Les passkeys, ou clés d’accès, sont en train de devenir l’alternative la plus crédible aux mots de passe. La FIDO Alliance estimait en octobre 2026 que 7 milliards de passkeys étaient utilisées dans le monde. Son Passkey Index 2026 indique également que 36 % des connexions réussies mesurées chez les services participants utilisent désormais une passkey, contre 26 % un an plus tôt.
Le principe est simple : au lieu de saisir un secret pouvant être volé ou transmis à une fausse page de connexion, l’utilisateur valide son identité avec son téléphone, son ordinateur, son empreinte digitale, son visage ou son code PIN local. La clé privée permettant l’authentification n’est jamais communiquée au site.
Les mots de passe ne vont toutefois pas disparaître du Web du jour au lendemain. De nombreux services ne prennent pas encore en charge les passkeys, tandis que d’autres les proposent seulement comme option. Pendant plusieurs années, les internautes devront donc probablement jongler entre ces deux systèmes.
Sommaire
Qu’est-ce qu’une passkey et comment fonctionne-t-elle ?
Une passkey est un identifiant cryptographique basé sur les standards FIDO2 et WebAuthn. Elle permet de se connecter à un service sans avoir à mémoriser ni à saisir un mot de passe traditionnel.
Lors de sa création, l’appareil génère une paire de clés cryptographiques. La clé publique est enregistrée par le site ou le service en ligne. La clé privée reste quant à elle protégée sur l’appareil ou dans le gestionnaire de passkeys choisi par l’utilisateur.
Lors d’une connexion, le site envoie un défi cryptographique. L’appareil demande alors à l’utilisateur de se déverrouiller, par exemple avec Face ID, Touch ID, Windows Hello ou un code PIN. La clé privée signe le défi et le site vérifie cette signature avec la clé publique qu’il possède.
À aucun moment l’utilisateur n’a besoin de connaître la passkey, de la recopier ou de la transmettre.
La biométrie est-elle envoyée au site Web ?
Non. C’est une confusion fréquente. Lorsque vous utilisez votre empreinte digitale ou la reconnaissance faciale pour valider une passkey, le site Web ne reçoit ni votre empreinte, ni une image de votre visage.
La biométrie sert uniquement à déverrouiller localement l’accès à la clé cryptographique présente sur l’appareil. Un code PIN ou le code de déverrouillage de l’appareil peut d’ailleurs remplir la même fonction lorsqu’aucun capteur biométrique n’est disponible.
Pourquoi les passkeys résistent-elles mieux au phishing ?
La différence fondamentale entre un mot de passe et une passkey tient à la nature de ce qui est transmis.
Avec un mot de passe, l’utilisateur connaît un secret et le saisit sur une page Web. Si cette page est une imitation particulièrement convaincante du véritable site, ce secret peut être envoyé directement à l’attaquant.
Avec une passkey, l’utilisateur ne possède aucun secret à recopier. Son appareil répond cryptographiquement au site avec lequel la passkey a été créée.
Cette propriété repose notamment sur la liaison entre l’identifiant cryptographique et l’origine du site. Une passkey créée pour un domaine légitime ne peut pas simplement être utilisée par une imitation hébergée sur un autre domaine.
Un escroc peut donc reproduire l’apparence graphique d’une page de connexion, son logo, ses couleurs ou son formulaire. Il ne peut pas obliger une passkey destinée au véritable domaine à authentifier sa copie frauduleuse.
Mot de passe, SMS et passkey : que peut voler un attaquant ?
| Méthode | Secret saisi par l’utilisateur | Risque de phishing | Principal point faible |
|---|---|---|---|
| Mot de passe | Oui | Élevé | Vol, réutilisation, fuite de base de données |
| Mot de passe + SMS | Oui, avec un code supplémentaire | Présent | Phishing du code, SIM swapping |
| Passkey | Non | Très fortement réduit | Récupération du compte et sécurité de l’appareil |
La FIDO Alliance rapporte dans son Passkey Index 2026 que les participants mesurant le phishing ont tous constaté une baisse des attaques réussies après le déploiement des passkeys. L’étude indique également un taux de réussite de connexion de 93 % avec les passkeys, contre 78 % pour les mots de passe et certaines méthodes MFA traditionnelles.
Que se passe-t-il si je perds mon téléphone avec mes passkeys ?
C’est probablement la question la plus importante avant d’adopter les clés d’accès. Perdre son téléphone ne signifie pas nécessairement perdre l’ensemble de ses comptes.
Tout dépend du type de passkey utilisé.
Passkeys synchronisées : les clés peuvent être récupérées
Les passkeys destinées au grand public sont souvent synchronisées par un gestionnaire d’identifiants comme iCloud Keychain ou Google Password Manager. Elles peuvent ainsi devenir disponibles sur plusieurs appareils associés au même compte.
Si un téléphone est cassé ou perdu, l’utilisateur peut généralement restaurer ses passkeys sur un nouvel appareil après avoir récupéré l’accès à son compte Apple, Google ou au gestionnaire concerné et satisfait ses mécanismes de sécurité.
Apple indique par exemple que les données du trousseau iCloud sont chiffrées de bout en bout et prévoit une procédure sécurisée de récupération. Google permet également la récupération de passkeys de Google Password Manager sur un nouvel appareil après vérification de l’utilisateur.
En cas de vol, il reste recommandé de supprimer l’ancien appareil de ses appareils de confiance et, lorsque le service le permet, de révoquer les passkeys qui lui sont associées.
Passkeys liées à un appareil : prévoir une solution de secours
Une autre catégorie de passkeys reste attachée à un matériel précis. C’est notamment le cas de certaines clés de sécurité physiques compatibles FIDO2.
Une clé privée de ce type n’est pas synchronisée vers le cloud. Si le support est perdu ou détruit et qu’aucune autre méthode d’authentification n’a été enregistrée, la récupération du compte dépend alors des procédures proposées par le service.
Pour un compte particulièrement sensible, enregistrer deux moyens d’authentification compatibles et conserver le second dans un endroit sécurisé permet d’éviter qu’une seule perte matérielle ne devienne critique.
Les passkeys sont-elles enfermées dans Apple ou Google ?
Pas nécessairement. Apple et Google disposent de leurs propres gestionnaires intégrés, mais ils ne constituent pas les seules possibilités.
Des gestionnaires de mots de passe tiers peuvent également prendre en charge les passkeys et faciliter leur utilisation entre plusieurs environnements. Cette approche peut être intéressante pour une personne qui utilise, par exemple, un iPhone personnel, un PC Windows et différents navigateurs.
La compatibilité exacte dépend toutefois du système d’exploitation, du navigateur, du gestionnaire choisi et du service auquel on souhaite se connecter. La portabilité entre écosystèmes continue donc d’évoluer.
Peut-on utiliser la passkey de son téléphone sur un ordinateur ?
Oui. Il n’est pas nécessaire que l’ordinateur possède lui-même un lecteur d’empreintes digitales.
Lorsqu’une passkey n’est pas disponible directement sur l’ordinateur, un service compatible peut afficher un QR code. L’utilisateur le scanne avec son smartphone puis valide la connexion sur celui-ci.
Le mécanisme de connexion entre appareils défini par FIDO utilise notamment le Bluetooth Low Energy pour confirmer que le téléphone se trouve réellement à proximité de l’ordinateur. La sécurité de l’authentification ne repose toutefois pas uniquement sur la protection offerte par Bluetooth : le protocole ajoute ses propres mécanismes cryptographiques.
Cette vérification de proximité est importante. Un attaquant situé à l’autre bout du monde ne doit pas pouvoir transformer un simple QR code en moyen d’utiliser à distance la passkey présente sur votre téléphone.
Microsoft abandonne-t-il vraiment les codes SMS en 2027 ?
Oui, mais cette annonce doit être formulée avec précision. Microsoft ne met pas fin aux SMS d’authentification dans le monde entier. Le changement concerne Microsoft Entra ID, la plateforme d’identité et d’authentification utilisée notamment par les entreprises.
Depuis le 1er septembre 2026, Microsoft fait des passkeys l’expérience d’authentification par défaut dans Entra ID. Les utilisateurs encore configurés pour l’authentification SMS ou vocale peuvent être automatiquement rendus éligibles aux passkeys et invités à en enregistrer une.
| Date | Évolution dans Microsoft Entra ID |
| 1er septembre 2026 | Début du passage aux passkeys par défaut et incitation des utilisateurs SMS/voix à enregistrer une passkey. |
| 1er février 2027 | Fin du service SMS et voix fourni directement par Microsoft pour la majorité des utilisateurs concernés. |
| 1er juillet 2027 | Fin du service Microsoft pour les Global Administrators et les utilisateurs externes concernés. |
À partir du 1er février 2027, les utilisateurs concernés dont le SMS ou l’appel vocal constitue la seule méthode MFA devront enregistrer une passkey pour continuer à se connecter, sauf si leur organisation a mis en place une autre solution adaptée.
Microsoft prévoit en effet une exception importante : les organisations qui ont réellement besoin de conserver l’authentification par SMS ou appel vocal pourront faire appel à un prestataire télécom tiers proposé via Microsoft Security Store. L’entreprise cliente supportera alors les coûts associés à ce service.
Pourquoi Microsoft préfère-t-il les passkeys au SMS ?
Le SMS a permis de généraliser l’authentification multifacteur, mais il n’a jamais été conçu comme une technologie de sécurité résistante au phishing.
Un code reçu par SMS peut être saisi sur une fausse page de connexion, intercepté dans certaines attaques ou détourné à la suite d’une fraude de type SIM swapping.
Microsoft considère donc les passkeys et les autres méthodes résistantes au phishing comme une évolution plus robuste pour les comptes professionnels. Le changement permet également de réduire la dépendance aux infrastructures télécoms et aux coûts liés à l’envoi de messages.
Les passkeys vont-elles faire disparaître les mots de passe ?
À long terme, elles peuvent remplacer le mot de passe sur une part importante des services numériques. Les chiffres publiés en 2026 montrent que cette transition n’est plus expérimentale : la FIDO Alliance estime à 7 milliards le nombre de passkeys utilisées dans le monde et mesure leur utilisation dans plus d’un tiers des connexions réussies chez les services participant à son index.
Mais parler de disparition immédiate des mots de passe serait trompeur.
Des millions de sites, applications professionnelles, commerces en ligne et services administratifs reposent encore sur le couple identifiant et mot de passe. Même certains services compatibles avec les passkeys conservent le mot de passe comme méthode de récupération ou de connexion alternative.
Le Web entre donc dans une longue période de coexistence : passkeys sur les services modernes qui les prennent correctement en charge, mots de passe sur les autres.
Comment sécuriser les sites qui n’acceptent pas encore les passkeys ?
L’arrivée des passkeys ne change pas les règles de sécurité des comptes qui continuent d’utiliser un mot de passe. Pour ceux-ci, réutiliser le même secret sur plusieurs sites reste particulièrement dangereux.
Si un service subit une fuite de données, des attaquants peuvent tester automatiquement l’adresse e-mail et le mot de passe dérobés sur d’autres plateformes. Un mot de passe unique par compte limite fortement les conséquences de ce type d’attaque.
Pour les services qui n’acceptent pas encore les passkeys, il reste essentiel d’utiliser des identifiants robustes et différents pour chaque compte. Des outils comme Generateur-Motdepasse.com permettent de créer un mot de passe sécurisé, long et difficile à deviner. L’idéal est ensuite de conserver chaque mot de passe dans un gestionnaire fiable afin d’éviter leur réutilisation sur plusieurs services.
Lorsqu’une authentification multifacteur est disponible, il est également préférable de l’activer. Une application d’authentification ou une clé de sécurité constitue généralement une protection plus robuste que le SMS lorsqu’elles sont proposées.
Passkey ou mot de passe : à quoi ressemble la différence au quotidien ?
Avec un compte classique, une connexion peut nécessiter de retrouver son mot de passe, de le saisir, d’attendre un code SMS puis de recopier ce code. Sur un appareil inconnu, le processus peut encore s’allonger.
Avec une passkey bien configurée, l’utilisateur sélectionne son compte et déverrouille son appareil. L’authentification cryptographique se déroule ensuite sans saisie d’un secret.
Cette simplicité n’est pas seulement une question de confort. Elle réduit aussi les situations dans lesquelles un internaute peut être manipulé : moins il existe de codes et de secrets à recopier, moins un escroc peut convaincre sa victime de les lui transmettre.
Faut-il activer une passkey dès qu’un site la propose ?
Dans la majorité des cas, oui, à condition de comprendre où elle sera enregistrée et de disposer d’une méthode de récupération fiable.
Pour un particulier, une stratégie simple consiste à activer les passkeys progressivement sur ses comptes les plus utilisés, à commencer par l’adresse e-mail principale, les comptes Apple, Google ou Microsoft et les grands services qui les prennent correctement en charge.
Avant de supprimer une ancienne méthode de connexion, il est prudent de vérifier les mécanismes de récupération proposés par le service et de s’assurer qu’un téléphone perdu ou un ordinateur hors service ne provoquera pas le verrouillage définitif du compte.
Pour une entreprise, la transition demande davantage de préparation : inventaire des méthodes MFA existantes, compatibilité du parc, accompagnement des utilisateurs, procédures de récupération et traitement des comptes administrateurs doivent être anticipés.
Passkeys : une meilleure sécurité, mais pas la fin immédiate des mots de passe
Le remplacement des mots de passe par les passkeys est désormais engagé à grande échelle. La combinaison d’une meilleure résistance au phishing, d’une connexion plus rapide et du soutien d’Apple, Google, Microsoft et d’autres grandes plateformes explique cette accélération.
Le calendrier Microsoft Entra ID prévu pour 2027 constitue un signal supplémentaire : dans les environnements professionnels, les méthodes d’authentification résistantes au phishing commencent à remplacer des mécanismes historiques comme le SMS.
Pour l’utilisateur, la bonne stratégie n’est toutefois pas d’attendre la disparition totale des mots de passe. Il faut activer les passkeys lorsque les services les proposent, tout en continuant à protéger les comptes traditionnels avec des mots de passe uniques et solides. Pendant encore plusieurs années, ces deux réflexes devront coexister.