Passkeys : la fin programmée du mot de passe, et pourquoi l'adoption traîne
Google, Apple et Microsoft poussent depuis 2023 une technologie destinée à remplacer le mot de passe : les passkeys. L'adoption reste lente malgré des bénéfices de sécurité réels, principalement parce que le concept reste mal compris du grand public.
Ce qu'est une passkey concrètement
Une passkey repose sur une paire de clés cryptographiques : une clé privée qui ne quitte jamais votre appareil (téléphone, ordinateur), et une clé publique stockée par le service en ligne. Se connecter ne demande plus de taper un mot de passe, mais de déverrouiller son appareil (empreinte digitale, reconnaissance faciale, code PIN), ce qui autorise l'appareil à prouver son identité au service sans jamais transmettre de secret réutilisable.
Pourquoi c'est plus sûr qu'un mot de passe
Un mot de passe, même complexe, peut être volé par phishing, réutilisé après une fuite de données, ou deviné. Une passkey ne peut techniquement pas être phishée : elle est cryptographiquement liée au domaine exact du service, ce qui rend impossible son utilisation sur un faux site qui imite l'original, même parfaitement.
Elle élimine aussi le risque de réutilisation entre sites, la cause numéro un des comptes compromis par credential stuffing (l'attaque qui teste des identifiants volés sur un site sur des dizaines d'autres services).
Pourquoi l'adoption traîne
Le principal frein est la portabilité perçue : beaucoup d'utilisateurs craignent de perdre l'accès à leurs comptes en cas de changement d'appareil. En pratique, les passkeys se synchronisent via les trousseaux Apple, Google ou les gestionnaires de mots de passe compatibles (Bitwarden, 1Password), ce qui règle largement ce problème, mais l'information circule mal.
L'autre frein est l'inertie : la majorité des services proposent encore les passkeys en option facultative à côté du mot de passe classique, plutôt qu'en remplacement, ce qui réduit la pression à changer d'habitude.
Comment commencer
Les comptes les plus critiques à équiper en priorité : la messagerie principale (souvent le point de récupération de tous les autres comptes), le gestionnaire de mots de passe lui-même s'il supporte les passkeys, et les comptes bancaires quand l'option existe.
Google, Apple, Microsoft et GitHub proposent tous l'activation des passkeys directement dans les paramètres de sécurité du compte, en quelques clics, sans outil supplémentaire à installer.
Sur les réflexes de sécurité numérique complémentaires (gestionnaire de mots de passe, double authentification), voir mon article sur la sécurité numérique pour un particulier.
Ce que ça ne résout pas
Une passkey protège l'authentification, pas l'appareil lui-même. Un téléphone volé et déverrouillé (code PIN connu ou empreinte forcée) reste un point de vulnérabilité, ce qui rend le verrouillage de l'appareil (code, biométrie) toujours aussi essentiel en complément.
La documentation FIDO Alliance reste la référence technique sur le standard qui sous-tend les passkeys.
Questions fréquentes
Que se passe-t-il si je perds mon téléphone avec mes passkeys ?
Si vos passkeys sont synchronisées via un trousseau cloud (Apple, Google, gestionnaire de mots de passe), vous les retrouvez sur votre nouvel appareil après connexion à votre compte. Sans synchronisation activée, il faut utiliser une méthode de récupération alternative proposée par chaque service.
Les passkeys remplacent-elles la double authentification ?
Dans une large mesure, oui : une passkey combine déjà la preuve de possession de l'appareil et la preuve d'identité biométrique ou par code, ce qui équivaut fonctionnellement à une authentification à deux facteurs.
Découvre mes outils
À propos de l'auteur
Delivery Manager à Rennes. Je pilote des projets de transformation digitale, SEO/GEO et accessibilité RGAA pour des clients grands comptes. Ce blog est le reflet de ce que je rencontre sur le terrain.