autres services).

Pourquoi l'adoption traîne

Le principal frein est la portabilité perçue : beaucoup d'utilisateurs craignent de perdre l'accès à leurs comptes en cas de changement d'appareil. En pratique, les passkeys se synchronisent via les trousseaux Apple, Google ou les gestionnaires de mots de passe compatibles (Bitwarden, 1Password), ce qui règle largement ce problème, mais l'information circule mal.

L'autre frein est l'inertie : la majorité des services proposent encore les passkeys en option facultative à côté du mot de passe classique, plutôt qu'en remplacement, ce qui réduit la pression à changer d'habitude.

Les derniers chiffres, publiés par la FIDO Alliance à l'occasion du World Passkey Day 2026, nuancent ce constat : 90 % des utilisateurs interrogés connaissent désormais les passkeys, et 75 % en ont activé au moins une sur un compte, un rythme d'adoption plus rapide qu'anticipé. L'écart se loge ailleurs : seuls 49 % des utilisateurs les emploient réellement de façon régulière quand l'option leur est proposée, ce qui confirme que le frein n'est plus la découverte de la technologie, mais l'habitude de s'en servir au quotidien plutôt que de retomber sur le mot de passe resté disponible en option.

Comment commencer

Les comptes les plus critiques à équiper en priorité : la messagerie principale (souvent le point de récupération de tous les autres comptes), le gestionnaire de mots de passe lui-même s'il supporte les passkeys, et les comptes bancaires quand l'option existe.

Google, Apple, Microsoft et GitHub proposent tous l'activation des passkeys directement dans les paramètres de sécurité du compte, en quelques clics, sans outil supplémentaire à installer.

Sur les réflexes de sécurité numérique complémentaires (gestionnaire de mots de passe, double authentification), voir mon article sur la sécurité numérique pour un particulier.

Ce que ça change côté entreprise

L'adoption ne se limite pas aux comptes personnels. Selon le rapport FIDO Alliance 2026, 87 % des entreprises déploient ou pilotent désormais les passkeys pour l'authentification de leurs salariés, contre 53 % deux ans plus tôt. Les organisations qui ont basculé rapportent une baisse de 26 % de l'usage du mot de passe classique et une réduction de 60 à 80 % des tickets de réinitialisation de mot de passe traités par leur support informatique, un gain opérationnel qui explique une bonne partie de l'accélération récente, au-delà du seul argument de sécurité.

Techniquement, ce basculement s'appuie sur le standard WebAuthn, la brique du W3C qui permet à un navigateur ou une application de dialoguer avec l'authentificateur de l'appareil (puce sécurisée, biométrie) sans jamais faire transiter la clé privée hors de l'appareil, ce qui explique pourquoi une fuite de base de données côté service, même totale, ne compromet aucune clé privée utilisateur.

Ce que ça ne résout pas

Une passkey protège l'authentification, pas l'appareil lui-même. Un téléphone volé et déverrouillé (code PIN connu ou empreinte forcée) reste un point de vulnérabilité, ce qui rend le verrouillage de l'appareil (code, biométrie) toujours aussi essentiel en complément.

La documentation FIDO Alliance reste la référence technique sur le standard qui sous-tend les passkeys.