Les mots de passe restent le point faible le plus courant au bureau. Ils sont réutilisés, notés sur des papiers ou saisis sur de fausses pages de connexion. L’authentification multifacteur a nettement amélioré la situation, mais les codes par SMS ou par application peuvent eux aussi être interceptés par des pages de phishing bien faites. Les passkeys comblent cette lacune.
Qu’est-ce qu’un passkey ?
Un passkey est une paire de clés cryptographiques. La clé privée reste sur l’appareil, par exemple l’ordinateur portable, le smartphone ou une clé de sécurité comme une YubiKey. Le service ne connaît que la clé publique. Lors de la connexion, vous confirmez avec votre empreinte digitale, la reconnaissance faciale ou un code PIN, et l’appareil prouve au service qu’il possède la bonne clé.
Le passkey est lié à l’adresse réelle du service. Sur une fausse page, il ne fonctionne donc pas, et les collaborateurs ne peuvent pas le divulguer par erreur. Le service lui-même ne stocke aucun mot de passe qui pourrait être volé lors d’une fuite de données.
Plus rapide et moins de tickets de support
La FIDO Alliance, l’organisme à l’origine de la norme, a analysé en 2025 les données de neuf grands fournisseurs. Les connexions par passkey ont abouti dans 93 % des cas, contre 63 % avec d’autres méthodes comme le code SMS ou le lien par e-mail. Une connexion prenait en moyenne 8,5 secondes au lieu de 31,2, et les demandes de support liées à la connexion ont baissé de 81 %.
Synchronisé ou lié à l’appareil
Les passkeys existent sous deux formes :
- Les passkeys synchronisés sont répartis sur plusieurs appareils via un gestionnaire de mots de passe ou le trousseau d’Apple, Google ou Microsoft. Si le smartphone est perdu, le passkey est de nouveau disponible sur le nouvel appareil.
- Les passkeys liés à l’appareil ne quittent jamais celui-ci, par exemple sur une clé de sécurité ou dans l’application Microsoft Authenticator. Ils sont le choix le plus sûr pour les administrateurs et les comptes ayant accès aux finances.
Pour la plupart des collaborateurs, un passkey synchronisé suffit. Pour les comptes administrateurs, nous recommandons des clés de sécurité.
Les passkeys dans Microsoft 365
Microsoft Entra ID, la gestion des utilisateurs derrière Microsoft 365, prend en charge les passkeys depuis un certain temps. Depuis 2026, elle propose des profils de passkeys qui permettent de définir, par groupe d’utilisateurs, quel type de passkey est autorisé. Les passkeys synchronisés sont ainsi également pris en charge officiellement. Pour une PME, cela signifie que la comptabilité se connecte avec une clé de sécurité et le reste de l’équipe avec son smartphone.
Les comptes Google et Apple ainsi que de nombreux services en ligne proposent aussi les passkeys. Les gestionnaires de mots de passe courants peuvent les enregistrer et les répartir sur tous les appareils.
Passkeys avec des solutions open source
Les passkeys reposent sur la norme ouverte FIDO2/WebAuthn et fonctionnent aussi sans Apple, Google ou Microsoft :
- Bitwarden et Vaultwarden enregistrent les passkeys dans le coffre et les synchronisent sur tous les appareils. Avec Vaultwarden, le serveur tourne dans vos locaux ou chez un hébergeur suisse.
- KeePassXC stocke les passkeys dans la base de données locale depuis la version 2.7.7, sans aucun cloud.
- Keycloak prend officiellement en charge les passkeys depuis la version 26.4. Vos propres applications, l’intranet et les portails métier peuvent ainsi être protégés par passkey via l’authentification unique.
- Nitrokey fabrique des clés de sécurité au micrologiciel open source, une alternative à la YubiKey.
Pour les entreprises qui ne veulent pas confier leurs identifiants à un groupe américain, Vaultwarden avec les applications Bitwarden est un bon point de départ. Le contexte est expliqué dans l’article sur la souveraineté numérique.
Introduction pas à pas
- Faire l’inventaire. Quels services utilisez-vous, et lesquels prennent en charge les passkeys ? Microsoft 365 ou Google Workspace sont généralement la première étape.
- Commencer par les administrateurs. Les comptes administrateurs reçoivent d’abord un passkey lié à l’appareil, idéalement sur deux clés de sécurité, dont une de réserve rangée dans un coffre.
- Impliquer l’équipe. Une courte notice et dix minutes au poste de travail suffisent en général pour la configuration.
- Régler la récupération. Que se passe-t-il si quelqu’un perd en même temps son smartphone et son portable ? Une procédure claire avec vérification d’identité empêche des attaquants d’obtenir un nouvel accès par le support.
- Désactiver les anciennes méthodes. Une fois que tout le monde est passé aux passkeys, désactiver les codes SMS et autres méthodes faibles.
Les mots de passe ne disparaissent pas du jour au lendemain. Les anciennes applications métier et certains portails web ne connaissent pas les passkeys. Pour ceux-ci, un gestionnaire de mots de passe et l’authentification multifacteur restent la bonne solution.
Mise en œuvre avec A BOT
Nous vérifions lesquels de vos services prennent en charge les passkeys, configurons les règles dans Microsoft 365, fournissons les clés de sécurité adaptées et accompagnons votre équipe lors du passage. Plus d’informations sous sécurité informatique et poste de travail.
Questions fréquentes
Que se passe-t-il si le smartphone est perdu ?
Les passkeys synchronisés sont de nouveau disponibles sur un nouvel appareil via le compte Apple, Google ou le gestionnaire de mots de passe. Pour les passkeys liés à l’appareil, il faut une seconde clé ou une procédure de récupération définie.
Le service enregistre-t-il mon empreinte digitale ?
Non. L’empreinte et le visage sont vérifiés uniquement sur l’appareil et ne le quittent pas. Le service reçoit seulement la confirmation que la clé a été déverrouillée.
Faut-il du nouveau matériel ?
Généralement pas. Les portables récents avec Windows Hello ou Touch ID et les smartphones courants suffisent. Les clés de sécurité sont surtout nécessaires pour les administrateurs.
Les passkeys sont-ils plus sûrs qu’un mot de passe avec authentification multifacteur ?
Oui, en particulier contre le phishing. Les codes reçus par SMS ou application peuvent être interceptés sur une fausse page, un passkey n’y fonctionne tout simplement pas.
