Combien de mots de passe stockez-vous dans votre tête, dans un fichier texte peu reluisant ou — pire — réutilisés sur une douzaine de sites ? Si la réponse vous gêne un peu, sachez que l’industrie tech a enfin une réponse crédible pour en finir avec cette gymnastique : la passkey. Portée par une alliance de géants et par des standards ouverts, cette technologie promet de rendre le mot de passe aussi désuet que le disquette 3,5 pouces. Mais qu’y a-t-il vraiment sous le capot, et est-ce que ça tient la route ?
Qu’est-ce qu’une passkey, au juste ?
Une passkey est une identifiant numérique qui remplace le couple classique « login + mot de passe » par une paire de clés cryptographiques. L’une des deux clés, la clé privée, reste verrouillée sur votre appareil (téléphone, ordinateur, clé de sécurité) ; l’autre, la clé publique, est confiée au service que vous visitez. Lors d’une connexion, le serveur lance un défi mathématique que seule votre clé privée peut résoudre. Le mot de passe, lui, n’est jamais transmis, jamais stocké en clair, et surtout jamais tapé au clavier.
Le terme « passkey » désigne simplement la mise en œuvre grand public des standards FIDO2, portés par la FIDO Alliance, un consortium réunissant entre autres Apple, Google et Microsoft. L’idée n’est pas nouvelle, mais c’est la première fois qu’elle devient transparente pour l’utilisateur lambda.
WebAuthn et FIDO2 : la machinerie sous le capot
Le cœur logiciel s’appelle WebAuthn (Web Authentication), une API standardisée par le W3C et le FIDO Alliance. Elle permet à un navigateur web de dialoguer en toute sécurité avec un authenticateur — empreinte digitale, reconnaissance faciale, code PIN local ou clé matérielle. Concrètement, le site demande une preuve d’identité, votre téléphone confirme qu’il s’agit bien de vous via sa biométrie, puis signe le défi. Aucune donnée biométrique ne quitte l’appareil : seule une signature numérique circule.
Ce mécanisme repose sur la cryptographie à clé publique, un principe mathématique éprouvé depuis des décennies. Ce qui change, c’est l’ergonomie : plus besoin de se souvenir de « P@ssw0rd_2026 ! », votre visage ou votre doigt suffisent.
Pourquoi c’est (enfin) plus sûr que le mot de passe
Les mots de passe souffrent de trois maux incurables : ils sont devinables (trop simples), réutilisables (une fuite en entraîne vingt), et stockables en clair par des services négligents. Les méthodes d’authentification multifacteur classiques — comme le SMS à six chiffres — améliorent un peu les choses, mais restent vulnérables au transfert de carte SIM ou à l’interception.
La passkey, à l’inverse, efface le secret partagé. Votre clé privée ne quitte jamais votre matériel. Même si un attaquant s’empare de la base de données d’un site, il ne récupère qu’une clé publique inutilisable pour se connecter à votre place. C’est un changement de paradigme : la sécurité ne repose plus sur ce que vous savez, mais sur ce que vous possédez.
Le phishing perd ses munitions
C’est sans doute le point le plus spectaculaire. Le phishing — ces faux emails et faux sites qui vous demandent « gentiment » votre mot de passe — fonctionne parce qu’un humain finit par se tromper. La passkey rend cette erreur presque impossible : la clé privée est liée au domain name exact du service. Si un site frauduleux « rayr0ud-secure.com » tente de se faire passer pour le vrai, la signature refusera de se produire, car le défi ne correspond pas au domaine autorisé.
Finies les leurres où l’on recrache docilement son mot de passe. L’utilisateur peut encore tomber dans le panneau, mais sa passkey refusera catégoriquement de coopérer avec l’imposteur. C’est une protection by-design, infiniment plus robuste que de compter sur la vigilance d’un mardi matin.
Comment ça marche concrètement, chez vous
Dans la pratique, l’adoption est déroutante de simplicité. Sur un smartphone récent, créer une passkey revient à valider une empreinte ou un regard. Chez Google comme chez Apple, la passkey est synchronisée de façon chiffrée à travers vos appareils via le trousseau cloud du système. Vous vous connectez donc naturellement sur votre tablette, votre ordinateur portable et votre téléphone, sans jamais saisir une seule chaîne de caractères.
Les sites web compatibles affichent désormais un bouton « Se connecter avec une passkey » à côté de l’habituel formulaire. La transition est progressive : tant que tous les services ne l’ont pas adoptée, la passkey coexiste avec l’ancien mot de passe, que l’on peut alors réserver à un rôle de secours.
Les limites à connaître avant de tout jeter
La technologie n’est pas magique, et quelques angles morts méritent d’être soulignés. D’abord, la dépendance au trousseau du système : si votre compte cloud principal est compromis, l’accès à vos passkeys synchronisées l’est aussi. Il convient donc de protéger ce compte avec une double authentification matérielle.
Ensuite, la portabilité reste imparfaite entre écosystèmes. Une passkey créée dans le monde Apple n’est pas forcément récupérable sur un appareil Android sans passer par des solutions tierces. Les standards évoluent, mais la guerre des jardins clos ralentit l’interopérabilité totale.
Enfin, le scénario de perte : égarer son seul téléphone sans sauvegarde de secours peut signifier l’isolement de ses comptes. Les bonnes pratiques recommandent de conserver au moins un second authenticateur enregistré, ou une clé de sécurité physique de dépannage.
Conclusion
La passkey ne résoudra pas toute la cybercriminalité — un attaquant déterminé détournera toujours l’argent via l’ingénierie sociale plutôt que la cryptographie. Mais elle élimine d’un coup le maillon le plus faible de l’identité en ligne : le mot de passe lui-même. En s’appuyant sur des standards ouverts comme FIDO2 et un HTTPS bien configuré, l’industrie offre enfin une sécurité qui ne demande aucun effort à l’utilisateur. Le mot de passe n’a pas encore disparu, mais son heure de retraite a sonné. Et franchement, on ne le regrettera pas.