Pourquoi les passkeys comptent (même si vous avez déjà un mot de passe)
La plupart des connexions à l’inventaire commencent encore comme il y a vingt ans : un e-mail et un mot de passe. C’est un secret partagé. Vous le tapez, le site le vérifie, et quiconque l’apprend peut se faire passer pour vous. Pages d’hameçonnage, identifiants réutilisés issus d’autres fuites, et maliciel voleur d’infos fonctionnent parce que le secret peut quitter votre tête et voyager sur le réseau.
Le Data Breach Investigations Report 2026 de Verizon trouve encore l’usage d’identifiants volés dans environ 36 % des incidents. Les identifiants eux-mêmes apparaissent comme données volées dans plus d’un quart d’entre eux. L’ « élément humain » (hameçonnage, erreurs, ingénierie sociale) est présent dans environ trois incidents sur cinq. Les mots de passe ne sont pas la seule porte d’entrée, mais ils restent une porte fiable.
Ce qu’est vraiment une passkey
Une passkey est un identifiant FIDO2 / WebAuthn : une paire de clés publique/privée créée sur votre appareil (ou dans un gestionnaire de mots de passe ou une clé de sécurité matérielle) pour un site précis. Le site stocke la clé publique. La clé privée ne quitte jamais l’authenticator. Quand vous vous connectez, le site envoie un défi à usage unique. Votre appareil déverrouille la clé privée comme vous déverrouillez le téléphone ou l’ordinateur (Windows Hello, Face ID, un code PIN, un toucher de clé de sécurité) et signe le défi. Le site vérifie la signature. C’est tout.
Il n’y a pas de mot de passe à retenir, réutiliser ou coller. Il n’y a pas non plus de secret dans notre base qui servirait si quelqu’un le copiait. Une clé publique extraite ne permet à personne de se connecter.
La FIDO Alliance traite « passkey » comme un nom commun, comme « mot de passe ». Les passkeys synchronisées voyagent avec votre compte Apple, Google ou gestionnaire. Les passkeys liées à un appareil (y compris les clés de sécurité FIDO) restent sur un seul authenticator. Les deux sont des passkeys. La version synchronisée est celle que la plupart des gens utiliseront au quotidien. La version liée à l’appareil est l’option plus stricte quand vous voulez que la clé privée ne quitte jamais un morceau de matériel.
Pourquoi l’hameçonnage rebondit
La propriété importante n’est pas la biométrie. C’est la liaison à l’origine. Quand la passkey est
créée, le navigateur enregistre le vrai site (l’identifiant de la partie de confiance, en pratique le domaine). À la connexion,
l’authenticator n’utilisera cette passkey que si la demande vient de ce même domaine. Un sosie sur
simpleinventorymanagement.example ne peut pas exercer une passkey enregistrée pour
simpleinventorymanagement.com. L’appareil refuse. Vous n’avez même pas l’occasion de « confirmer »
sur la fausse page.
C’est ce que « résistant à l’hameçonnage » signifie dans le langage CISA et NIST : l’authenticator ne remettra pas un secret utilisable à un site qui se fait passer pour le vôtre. Le National Cyber Security Centre britannique a comparé les identifiants FIDO2 aux mots de passe et à l’authentification multifacteur classique (mot de passe plus SMS, code d’application ou notification). Face à l’hameçonnage de type adversaire au milieu, l’AMF classique reste vulnérable. FIDO2 ne l’est pas. Les codes SMS et les invites « approuver cette connexion » peuvent être relayés en temps réel. Une passkey ne le peut pas, parce que la signature est liée à la vraie origine.
Les Digital Identity Guidelines du NIST (SP 800-63B-4) exigent désormais que les services au niveau d’assurance 2 proposent une option résistante à l’hameçonnage, et ils l’exigent au niveau 3. La CISA considère que FIDO/WebAuthn (clés de sécurité et passkeys) et les cartes à puce PKI sont les méthodes qui qualifient vraiment. Les notifications push, les codes e-mail et les SMS ne le sont pas.
Remplissage, fuites, et « j’ai utilisé un mot de passe unique »
Même un mot de passe unique et long échoue s’il est tapé sur le mauvais site, ou si un maliciel sur l’ordinateur le lit pendant que vous tapez. Le credential stuffing marche parce que les gens réutilisent des mots de passe d’un site à l’autre : une fuite ailleurs devient une connexion ici. Les journaux de voleurs d’infos dans les rapports Verizon récents montrent encore des e-mails d’entreprise mêlés à des comptes personnels sur des appareils non gérés. Aucune de ces attaques ne produit une clé privée utilisable sur notre domaine.
Une enquête consommateur de la FIDO Alliance pour la World Passkey Day 2025 a trouvé que 36 % des personnes avaient au moins un compte compromis à cause des mots de passe. Ce n’est pas une raison de paniquer. C’est une raison d’arrêter de faire du secret de connexion quelque chose qu’on peut tromper quelqu’un à taper.
Ce que ce n’est pas
- Pas magique contre un ordinateur déjà pris. Si un maliciel tourne déjà sous votre identité, il peut abuser de ce que vous pouvez déverrouiller, y compris certains coffres de passkeys synchronisées. Les passkeys relèvent le niveau face à l’hameçonnage à distance. Elles ne remplacent pas l’hygiène de l’appareil.
- Pas une raison d’abandonner le SSO. Si votre entreprise exige le SAML, cela l’emporte toujours. Les passkeys sont pour les comptes qui se connectent directement ici. Elles ne contournent pas l’obligation de SSO sur un domaine vérifié.
- Pas un second facteur en plus du mot de passe. Une passkey est une connexion primaire. Conservez la 2FA par application d’authentification que nous prenons déjà en charge si vous voulez une seconde étape sur la connexion par mot de passe. Ne traitez pas une passkey comme cette seconde étape.
- Pas irrécupérable. Gardez un mot de passe (et, pour une entreprise, le SSO) pour qu’un téléphone perdu soit un désagrément, pas un verrouillage. Enregistrez plus d’une passkey si vous pouvez : ordinateur plus téléphone, ou une clé matérielle en secours.
Où les passkeys se placent à côté du SSO
L’authentification unique SAML reste le bon choix quand une entreprise vit déjà dans Okta, Entra ID ou Google Workspace. L’IdP devient la porte d’entrée : le départ d’un collaborateur est un interrupteur, et la politique MFA vit au même endroit. Les passkeys aident tout le monde ailleurs, et elles aident le propriétaire qui n’est pas encore derrière un IdP : la personne qui réutiliserait autrement un mot de passe sur l’application d’inventaire qui détient les coûts fournisseurs, les positions de stock et l’historique des commandes.
L’inventaire est une donnée opérationnelle. Une connexion volée, ce n’est pas seulement « quelqu’un a vu un comptage ». C’est quelqu’un qui peut ajuster le stock, terminer des commandes, ou lire en silence ce que vous achetez et ce que vous payez. Rendre cette connexion résistante à l’hameçonnage, c’est le même réflexe que de fermer la réserve à clé. La différence, c’est que la fausse réserve sur Internet ne peut pas crocheter la serrure.
Comment commencer
- Connectez-vous comme d’habitude, puis ouvrez Passkeys dans les paramètres du compte.
- Ajoutez une passkey sur l’appareil que vous utilisez vraiment. Donnez-lui un nom que vous reconnaîtrez plus tard.
- Ajoutez-en une deuxième si vous pouvez (téléphone et ordinateur, ou une clé matérielle).
- Au prochain passage, utilisez « Se connecter avec une passkey », ou laissez le navigateur en proposer une dans le champ e-mail.
Vous avez toujours votre mot de passe. C’est une porte en plus, pas la démolition de l’ancienne. Pour le reste de la façon dont nous protégeons les comptes et les connexions IA, voir la page sécurité.